华为防火墙双向NAT

源NAT根据报文在防火墙上的流动方向进行分类：域间NAT、域内NAT

 

域间NAT：报文两个不同的安全区域之间流动时对报文进行NAT转换

 

         根据流动方向的不同又可以分为

         NAT Inbound：报文由低安全级别的安全区域向高安全级别的安全区域方向流动时，对报文进行的NAT转换。一般来说，这种情况是公网用户访问内部网络，不太常见

         NAT Outbound：报文由高安全级别的安全区域向低安全级别的安全区域方向流动时，对报文进行的NAT转换。私网用户访问外部Internet的场景使用的是NAT Outbound

 

域内NAT：报文在同一个安全区域之内流动时对报文进行NAT转换。一般情况下，域内NAT都会和NAT Server配合使用，单独配置域内NAT的情况少见

 

域间NAT或域内NAT 和NAT Server一起配合使用时，就实现了双向NAT

 

双向NAT：源NAT+NAT Server

 

 

-------------------------------------------------------------------------------------------------------------------------

双向NAT配置实例

NAT Inbound + NAT Server （公网用户访问内网服务器）

 

 

 

将接口加入安全区域

[USG6000V1]firewall zone dmz

[USG6000V1-zone-dmz]add interface GigabitEthernet 1/0/0

[USG6000V1-zone-dmz]quit

[USG6000V1]firewall zone untrust

[USG6000V1-zone-untrust]add interface GigabitEthernet 1/0/1

[USG6000V1-zone-untrust]quit

 

配置默认路由

[USG6000V1]ip route-static 0.0.0.0 0.0.0.0 100.100.100.253

 

配置安全策略

[USG6000V1]security-policy

[USG6000V1-policy-security]rule name dmz_untrust        

[USG6000V1-policy-security-rule-dmz_untrust]source-zone dmz

[USG6000V1-policy-security-rule-dmz_untrust]destination-zone untrust

[USG6000V1-policy-security-rule-dmz_untrust]source-address 192.168.1.0 24

[USG6000V1-policy-security-rule-dmz_untrust]action permit

[USG6000V1-policy-security-rule-dmz_untrust]quit

[USG6000V1-policy-security]rule name untrust_dmz        

[USG6000V1-policy-security-rule-untrust_dmz]source-zone untrust

[USG6000V1-policy-security-rule-untrust_dmz]destination-zone dmz

[USG6000V1-policy-security-rule-untrust_dmz]source-address 10.10.10.0 24

[USG6000V1-policy-security-rule-untrust_dmz]action permit

[USG6000V1-policy-security-rule-untrust_dmz]quit

[USG6000V1-policy-security]quit

 

 

配置NAT Server

[USG6000V1]nat server nat_server protocol icmp global 100.100.100.100 inside 192.168.1.1

 

配置源NAT

[USG6000V1]nat address-group nat

[USG6000V1-address-group-nat]section 1 192.168.1.10 192.168.1.11 //NAT地址池地址为内网地址

[USG6000V1-address-group-nat]mode pat

[USG6000V1-address-group-nat]quit

 

[USG6000V1]nat-policy

[USG6000V1-policy-nat]rule name nat_untrust_dmz

[USG6000V1-policy-nat-rule-nat_untrust_dmz]source-zone untrust

[USG6000V1-policy-nat-rule-nat_untrust_dmz]destination-zone dmz

[USG6000V1-policy-nat-rule-nat_untrust_dmz]source-address 10.10.10.0 24

[USG6000V1-policy-nat-rule-nat_untrust_dmz]action nat address-group nat

[USG6000V1-policy-nat-rule-nat_untrust_dmz]quit

[USG6000V1-policy-nat]quit

 

配置黑洞路由

[USG6000V1]ip route-static 100.100.100.100 32 NULL 0

 

查看结果

使用双向NAT的配置：当外网客户端访问内网服务器时，外网主机通过NAT Server发布的公网地址来访问。外网访问的报文的源地址会转换成内网的地址。

 

 

使用NAT Server的配置：外网客户通过NAT Server发布的公网地址来访问。外网访问的报文源地址是公网地址。

 

 

 

 

.

 

.“

：‘