问题描述：
中有两个出口 一个是FW PC（192.168.1.2） 直接FW1 通过 100.1.1.2 的公网地址SNAT出去 其中另外一个web服务器10.1.1.2 在FW1中 通过PBR 牵引路由到FW2 FW2 中有DNAT配置 web服务发布到 200.1.1.2 公网中
FW1配置
interface GigabitEthernet1/0/2
ip address 100.1.1.2 255.255.255.0
nat outbound
interface GigabitEthernet1/0/3
ip address 172.16.1.2 255.255.255.0
interface GigabitEthernet1/0/4
ip address 172.10.11.254 255.255.255.0
nat hairpin enable
ip policy-based-route aaa
Policy name: aaa
node 10 permit:
if-match acl 3000
apply next-hop 172.16.1.1
Advanced IPv4 ACL 3000, 1 rule,
ACL's step is 5
rule 5 permit ip source 10.1.1.0 0.0.0.255
FW2配置
interface GigabitEthernet0/1
ip address 200.1.1.2 255.255.255.0
nat outbound
nat server protocol tcp global 200.1.1.2 10022 inside 10.1.1.2 23
现在访问请求 192.168.1.2 访问 200.1.1.2 10022 端口不通
通过查看防火墙会话发现 产生了一条 local 到trust的会话
192.168.1.2 访问 200.1.1.2 FW1设备上 第一步SNAT 100.1.1.2 100.1.1.2- 200.1.1.2 公网流量走一圈 然后到FW2 DNAT 100.1.1.2 访问10.1.1.2 最后到FW1 设备 我认为是 这个会话100.1.1.2 访问 10.1.1.2 应该是utrust -trust 但是由于 100.1.1.2 刚好是设备本地地址 只不过流量从外部绕一圈回来了，那么设备FW1 是怎么把100.2访问 10.1.1.2 这个访问源区域从utrust变成local 是基于什么样的一个机制 想了解一下原理？
后续在FW1 和FW2中接口 开启了源进源出的配置 192.168.1.2 访问 200.1.1.2 10022 端口正常 查看会话也是utrust -trust
interface GigabitEthernet1/0/3
ip address 172.16.1.2 255.255.255.0
ip last-hop hold
组网及组网描述：
配置源进源出来后
- 2024-04-07提问
- 举报
-
(0)
最佳答案
192.168.1.2 访问 200.1.1.2 FW1设备上 第一步SNAT 100.1.1.2 100.1.1.2- 200.1.1.2 公网流量走一圈 然后到FW2 DNAT 100.1.1.2 访问10.1.1.2 最后到FW1 设备 我认为是 这个会话100.1.1.2 访问 10.1.1.2 应该是utrust -trust 但是由于 100.1.1.2 刚好是设备本地地址 只不过流量从外部绕一圈回来了，那么设备FW1 是怎么把100.2访问 10.1.1.2 这个访问源区域从utrust变成local 是基于什么样的一个机制 想了解一下原理？
- 2024-04-07回答
- 评论(0)
- 举报
-
(0)
有点不太理解你的意思 有无拓扑图呢
- 2024-04-07回答
- 评论(2)
- 举报
-
(0)
拓扑如下所示：
zhiliao_lIB5S9
发表时间：2024-04-07
更多>>
有发的 在楼下
果树节
发表时间：2024-04-07
拓扑如下所示：
zhiliao_lIB5S9
发表时间：2024-04-07
zhiliao_lIB5S9
知了小白
拓扑如下所示：
- 2024-04-07回答
- 评论(4)
- 举报
-
(0)
看这个拓扑 我有一些疑问： 1.内网是否互通 有路由直达到FW2？ 2.你的下一跳地址有无配置172.16.1.2 如果没有 他从外网访问出去是正常的 你的疑问是貌似有点矛盾（既然说从外部访问 就不会是local）
Admin
发表时间：2024-04-07
配置一下保持上一跳功能
- 2024-04-10回答
- 评论(1)
- 举报
-
(0)
是的 就是配置了源进源出 就正常了 就是想了解一下没配置之前 防火墙机制是怎么样把流量源区域untrust转为LOCAL区域的 原理是
果树节
发表时间：2024-04-11
更多>>
是的 就是配置了源进源出 就正常了 就是想了解一下没配置之前 防火墙机制是怎么样把流量源区域untrust转为LOCAL区域的 原理是
果树节
发表时间：2024-04-11
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
没开源进源出的时候 为什么 100.1.1.2 从公网绕一圈 然后FW1-FW2-FW1 FW1 是怎么样的机制的 把 安全区域换成了local