F100-M-G5防火墙怎么做出入端口映射

啥意思？  

针对H3C F100-M-G5防火墙，配置“出入端口映射”需要完成端口映射（NAT Server）和安全策略（域间策略） 两大步骤。两者缺一不可。

为了方便你理解，我根据你的需求（内网服务器192.168.0.212对外提供服务，外网地址33.176.1.67访问），整理了命令行和Web两种配置方式。

端口映射的核心逻辑

简单来说，这包含两个方向：

• 入方向（端口映射/NAT Server）：当外网用户访问公网IP 33.176.1.67 的特定端口时，防火墙将流量转换并转发给内网服务器 192.168.0.212 的对应端口。

• 出方向（安全策略/域间策略）：防火墙默认会拦截所有未经许可的流量。你需要创建一条安全策略，明确允许外网（Untrust区域）访问内网服务器（Trust区域）的特定端口。

方案一：命令行（CLI）配置

这种方式适合批量配置，效率较高。

1. 配置端口映射（NAT Server）

在连接外网的接口上配置。假设你的外网接口是 GigabitEthernet1/0/0。

根据你的需求，33.176.1.67 的端口与 192.168.0.212 的端口必须一一对应（例如，9980对9980）。你需要为每个端口执行一条 nat server 命令：

2. 配置安全策略（域间策略）

放行从外网（Untrust）到内网（Trust）的访问。

• 创建服务对象组（用于简化策略）：

  text

  [H3C] object-group service TO-OUTSIDE [H3C-obj-grp-service-TO-OUTSIDE] service tcp destination eq 9980 [H3C-obj-grp-service-TO-OUTSIDE] service tcp destination eq 602 [H3C-obj-grp-service-TO-OUTSIDE] service tcp destination eq 9981 [H3C-obj-grp-service-TO-OUTSIDE] service tcp destination eq 6025 [H3C-obj-grp-service-TO-OUTSIDE] service tcp destination eq 22 [H3C-obj-grp-service-TO-OUTSIDE] service tcp destination eq 9080 [H3C-obj-grp-service-TO-OUTSIDE] service tcp destination eq 6020 [H3C-obj-grp-service-TO-OUTSIDE] quit

• 创建并应用安全策略：

  text

  [H3C] zone-pair security source Untrust destination Trust [H3C-zone-pair-security-Untrust-Trust] object-policy apply ip PERMIT-NAT [H3C-zone-pair-security-Untrust-Trust] quit [H3C] object-policy ip PERMIT-NAT [H3C-object-policy-ip-PERMIT-NAT] rule 0 pass service TO-OUTSIDE [H3C-object-policy-ip-PERMIT-NAT] quit

3. 保存配置

方案二：Web界面配置

如果你更习惯图形界面，可以参考以下步骤。

1. 配置端口映射（NAT内部服务器）

1. 登录防火墙Web界面。

2. 导航至 “策略” > “接口NAT” > “IPv4” > “NAT内部服务器”。

3. 点击 “新建” 或 “添加”。

4. 配置映射规则：

   • 外网接口：选择连接公网的接口（如 GigabitEthernet1/0/0）。

   • 协议类型：选择 TCP。

   • 外网地址：填写公网IP 33.176.1.67。

   • 外网端口：填写你要映射的端口，如 9980。

   • 内网地址：填写服务器IP 192.168.0.212。

   • 内网端口：填写对应的内网端口，如 9980。

5. 重复以上步骤，为所有端口（602, 9981, 6025, 22, 9080, 6020）创建映射。

2. 配置安全策略（域间策略）

1. 导航至 “策略” > “安全策略”。

2. 点击 “新建”。

3. 配置策略参数：

   • 源安全域：选择 Untrust。

   • 目的安全域：选择 Trust。

   • 源IP地址：通常保持 any（所有外网用户）。

   • 目的IP地址：填写内网服务器IP 192.168.0.212。

   • 服务：选择 TCP，并填入目的端口 9980、602 等。如果端口较多，建议提前在 “对象” > “服务对象组” 中创建一个包含所有端口的对象组。

4. 点击 “确定” 完成创建。

3. 保存配置

在设备右上角找到 “保存” 选项，点击保存配置。