t1060作出口设备，如何设置
- 0关注
- 0收藏，63浏览
可以，配置nat
通过静态IP接入互联网典型配置举例
简介
本文档介绍通过静态IP接入Internet的典型配置举例。
配置前提
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解静态IP特性。
配置举例
组网需求
如图-1所示，某公司所在网络的出口处部署了一台Device。现需要使用运营商提供的公网IP，实现公司内网用户访问Internet的目的。具体需求如下：
· 由Device开启DHCP Server功能，为PC分配私网地址、DNS Server地址等网络参数，减少管理员手工配置的工作量。
· 通过设置能让内网用户访问Internet中的Web Server，地址为***.***。
图-1 通过静态IP接入Internet配置组网图
配置注意事项
当设备作为DHCP服务器时，为使DHCP客户端能获取到地址，需要放行开启DHCP功能接口所属安全域到Local安全域的流量（本例为放行Trust和Local之间的流量）。此外，需要开启DNS代理功能，来让设备向DNS服务器转发DNS请求报文。
配置步骤
Device的配置
1. 配置静态IP
# 选择“系统 > 配置向导 > 快速接入Internet”，进入配置页面，如下图所示。
图-2 快速接入Internet
# 选中路由模式前的单选框，单击<开始配置>按钮，根据当地ISP提供的地址，配置WAN口参数，如下图所示。
图-3 WAN口配置
# 单击<下一步>按钮，LAN口参数配置如下图所示。
图-4 LAN口配置
# 单击<下一步>按钮，连接安全云不进行任何配置，继续单击<下一步>按钮。
# 确认配置无误后单击<完成>按钮，完成配置。
2. 配置安全策略
# 配置好静态IP接入后，系统会自动创建一个名为“GuideSecPolicy”的安全策略，选择“策略 > 安全策略 > 安全策略”，进入安全策略页面，如下图所示。
图-5 安全策略配置页面
# 单击GuideSecPolicy策略右侧的<编辑>按钮，在源安全域中增加Local域，目的安全域中增加Trust域和Local域，如下图所示。
图-6 增加安全策略
3. 配置DHCP
# 选择“网络 > DHCP > 地址池 > 地址池选项”，参数配置如下图所示。
图-7 地址池选项配置
4. 配置DNS代理
# 选择“网络 > DNS > 高级设置”，开启DNS代理功能。
图-8 DNS代理
Host的配置
# 配置Host的IP地址为自动获取。
1. 基础配置：Console登录后，
2. 接口配置：公网口（如G0/0/0）配公网IP，内网口（如G0/0/1）配内网段（例：[T1060-G0/0/1] ip address 192.168.1.1 24）；
3. 路由配置：设默认路由指向运营商下一跳：[T1060] ip route-static 0.0.0.0 0 公网下一跳IP；
4. NAT配置：内网访问公网用Easy IP：[T1060] acl 2000，[T1060-acl-basic-2000] rule permit source 192.168.1.0 0.0.0.255，[T1060-G0/0/0] nat outbound 2000；
5. 测试内网、公网连通性，关闭不必要服务。
一、组网规划（先定好）
T1060 作出口防火墙 / IPS
外网口（WAN）：GE1/0/16（电口）或 XGE1/0/20（万兆光），接运营商 / 光猫
内网口（LAN）：GE1/0/1，接内网交换机
管理口：M-GE1/0/0（默认 192.168.0.1/24）
T1060 是 V7 系统，默认三层路由模式，不用改桥接。
二、第一次登录（Web）
电脑接 M-GE1/0/0，设静态 IP：192.168.0.2/24
浏览器访问：https://192.168.0.1
账号 / 密码：admin / admin
改密码、放行安全策略。
三、接口 + 安全域（必做）
1）外网口 WAN（例：GE1/0/16）
模式：三层路由口
IP：运营商给的公网 IP（静态 / PPPoE/DHCP）
安全域：Untrust
2）内网口 LAN（例：GE1/0/1）
模式：三层路由口
IP：192.168.1.1/24（内网网关）
安全域：Trust
命令行参考：
bash
运行
system-view
# 内网口
interface GigabitEthernet 1/0/1
port link-mode route
ip address 192.168.1.1 255.255.255.0
security-zone trust
quit
# 外网口（静态IP示例）
interface GigabitEthernet 1/0/16
port link-mode route
ip address 202.x.x.x 255.255.255.248
security-zone untrust
quit
四、默认路由（上网网关）
bash
运行
ip route-static 0.0.0.0 0.0.0.0 202.x.x.1 # 运营商网关
五、NAT 上网（核心）
内网访问外网做 源 NAT：
bash
运行
nat address-group 1
section 0 202.x.x.x 202.x.x.x # 公网IP段
quit
acl basic 2000
rule permit source 192.168.1.0 0.0.0.255
quit
interface GigabitEthernet 1/0/16
nat outbound 2000 address-group 1
quit
如果是 PPPoE 拨号，直接在拨号接口下 nat outbound 2000。
六、安全策略（放行 Trust→Untrust）
Web：策略 → 安全策略 → 新建
源域：Trust
目的域：Untrust
动作：允许
服务：any
命令行：
bash
运行
security-policy
rule name trust-to-untrust
source-zone trust
destination-zone untrust
action permit
quit
七、内网 DHCP（可选，建议开）
bash
运行
dhcp enable
dhcp server ip-pool 1
network 192.168.1.0 mask 255.255.255.0
gateway-list 192.168.1.1
dns-list 114.114.114.114
quit
interface GigabitEthernet 1/0/1
dhcp select server
quit
八、检查要点（通不了网先查这 4 点）
WAN 口 IP / 网关是否 ping 通
display ip routing-table 有默认路由
NAT 配置正确，ACL 匹配内网网段
安全策略放行 Trust→Untrust
第一步：配置接口与 IP 地址
- 外网口（例如 GigabitEthernet 1/0/1）：配置运营商提供的公网 IP（如果是拨号环境则配置 PPPoE）。
- 内网口（例如 GigabitEthernet 1/0/2）：配置内网网关 IP。
1# 配置外网口
2interface GigabitEthernet 1/0/1
3 ip address x.x.x.x 255.255.255.x # 替换为实际公网IP
4 quit
5
6# 配置内网口（网关）
7interface GigabitEthernet 1/0/2
8 ip address 192.168.1.1 255.255.255.0
9 quit第二步：配置默认路由
1# 配置默认路由，下一跳为运营商网关IP
2ip route-static 0.0.0.0 0 x.x.x.x第三步：配置 NAT（网络地址转换）
1# 创建高级 ACL，匹配所有内网流量
2acl advanced 3000
3 rule permit ip source 192.168.1.0 0.0.0.255
4 quit
5
6# 在外网口应用 NAT
7interface GigabitEthernet 1/0/1
8 nat outbound 3000
9 quit第四步：配置安全策略
1# 进入安全策略视图
2security-policy ip
3 # 创建规则，允许信任域（内网）到非信任域（外网）的流量
4 rule name Trust_to_Untrust
5 action pass
6 source-zone trust
7 destination-zone untrust
8 source-ip-subnet 192.168.1.0 24
9 quittrust 域，把 GigabitEthernet 1/0/1 加入了 untrust 域)第五步：基础服务与 DNS
1# 配置 DNS 服务器（例如 114.114.114.114 和 8.8.8.8）
2dns resolve
3dns server 114.114.114.114
4dns server 8.8.8.8
5
6# 开启 Telnet/SSH/HTTP 服务（方便远程管理）
7telnet server enable
8ssh server enable
9ip http enable接口下不能使用nat命令是什么原因
接口下不能使用nat命令是什么原因
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明