小贝优选——防火墙跨VPN实例做nat outbound案例

内网VPN 1内PC1 188.188.4.2访问外网VPN 2内的PC2 188.188.1.2，同时在防火墙1/0/3口做nat outbound将源地址转换为188.188.5.1

FW1关键配置：

#

ip vpn-instance 1 

#

ip vpn-instance 2 

# 

nat address-group 1

 address 188.188.5.1 188.188.5.1 

# 

object-group ip address 188.188.1.2 

 0 network host address 188.188.1.2

# 

object-group ip address 188.188.4.2 

 0 network host address 188.188.4.2

# 

interface GigabitEthernet1/0/2

 ip binding vpn-instance 1

 ip address 188.188.3.1 255.255.255.0

#

interface GigabitEthernet1/0/3

 ip binding vpn-instance 2

 ip address 188.188.2.2 255.255.255.0

 nat outbound 3000 address-group 1 vpn-instance 2

# 

security-zone name Trust

 import interface GigabitEthernet1/0/2 

# 

security-zone name Untrust 

 import interface GigabitEthernet1/0/3

# 

 ip route-static vpn-instance 1 188.188.1.0 24 vpn-instance 2 188.188.2.1 

 ip route-static vpn-instance 1 188.188.4.0 24 188.188.3.2 

# 

acl advanced 3000

 rule 0 permit ip vpn-instance 1 source 188.188.4.2 0 

# 

security-policy ip

 rule 0 name vrf1 

  action pass

  vrf 1

  source-zone trust

  destination-zone untrust 

  source-ip 188.188.4.2

  destination-ip 188.188.1.2 

MSR1关键配置：

# 

interface GigabitEthernet0/1

 ip address 188.188.4.1 255.255.255.0 

#

interface GigabitEthernet0/2 

 ip address 188.188.3.2 255.255.255.0 

#

ip route-static 188.188.1.0 24 188.188.3.1 

MSR2关键配置：

# 

interface GigabitEthernet0/1

 ip address 188.188.2.1 255.255.255.0 

# 

interface GigabitEthernet0/2 

 ip address 188.188.1.1 255.255.255.0 

# 

ip route-static 188.188.5.0 24 188.188.2.2 

1、MSR1和MSR2需要将两端路由打通：

MSR1：

ip route-static 188.188.1.0 24 188.188.3.1 

MSR2：

ip route-static 188.188.5.0 24 188.188.2.2

2、FW1上在配置nat outbound时，注意该vpn实例是外网做nat outbound接口所属的vpn实例；同时在acl里面也需要绑定vpn实例，注意该vpn实例是内网接口所属的vpn实例：

#

interface GigabitEthernet1/0/3

 ip binding vpn-instance 2

 ip address 188.188.2.2 255.255.255.0

 nat outbound 3000 address-group 1 vpn-instance 2

# 

acl advanced 3000 

 rule 0 permit ip vpn-instance 1 source 188.188.4.2 0 

3、FW1上需要配置两条路由，一条是将内网访问外网的路由，由于源地址188.188.4.2属于内网vpn1实例，因此路由里第一个vpn需要填写内网vpn1实例，而下一跳地址188.188.2.1是属于外网vpn2实例，因此路由里第二个vpn需要填写外网vpn2实例：

ip route-static vpn-instance 1 188.188.1.0 24 vpn-instance 2 188.188.2.1

另外一条是外网回包的路由，在外网回包到设备上时，设备会先将回包的目的地址改为内网地址，同时修改所属的源vpn实例，也就是将vpn2改为vpn1，因此路由里第一个vpn需要填写内网vpn1实例，而下一跳地址188.188.3.2是属于内网vpn1实例，因此路由里第二个vpn也需要填写外网vpn1实例：

ip route-static vpn-instance 1 188.188.4.0 24 vpn-instance 1 188.188.3.2

由于源和目的所属的vpn实例相同，因此该条路由可以简写为：

ip route-static vpn-instance 1 188.188.4.0 24 188.188.3.2

配置完成后可以在vpn1的路由表里看到这两条路由信息：

[H3C]dis ip routing-table vpn-instance 1 

Destinations : 14 Routes : 14 

Destination/Mask Proto Pre Cost NextHop Interface 

0.0.0.0/32 Direct 0 0 127.0.0.1 InLoop0 

127.0.0.0/8 Direct 0 0 127.0.0.1 InLoop0 

127.0.0.0/32 Direct 0 0 127.0.0.1 InLoop0 

127.0.0.1/32 Direct 0 0 127.0.0.1 InLoop0 

127.255.255.255/32 Direct 0 0 127.0.0.1 InLoop0 

188.188.1.0/24 Static 60 0 188.188.2.1 GE1/0/3 

188.188.3.0/24 Direct 0 0 188.188.3.1 GE1/0/2 

188.188.3.0/32 Direct 0 0 188.188.3.1 GE1/0/2 

188.188.3.1/32 Direct 0 0 127.0.0.1 InLoop0 

188.188.3.255/32 Direct 0 0 188.188.3.1 GE1/0/2 

188.188.4.0/24 Static 60 0 188.188.3.2 GE1/0/2 

224.0.0.0/4 Direct 0 0 0.0.0.0 NULL0 

224.0.0.0/24 Direct 0 0 0.0.0.0 NULL0 

255.255.255.255/32 Direct 0 0 127.0.0.1 InLoop0 

4、FW1上需要放通vpn1的安全策略，由于nat outbound是先匹配策略再做nat转换，并且外网所属的vpn2的回包会匹配会话，因此只需要放通vpn1的安全策略即可，并且源地址为内网地址：

# 

object-group ip address 188.188.1.2 

 0 network host address 188.188.1.2

# 

object-group ip address 188.188.4.2 

 0 network host address 188.188.4.2

#

security-policy ip

 rule 0 name vrf1 

  action pass

  vrf 1

  source-zone trust

  destination-zone untrust 

  source-ip 188.188.4.2

  destination-ip 188.188.1.2 

5、如遇到不通、丢包等问题，可以通过debug等信息来排查，需要在acl里面写4条rule，分别匹配转换前后来回的流量；特别注意，其中三条rule需要配置vpn1实例，只有一条外网回包给转换后地址的rule需要配置vpn2实例：

#

acl advanced 3099

 rule 0 permit ip vpn-instance 1 source 188.188.4.2 0 destination 188.188.1.2 0

 rule 5 permit ip vpn-instance 1 source 188.188.5.1 0 destination 188.188.1.2 0

 rule 10 permit ip vpn-instance 2 source 188.188.1.2 0 destination 188.188.5.1 0

 rule 15 permit ip vpn-instance 1 source 188.188.1.2 0 destination 188.188.4.2 0