这是我多年以前学习的防火墙的时候学到的文章,是华为官方强叔的分享,文章由浅入深,非常适合初学者,我学习了之后受益匪浅,现在整理一下分享给头条的伙伴们,希望对IT技术感兴趣的初学者朋友们可以从中有所收获。
正文如下:
本期强叔将会给大家阐释三十二字真言的后半段:一分为二,源进源回;虚实变换,合二为一。
一分为二,源进源回
防火墙作为出口网关,双出口、双ISP接入公网时,配置NAT Server通常需要一分为二,让一个私网服务器向两个ISP发布两个不同的公网地址供访问。一分为二的方法有两种:
第一种是将接入不同ISP的公网接口规划在不同的安全区域中,配置NAT Server时,带上zone参数,使同一个服务器向不同安全区域发布不同的公网地址。
[FW] nat server zone untrust1 protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80 [FW] nat server zone untrust2 protocol tcp global 2.2.2.2 9980 inside 10.1.1.2 80
![26e618944722a1360515d409b6a83006.png](https://i-blog.csdnimg.cn/blog_migrate/40a2b50bf8f90920d7acd00e68abda61.jpeg)
第二种是将接入不同ISP的公网接口规划在同一个安全区域中,配置NAT Server时,带上no-reverse参数,使同一个服务器向同一个安全区域发布两个不同的公网地址。
[FW] nat server protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80 no-reverse [FW] nat server protocol tcp global 2.2.2.2 9980 inside 10.1.1.2 80 no-reverse
![f3fbf0e5ed0a4521a54dadeccfa1178d.png](https://i-blog.csdnimg.cn/blog_migrate/34d879a0b265201ddc4303a764dbc360.jpeg)
看到这里小伙伴们就要问了,强叔强叔,上一期中你不是讲过no-reverse参数是用来除去反向Server map表项自断出路的吗,这里怎么又用到了呢?莫急莫急,且听强叔给你慢慢道来。
首先,我们来看下不带no-reverse参数直接配置上面两条命令会发生什么?