参考一下aft

https://www.h3c.com/cn/pub/Document_Center/2023/08/WebHelp_H3C_SecPath_FHQCP_DXPZALJ(V7)/default_auto.htm?CHID=904195

NAT66功能实现，参考：

使用版本

本举例是在F1090的R8660P33版本上进行配置和验证的。

组网需求

如下图所示，某公司内部对外提供FTP服务。公司内部使用的IPv6地址前缀为FD01:0203:0405::/48。其中，内部FTP服务器地址为FD01:0203:0405::100/48。需要实现如下功能：

• 外部的主机可以访问内部的FTP服务器。

• 使用2001: AB01:0001::1作为公司对外提供服务的IPv6地址。

图-1 IPv6外网用户通过转换后的地址前缀访问内网服务器配置组网图

‌

配置步骤

1. 配置接口IPv6地址

# 根据组网图中规划的信息，配置各接口的IPv6地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ipv6 address FD01:0203:0405::10 48

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

2. 将接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

3. 配置安全策略

# 配置名称为untrust-trust的安全策略，保证Internet中的主机可以访问Trust安全域内的FTP Server，具体配置步骤如下。

[Device] security-policy ipv6

[Device-security-policy-ipv6] rule 1 name untrust-trust

[Device-security-policy-ipv6-1-untrust-trust] source-zone untrust

[Device-security-policy-ipv6-1-untrust-trust] destination-zone trust

[Device-security-policy-ipv6-1-untrust-trust] destination-ip-host FD01:0203:0405::100

[Device-security-policy-ipv6-1-untrust-trust] action pass

[Device-security-policy-ipv6-1-untrust-trust] quit

[Device-security-policy-ipv6] quit

4. 配置NAT66前缀转换功能

# 配置IPv6目的地址转换的前缀映射关系，将IPv6地址前缀2001:AB01:0001::1/128转换为FD01:0203:0405::100/128。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] nat66 prefix destination 2001:ab01:1::1 128 fd01:203:405::100 128

[Device-GigabitEthernet1/0/2] quit

验证配置

# 以上配置完成后，外部主机能够访问FTP server。通过查看如下显示信息，可以验证以上配置成功。

[Device] display nat66 all

NAT66 destination information:

  Totally 1 destination rules.

  Interface(inbound): GigabitEthernet1/0/2

    Original prefix/prefix-length: 2001:AB01:1::1/128

    Translated prefix/prefix-length: FD01:203:405::100/128

# 通过以下显示命令，可以看到外部主机访问内部FTP server时生成NAT会话信息。

[Device] display nat66 session verbose

Slot 1:

Initiator:

  Source      IP/port: 2001:DC8:1::100/9025

  Destination IP/port: 2001:AB01:1::1/21

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Untrust

Responder:

  Source      IP/port: FD01:203:405::100/21

  Destination IP/port: 2001:DC8:1::100/9025

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Trust

State: TCP_ESTABLISHED

Application: FTP

Rule ID: 1

Rule name: 1

Start time: 2018-12-06 14:56:03  TTL: 3579s

Initiator->Responder:            0 packets          0 bytes

Responder->Initiator:            0 packets          0 bytes

Total sessions found: 1

配置文件

#

interface GigabitEthernet1/0/1

 ipv6 address FD01:203:405::10/48

#

interface GigabitEthernet1/0/2

 nat66 prefix destination 2001:AB01:1::1 128 FD01:203:405::100 128

 ipv6 address 2001:DB8:1::10/48

#

security-zone name Trust

 import interface GigabitEthernet1/0/1

#

security-zone name Untrust

 import interface GigabitEthernet1/0/2

#

security-policy ipv6

 rule 1 name untrust-trust

  action pass

  source-zone untrust

  destination-zone trust

  destination-ip-host FD01:203:405::100

#