SecPath F100-C- АЗ
- 0关注
- 0收藏，741浏览
问题描述：
SecPath F100-C- АЗ配置端口映射
我有一条专线10.10.10.1，要往出映射两个服务器，
一个服务器192.168.1.3映射4431端口
一个服务器192.168.1.2映射515端口
命令行怎么设置
组网及组网描述：
- 2023-05-24提问
- 举报
-
(0)
最佳答案
#在外网口GigabitEthernet1/0/1上配置内部服务器映射：允许外网用户通过公网地址202.1.1.100、端口8081访问内部服务器192.168.1.88的8081端口
<H3C> system-view //进入系统视图
[H3C] interface GigabitEthernet1/0/1 //进入1号接口
[H3C-GigabitEthernet1/0/1]ip address 202.1.1.100 255.255.255.248 //配置地址和掩码
[H3C-GigabitEthernet1/0/1]nat server protocol tcp global 202.1.1.100 8081 inside 192.168.1.88 8081 //配置nat映射, 将公网地址202.1.1.100、协议tcp、端口8081，映射到内部服务器192.168.1.88的8081端口
[H3C-GigabitEthernet1/0/1] quit //退出当前视图
防火墙目前版本存在两套安全策略，请在放通安全策略前确认设备运行那种类型的安全策略？以下配置任选其一。
1. 通过命令“display cu | in security-policy”如果查到命令行存在“security-policy disable”或者没有查到任何信息，则使用下面策略配置。
#创建地址对象组，地址对象组名称为OA服务器
[H3C]object-group ip address OA服务器 //创建地址对象组，地址对象组名称为OA服务器
[H3C-obj-grp-ip-OA服务器]network host address 192.168.1.88 //添加主机地址
[H3C-obj-grp-ip-OA服务器]quit
#创建服务对象组，服务对象组名称为8081端口，目的端口8081
[H3C]object-group service 8081端口 //创建服务对象组，服务对象组名称为8081端口
[H3C-obj-grp-service-8081端口]service tcp destination eq 8081 //添加基于tcp的目的端口8081
[H3C-obj-grp-service-8081端口]quit //退出当前视图
#创建IPv4对象策略，策略名称为0A服务器
[H3C]object-policy ip OA服务器 //创建IPv4对象策略，策略名称为0A服务器
[H3C-object-policy-ip-OA服务器]rule 0 pass destination-ip 0A服务器 service 8081端口 //添加规则0,允许访问目的对象为” 0A服务器”的” 8081端口”
#创建安全策略，源安全域为Untrust目的安全域为Trust，放通外网访问OA服务器的8081端口
[H3C]zone-pair security source Untrust destination Trust //创建安全策略，源安全域为Untrust目的安全域为Trust
[H3C-zone-pair-security-Untrust-Trust]object-policy apply ip OA服务器 //调用对象组” OA服务器”,用于放通外网访问OA服务器的8081端口
[H3C-zone-pair-security-Untrust-Trust]quit //退出当前视图
2. 通过命令“display cu | in security-policy”如果查到命令行存在“security-policy ip”并且没有查到“security-policy disable”，则使用下面策略配置。
#创建安全策略并放通源安全域为Untrust目的安全域为Trust，放通外网访问OA服务器的8081端口策略；
#创建地址对象组，地址对象组名称为OA服务器
[H3C]object-group ip address OA服务器 //创建地址对象组名称为OA服务器
[H3C-obj-grp-ip-OA服务器]network host address 192.168.1.88 //添加服务器主机地址
[H3C-obj-grp-ip-OA服务器]quit //退出
#创建服务对象组，服务对象组名称为8081端口，目的端口8081
[H3C]object-group service 8081端口 //创建服务对象组，服务对象组名称为8081端口
[H3C-obj-grp-service-8081端口]service tcp destination eq 8081 //添加允许访问目的对象为” 0A服务器”的” 8081端口”
[H3C-obj-grp-service-8081端口]quit //退出
#创建安全策略并放通local到trust和trust到local的安全策略。
[H3C]security-policy ip //创建ipv4安全策略
[H3C-security-policy-ip]rule 10 name test //创建规则10命名test
[H3C-security-policy-ip-10-test]action pass //设置动作为允许
[H3C-security-policy-ip-10-test]source-zone Untrust //添加源安全域Untrust
[H3C-security-policy-ip-10-test]destination-zone Trust //添加目的安全域Trust
[H3C-security-policy-ip-10-test]destination-ip OA服务器 //添加目的地址组” OA服务器”
[H3C-security-policy-ip-10-test]service 8081端口 //添加服务对象组” 8081端口”
[H3C-security-policy-ip-10-test]quit //退出
- 2023-05-24回答
- 评论(0)
- 举报
-
(0)
nat server
nat server命令用来配置NAT内部服务器，即定义内部服务器的外网地址和端口与内网地址和端口的映射表项。
undo nat server命令用来删除指定的内部服务器配置。
【命令】
· 外网地址单一，未使用外网端口或外网端口单一
nat server protocol pro-type global global-address global-port inside local-address local-port
undo nat server protocol pro-type global global-address global-port
· 外网地址单一，外网端口连续
nat server protocol pro-type global global-address global-port1 global-port2 inside { local-address local-port1 local-port2 }
undo nat server protocol pro-type global global-address global-port1 global-port2
【缺省情况】
不存在内部服务器。
【视图】
三层接口视图
【缺省用户角色】
network-admin
【参数】
protocol pro-type：指定协议类型。只有当协议类型是TCP、UDP协议时，配置的内部服务器才能带端口参数。如果不指定协议类型，则表示对所有协议类型的报文都生效。pro-type可输入以下形式：
· 数字：取值为6或17。
· 协议名称：取值包括tcp和udp。
global：指定服务器向外提供服务的外网信息。
global-address：内部服务器向外提供服务时对外公布的外网IP地址。
global-port1、global-port2：外网端口范围，和内部主机的IP地址范围构成一一对应的关系。global-port1表示起始端口，global-port2表示结束端口。global-port2必须与global-port1一致，本命令一次只能指定一个外网端口号。可重复执行本命令分别对一个范围的外网端口进行配置，端口范围中的端口数目不能大于256。外网端口可输入以下形式：
· 数字：取值范围为1～65535。起始端口和结束端口均支持此形式。
· 协议名称：为1～15个字符的字符串，例如http、telnet等。仅起始端口支持该形式。
inside：指定服务器的内网信息。
local-port：内部服务器的内网端口号，可输入以下形式：
· 数字：取值范围为1～65535（FTP数据端口号20除外）。
· 协议名称：为1～15个字符的字符串，例如http、telnet等。
local-port1 local-port2 ：内网端口范围，local-port1表示起始端口，local-port2表示结束端口。local-port2必须与local-port1一致，本命令一次只能指定一个内网端口号。可重复执行本命令分别对一个范围的内网端口进行配置，端口范围中的端口数目不能大于256。内网端口可输入以下形式：
· 数字：取值范围为1～65535。起始端口和结束端口均支持此形式。
· 协议名称：为1～15个字符的字符串，例如http、telnet等。仅起始端口支持该形式。
global-port：外网端口号，缺省值以及取值范围的要求和local-port的规定一致。
local-address：服务器的内网IP地址。
【使用指导】
通过该配置可以利用NAT设备将一些内部网络的服务器提供给外部网络使用，例如内部的Web服务器、FTP服务器、Telnet服务器、POP3服务器、DNS服务器等。
外网IP地址无法作为ARP表中的地址，ARP表中的地址也无法作为外网IP地址。
NAT内部服务器通常配置在NAT设备的外网侧接口上。外网用户可以通过global-address定义的外网地址和global-port定义的外网端口来访问内网地址和内网端口分别为local-address和local-port的内部服务器。
NAT内部服务器支持以下几种内网和外网的地址、端口映射关系。
表1-4 NAT内部服务器的地址与端口映射关系
外网 | 内网 |
一个外网地址 | 一个内网地址 |
一个外网地址、一个端口号 | 一个内网地址、一个内网端口号 |
一个外网地址，N个连续的外网端口号 | · 一个内网地址，一个内网端口 · N个连续的内网地址，一个内网端口号 · 一个内网地址，N个连续的内网端口号 |
【举例】
# 在接口Ten-GigabitEthernet1/0/25上配置NAT内部服务器，指定局域网内部的Web服务器的IP地址是10.110.10.10，希望外部通过http://202.110.10.10:8080可以访问Web服务器。
<Sysname> system-view
[Sysname] interface Ten-gigabitethernet 1/0/25
[Sysname-Ten-GigabitEthernet1/0/25] nat server protocol tcp global 202.110.10.10 8080 inside 10.110.10.10 http
[Sysname-Ten-GigabitEthernet1/0/25] quit
- 2023-05-24回答
- 评论(0)
- 举报
-
(0)
暂无评论
端口是tcp 还是udp ，以tcp 配置为例
int g1/0/1
ip add 10.10.10.1 24
nat server protocol tcp global current-interface 4431 inside 192.168.1.3 4431
nat server protocol tcp global current-interface 515 inside 192.168.1.3 515
- 2023-05-24回答
- 评论(0)
- 举报
-
(0)
暂无评论
参考官方文档里面的DNAT
http://www.h3c.com/cn/Service/Document_Software/Document_Center/IP_Security/FW_VPN/F100/
- 2023-05-24回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论