最佳答案
如图-1所示,某公司所在网络的出口处部署了一台防火墙设备。现需要使用运营商提供的公网IP,实现公司内网用户访问Internet的目的。具体需求如下:
· 由Device开启DHCP Server功能,为PC分配私网地址、DNS Server地址等网络参数,减少管理员手工配置的工作量。
· 通过设置能让内网用户访问Internet中的Web Server,地址为***.***。
图-1 通过静态IP接入Internet配置组网图
本举例是在F1080的R9333版本上进行配置和验证的。
当设备作为DHCP服务器时,为使DHCP客户端能获取到地址,需要放行开启DHCP功能接口所属安全域到Local安全域的流量(本例为放行Trust和Local之间的流量)。此外,需要开启DNS代理功能,来让设备向DNS服务器转发DNS请求报文。
1. 配置静态IP
# 选择“系统 > 配置向导 > 快速接入Internet”,进入配置页面,如下图所示。
图-2 快速接入Internet
# 选中路由模式前的单选框,单击<开始配置>按钮,根据当地ISP提供的地址,配置WAN口参数,如下图所示。
图-3 WAN口配置
# 单击<下一步>按钮,LAN口参数配置如下图所示。
图-4 LAN口配置
# 单击<下一步>按钮,DMZ口、安全配置、广域网加速不进行任何配置,继续单击<下一步>按钮,配置一键流控。
# 根据运行商实际分配带宽配置WAN口期望带宽值,如下图所示。
图-5 一键流控
# 单击<下一步>按钮,核对配置信息。
图-6 核对配置信息
# 确认配置无误后单击<完成>按钮,完成配置,接入配置信息如下图所示。
图-7 接入配置信息
# 快速配置完成后,系统会自动创建一条动态NAT策略,无需用户手动配置,请注意,如下图,选择“策略 > NAT > NAT动态转换 > 策略配置”即可查看。
图-8 NAT出方向动态转换
2. 配置安全策略
# 配置好静态IP接入后,系统会自动创建一个名为“GuideSecPolicy”的安全策略,选择“策略 > 安全策略 > 安全策略”,进入安全策略页面,如下图所示。
图-9 安全策略配置页面
# 选中GuideSecPolicy策略前的复选框,单击<编辑>按钮,在源安全域中增加Local域,目的安全域中增加Trust域和Local域,如下图所示。
图-10 增加安全策略
3. 配置DHCP
# 选择“网络 > DHCP > 地址池 > 地址池选项”,参数配置如下图所示。
图-11 地址池选项配置
4. 配置DNS代理
# 选择“网络 > DNS > 高级设置”,开启DNS代理功能。
图-12 DNS代理
# 配置Host的IP地址为自动获取。
1. 查看Host获取到的地址信息
C:\>ipconfig /all
以太网适配器 小网:
连接特定的 DNS 后缀..........:
描述.......................: Intel(R) 82579LM Gigabit Network Connection
物理地址....................: E8-39-35-5C-92-B8
DHCP 已启用 ................: 是
自动配置已启用...............: 是
本地链接 IPv6 地址...........: fe80::b8dd:d091:201a:6db2%13(首选)
IPv4 地址...................: 172.16.1.3(首选)
子网掩码.....................: 255.255.255.0
获得租约的时间................: 2017年5月25日 14:01:30
租约过期的时间................: 2017年5月26日 14:01:30
默认网关.....................: 172.16.1.254
DHCP 服务器..................: 172.16.1.254
DHCPv6 IAID.................: 384317749
DHCPv6 客户端 DUID...........: 00-01-00-01-1F-B4-A3-F5-B8-A3-86-6F-0F-02
DNS 服务器...................: 219.141.136.102
TCPIP 上的 NetBIOS...........: 已启用
2. Host可以Ping通公网域名
C:\>ping ***.***
正在 Ping ***.*** [192.168.100.201] 具有 32 字节的数据:
来自 192.168.100.201 的回复: 字节=32 时间<1ms TTL=253
来自 192.168.100.201 的回复: 字节=32 时间<1ms TTL=253
来自 192.168.100.201 的回复: 字节=32 时间<1ms TTL=253
来自 192.168.100.201 的回复: 字节=32 时间<1ms TTL=253
192.168.100.201 的 Ping 统计信息:
数据包: 已发送 = 4,已接收 = 4,丢失 = 0 (0% 丢失),
往返行程的估计时间(以毫秒为单位):
最短 = 0ms,最长 = 0ms,平均 = 0ms
(0)
本案例适用于如F1000-A-G2、F1000-S-G2、F100-M-G2、F100-S-G2等F1000-X-G2、F100-X-G2系列的防火墙。
注:本案例是在F100-C-G2的Version 7.1.064, Release 9510P08版本上进行配置和验证的。
将防火墙部署在互联网出口,使用固定IP地址线路接入互联网。运营商提供的IP地址为198.76.28.30/30,网关为198.76.28.29,DNS地址为114.114.114.114。初步规划防火墙使用3接口接入运营商,使用4接口连接内部网络,内部网络使用192.168.10.0网段,要求内网终端可以自动获取到地址并可以访问互联网。
#将1/0/3设置为外网接口并设置IP地址。
[H3C]interface GigabitEthernet 1/0/3
[H3C-GigabitEthernet1/0/3]ip address 198.76.28.30 255.255.255.252
[H3C-GigabitEthernet1/0/3]quit
#配置内网接口为1/0/4接口并指定IP地址为192.168.10.1。
[H3C]interface GigabitEthernet 1/0/4
[H3C-GigabitEthernet1/0/4] ip address 192.168.10.1 255.255.255.0
[H3C-GigabitEthernet1/0/4] quit
#进入1/0/3接口配置NAT动态地址转换。
[H3C]interface GigabitEthernet 1/0/3
[H3C-GigabitEthernet1/0/3]nat outbound
[H3C-GigabitEthernet1/0/3]quit
#配置默认路由,下一跳为外网网关地址。
[H3C]ip route-static 0.0.0.0 0 198.76.28.29
#将1/0/3外网接口加入Untrust区域。
[H3C]security-zone name Untrust
[H3C-security-zone-Untrust]import interface GigabitEthernet 1/0/3
[H3C-security-zone-Untrust]quit
#将1/0/4内网接口加入Trust区域。
[H3C]security-zone name Trust
[H3C-security-zone-Trust]import interface GigabitEthernet 1/0/4
[H3C-security-zone-Trust]quit
#创建对象策略pass。
[H3C]object-policy ip pass
[H3C-object-policy-ip-pass] rule 0 pass
[H3C-object-policy-ip-pass]quit
#创建Trust到Untrust域的域间策略调用pass策略。
[H3C]zone-pair security source Trust destination Untrust
[H3C-zone-pair-security-Trust-Untrust]object-policy apply ip pass
[H3C-zone-pair-security-Trust-Untrust]quit
#创建Trust到Local域的域间策略调用pass策略。
[H3C]zone-pair security source Trust destination Local
[H3C-zone-pair-security-Trust-Local]object-policy apply ip pass
[H3C-zone-pair-security-Trust-Local]quit
#创建Local到Trust域的域间策略调用pass策略。
[H3C]zone-pair security source Local destination Trust
[H3C-zone-pair-security-Local-Trust]object-policy apply ip pass
[H3C-zone-pair-security-Local-Trust]quit
#开启DHCP服务并指定动态下发的地址以及网关等参数。
[H3C]dhcp enable
[H3C]dhcp server ip-pool 1
[H3C-dhcp-pool-1]network 192.168.10.0 mask 255.255.255.0
[H3C-dhcp-pool-1]gateway-list 192.168.10.1
[H3C-dhcp-pool-1]dns-list 114.114.114.114
[H3C-dhcp-pool-1]quit
注:DNS服务器地址优先设置当地运营商提供的DNS服务器地址,如果没有提供可以设置114.114.114.114或8.8.8.8等DNS服务器地址。
[H3C]save force
(0)
暂无评论
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论