华为技术——防火墙NAT策略

实验要求：

• 在防火墙配置 NAT NO-PAT方式的地址转换
  192.168.1.0/24 —> 202.96.1.10-11
• 在防火墙配置 NAPT方式的地址转换：
  192.168.1.0/24 —> 202.96.1.10-11
• 在防火墙上配置接口地址方式的地址转换（easy-ip）
  192.168.1.0/24 —>g1/0/0

NAT NO-PAT（动态NAT，多对多）

1.在pc1和pc2上去配置IP
2.配置网络参数及路由（防火墙上）

3.配置安全策略

4.配置NAT地址组，地址组中地址对应的公网地址

5.配置NAT策略

6.针对转换后的全局地址（NAT地址组和中的地址）配置黑洞路由

7.在R1上配置IP

验证PC1ping PC2，在会话表到达最大老化时间前更换PC1的IP地址为192.168.1.5，再次pingPC2还可以通信，在把PC1地址更换为192.168.1.6时，无法通信，这是因为NAT地址组中只有2个可用于转换的地址，只能2个用户同时上网，在防火墙上查看会话表及Server-mao表
查看会话表

查看Server-map表

地址为1.6时无法通信

NAPT（PAT，复用到外部的一个IP地址，多对多，多对一）

使用上个实例环境，需重启防火墙
1.配置网络参数及路由

2.配置安全策略

3.配置NAT地址组，地址组中的地址对应的时公网地址


4.配置NAT策略

5.针对转换后的全局地址（NAT地址组中的地址）配置黑洞路由

6.验证NAT配置
验证PC1ping PC2，在会话表到达最大老化时间前更换PC1的IP地址为192.168.1.5，再次pingPC2还可以通信，在把PC1地址更换为192.168.1.6时，依然可以通信，这是因为NAT地址组中只有2个可用于转换的地址，但是NAPT模式，可以基于端口复用，一个地址理论上可以允许65535（最大端口数量）个用户上网，在防火墙上查看会话表及Server-mao表
查看会话表

查看Server-map表

出接口地址（Easy—IP）（PAT复用到防火墙的外部接口，多对一）

使用上个实例环境，需重启防火墙
1.配置网络参数及路由

2.配置安全策略

3.配置NAT策略

4.验证NAT配置
验证PC1ping PC2，在会话表到达最大老化时间前更换PC1的IP地址为192.168.1.5，再次pingPC2还可以通信，在把PC1地址更换为192.168.1.6时，依然可以通信，这是因为出接口方式将内网所有地址转换为外网接口地址202.96.1.1，但是基于端口复用，一个地址理论上可以允许65535（最大端口数量）个用户上网，在防火墙上查看会话表及Server-mao表
查看会话表

查看Server-map表

NAT Server（目标地址转换，发布内部服务器）

在服务器上和客户机上配置IP
1.配置网络参数及路由
防火墙上配置IP

2.配置安全策略

3.配置FTP应用层检测

4.配置NAT Server
natserver_ftp是策略名字，global后面跟映射地址，inside后面内部服务器的真是地址

（以下可以省略）
配置NAT Server时可以配置不同的端口映射

1. 外网用户访问202.96.10.10：2121端口时，将转换地址和端口为192.168.1.10：21发送到内网服务器

2. 不在生成反向的Server-map表项内容，只能互联网用户访问服务器，内网服务器不能主动访问互联网

3. 互联网用户访问202.96.10.10的任意端口协议都转发到内部的192.168.1.10服务器上。

5.配置黑洞路由

6.R1配置静态路由和IP

7.验正配置效果
服务器

客户机

查看会话表

查看Server-map表