华为AR-FTP-主动模式Port-Mapping

【AR路由器配置端口映射（port-mapping）】

配置端口映射
端口映射支持基于基本ACL的协议端口映射。设备支持的端口映射支持的应用层协议包括FTP、DNS、HTTP、SIP、PPTP和RTSP。

背景信息
应用层协议通常使用知名端口号进行通信。端口映射允许用户对不同的应用层协议定义一组新的端口号，使服务器更少地受到针对某种服务的恶意攻击。端口映射只有和ASPF、NAT等针对业务敏感的特性联合使用的时候才具有实际意义。

端口映射基于ACL进行，只有匹配某条ACL的报文，才会实施端口映射。端口映射使用基本ACL（编号2000～2999）。端口映射在使用ACL过滤报文时，使用报文的目的IP地址去匹配基本ACL规则中配置的IP地址。

操作步骤
执行命令system-view，进入系统视图。
执行命令port-mapping { dns | ftp | http | sip | rtsp | pptp } port port-number acl acl-number，配置端口映射。
补充：undo port-mapping命令用来清除端口和应用层协议的映射关系
配置端口映射时，一个协议可以配置多个映射端口；一个端口可以映射为多个协议，但是必须通过ACL进行区分，匹配不同ACL的报文使用不同的映射关系。

说明：
端口映射实际上是针对访问某个特定IP地址（例如WWW服务器）的报文进行协议识别，因此在匹配基本ACL规则时，使用报文的目的地址去匹配ACL规则中定义的源IP地址。

检查配置结果
执行命令display port-mapping [ dns | ftp | http | rtsp | sip | port port-number | pptp ]，查看端口映射的相关信息。

配置ASPF和端口映射示例
组网需求

如图1所示，Router的接口Eth2/0/0连接一个高安全优先级的内部网络，接口GE3/0/0连接低安全优先级的外部网络，需要对内部网络和外部网络之间的通信实施包过滤和ASPF检查。具体要求如下：
外部特定主机（202.39.2.3）允许访问内部网络中的服务器。
其余的访问均不允许。
对上述访问的连接进行FTP状态检查，过滤不符合状态的报文。
对于外部主机访问FTP服务器的报文，识别2121端口为FTP协议。
图1 配置ASPF和端口映射组网图

配置思路
采用如下思路配置ASPF和端口映射：

配置安全区域和安全域间。

将接口加入安全区域。

配置ACL。

在安全域间配置基于ACL的包过滤。

在安全域间配置ASPF。

配置端口映射，将2121端口映射为FTP协议通信端口。

操作步骤
在Router上配置安全区域和安全域间。
system-view
[Huawei] firewall zone trust
[Huawei-zone-trust] priority 14
[Huawei-zone-trust] quit
[Huawei] firewall zone untrust
[Huawei-zone-untrust] priority 1
[Huawei-zone-untrust] quit
[Huawei] firewall interzone trust untrust
[Huawei-interzone-trust-untrust] firewall enable
[Huawei-interzone-trust-untrust] quit
在Router上将接口加入安全区域。
[Huawei] vlan 100
[Huawei-vlan100] quit
[Huawei] interface vlanif 100
[Huawei-Vlanif100] ip address 129.38.1.1 24
[Huawei-Vlanif100] quit
[Huawei] interface ethernet 2/0/0
[Huawei-Ethernet2/0/0] port link-type access
[Huawei-Ethernet2/0/0] port default vlan 100
[Huawei-Ethernet2/0/0] quit
[Huawei] interface vlanif 100
[Huawei-Vlanif100] zone trust
[Huawei-Vlanif100] quit
[Huawei] interface gigabitethernet 3/0/0
[Huawei-GigabitEthernet3/0/0] ip address 202.39.2.1 24
[Huawei-GigabitEthernet3/0/0] zone untrust
[Huawei-GigabitEthernet3/0/0] quit
在Router上配置ACL。
[Huawei] acl 2102
[Huawei-acl-basic-2102] rule permit source 129.38.1.2 0.0.0.0
[Huawei-acl-basic-2102] quit
[Huawei] acl 3102
[Huawei-acl-adv-3102] rule permit tcp source 202.39.2.3 0.0.0.0 destination 129.38.1.2 0.0.0.0
[Huawei-acl-adv-3102] rule permit tcp source 202.39.2.3 0.0.0.0 destination 129.38.1.3 0.0.0.0
[Huawei-acl-adv-3102] rule permit tcp source 202.39.2.3 0.0.0.0 destination 129.38.1.4 0.0.0.0
[Huawei-acl-adv-3102] rule deny ip
[Huawei-acl-adv-3102] quit
在Router上配置包过滤。
[Huawei] firewall interzone trust untrust
[Huawei-interzone-trust-untrust] packet-filter 3102 inbound
在Router上配置ASPF。
[Huawei-interzone-trust-untrust] detect aspf ftp
[Huawei-interzone-trust-untrust] quit
在Router上配置端口映射。
[Huawei] port-mapping ftp port 2121 acl 2102
检查配置结果。
在Router上执行display firewall interzone zone-name1 zone-name2，结果如下。

[Huawei] display firewall interzone trust untrust
interzone trust untrust
firewall enable
packet-filter default deny inbound
packet-filter default permit outbound
packet-filter 3102 inbound
detect aspf ftp
在Router上执行display port-mapping ftp，结果如下。

[Huawei] display port-mapping ftp

---

Service Port Acl Type

---

ftp 21 system defined
ftp 2121 2102 user defined

---

Total number is : 2
配置文件

vlan batch 100

acl number 2102
rule 5 permit source 129.38.1.2 0

acl number 3102
rule 5 permit tcp source 202.39.2.3 0 destination 129.38.1.2 0
rule 10 permit tcp source 202.39.2.3 0 destination 129.38.1.3 0
rule 15 permit tcp source 202.39.2.3 0 destination 129.38.1.4 0
rule 20 deny ip

port-mapping ftp port 2121 acl 2102

interface Vlanif100
ip address 129.38.1.1 255.255.255.0
zone trust

firewall zone trust
priority 14

firewall zone untrust
priority 1

firewall interzone trust untrust
firewall enable
packet-filter 3102 inbound
detect aspf ftp

interface Ethernet2/0/0
port link-type access
port default vlan 100

interface GigabitEthernet3/0/0
ip address 202.39.2.1 255.255.255.0
zone untrust

return