思科防火墙nat配置翻译
- 0关注
- 0收藏，127浏览
问题描述：
下面思科命令的意思，翻译成华三的是什么样子
global (DCN) 1 interface
nat (DMZ) 1 0.0.0.0 0.0.0.0
nat (inside) 1 192.168.X.0 255.255.255.0
nat (inside) 1 192.168.X.0 255.255.255.0
static (inside,DCN) tcp interface ftp 192.168.0.1 ftp netmask 255.255.255.255
static (inside,DCN) tcp interface 8082 192.168.0.2 8082 netmask 255.255.255.255
static (inside,DMZ) udp 172.16.0.1 radius 192.168.0.2 radius netmask 255.255.255.255
目前我的理解是inside口到DCN/DMZ口的地址进行接口地址转化，做nat outbound,但是怎么区转换那些地址呢
原始思科命令逐行解释
global (DCN) 1 interface
# global(出接口) id interface：DCN出接口的接口IP作为PAT转换公网地址，id=1为nat池编号
nat (DMZ) 1 0.0.0.0 0.0.0.0
# nat(入接口) id 源 反掩码：DMZ域所有源，访问DCN时使用id=1的global池做PAT
nat (inside) 1 192.168.X.0 255.255.255.0
# inside域192.168.X.0/24网段，访问DCN域使用id=1的global池PAT
nat (inside) 1 192.168.X.0 255.255.255.0
# 重复行，思科配置冗余，忽略
static (inside,DCN) tcp interface ftp 192.168.0.1 ftp netmask 255.255.255.255
# static(真实接口,映射接口) 协议 映射接口IP 端口 真实IP 端口
# DCN接口IP的21(ftp)端口映射到内网192.168.0.1 ftp，双向
static (inside,DCN) tcp interface 8082 192.168.0.2 8082 netmask 255.255.255.255
# DCN接口IP 8082端口映射内网192.168.0.2 8082
static (inside,DMZ) udp 172.16.0.1 radius 192.168.0.2 radius netmask 255.255.255.255
# inside访问DMZ方向：DMZ侧地址172.16.0.1的udp/1812(radius)映射内网192.168.0.2 radius端口
你的疑问：inside 到 DCN/DMZ 做源 NAT outbound，如何区分哪些源地址做转换？ 思科靠
nat(入域) id 源网段匹配源，绑定对应 global (id)。 H3C V7 两种实现：①接口下nat outbound + ACL传统方式；②nat global‑policy 全局 NAT 策略（推荐），可以同时匹配【源安全域、目的安全域、源 IP】精准区分转换流量H3C。
H3C V7 完整等价配置（两种方案）
假设接口：DCN 对应接口为
G1/0/DCN；DMZ 接口G1/0/DMZ；inside 接口G1/0/Inside。 DCN 接口 IP 就是 PAT 公网地址。
方案一：传统接口 nat outbound + ACL（对标思科 global/nat，适合老习惯）
1. ACL 定义要做源 NAT 的源网段
system‑view
# DMZ全部网段
acl basic 2001
rule permit source any
quit
# inside的192.168.X.0/24
acl basic 2002
rule permit source 192.168.X.0 0.0.0.255
quit
2. 在 DCN 出接口配置 Easy‑IP（等价思科 global (DCN) 1 interface）
Easy‑IP = 使用出接口自身 IP 做 PAT，等价global xxx interfaceH3C
interface GigabitEthernet 1/0/DCN
# DMZ域过来所有源访问DCN，源NAT成DCN接口IP
nat outbound 2001
# inside域192.168.X.0/24访问DCN，源NAT成DCN接口IP
nat outbound 2002
quit
⚠️局限：接口
nat outbound只能匹配源 ACL，不能区分【源安全域】。如果 DMZ 和 inside 网段有重叠，流量区分不干净；此时必须用下面【全局 NAT 策略】。
3. 端口映射 nat server（等价思科 static）H3C
nat server global current‑interface代表使用该接口自身 IP，对应思科static(xxx) interface port
# DCN接口上：ftp映射192.168.0.1
interface GigabitEthernet 1/0/DCN
nat server protocol tcp global current‑interface ftp inside 192.168.0.1 ftp
nat server protocol tcp global current‑interface 8082 inside 192.168.0.2 8082
quit
# DMZ接口上：udp radius，172.16.0.1:1812映射到192.168.0.2:1812
interface GigabitEthernet 1/0/DMZ
nat server protocol udp global 172.16.0.1 radius inside 192.168.0.2 radius
quit
方案二：nat global‑policy【强烈推荐，完全对标思科 (入域，出域) 逻辑】
可以同时匹配：源安全域、目的安全域、源 IP，完美复现思科
nat(入接口) id xxx按入域区分流量，解决你 “怎么区分转换哪些地址” 的痛点H3C。
system‑view
nat global‑policy
# 规则1：源安全域DMZ，目的安全域DCN，所有源，做easy‑ip（DCN接口地址PAT）
rule name DMZ‑TO‑DCN‑Snat
source‑zone DMZ
destination‑zone DCN
source‑ip any
action snat easy‑ip
quit
# 规则2：源安全域inside，目的安全域DCN，源192.168.X.0/24，easy‑ip
rule name Inside‑TO‑DCN‑Snat
source‑zone Inside
destination‑zone DCN
source‑ip subnet 192.168.X.0 24
action snat easy‑ip
quit
quit
此模式不需要接口下写
nat outbound；easy‑ip会自动取报文出接口（DCN）的 IP 做 PAT，完全对应思科global(DCN)1 interface。 端口映射nat server配置和方案一完全不变。
关键要点答疑（你关心的点）
- 思科：
nat(入接口) id source= H3C 全局 NAT 策略source‑zone + destination‑zone + source‑ip- 传统接口
nat outbound只能匹配源 IP，无法区分来自哪个安全域，当不同域有相同网段时会出错。 - 如果你的组网不同安全域网段有重叠，必须用 nat global‑policy 方案二。
- 传统接口
global(DCN)1 interface等价 H3C：- 接口模式：接口下
nat outbound acl（Easy‑IP，无地址组） - 全局 NAT 策略：
action snat easy‑ip，自动使用报文出接口 IP 做 PAT。
- 接口模式：接口下
static(inside,DCN) tcp interface port x x：H3C 接口下nat server protocol tcp global current‑interface port inside x port，current‑interface关键字代表使用该接口自己 IP，等同于思科interface参数H3C。- 别忘了安全策略放行！NAT 只是地址转换，H3C 域间策略必须 permit 对应流量，否则不通。
排查命令参考
display nat global‑policy rule #查看全局NAT策略
display nat server #查看内部服务器映射
display nat session verbose #看NAT会话表
display security‑policy ipv4 #确认域间策略放行
暂无评论
1. global (DCN) 1 interface
含义：DCN接口启用PAT，复用接口地址做源地址转换。
H3C：nat outbound（在DCN接口下配置）
2. nat (DMZ) 1 0.0.0.0 0.0.0.0
含义：DMZ区域所有流量匹配NAT规则1。
H3C：在DMZ接口下配置nat outbound或ACL匹配后统一在出口做转换。
3. nat (inside) 1 192.168.X.0 255.255.255.0
含义：inside区域该网段流量匹配NAT规则1。
H3C：用ACL匹配该网段，如acl basic 2000 + rule permit source 192.168.X.0 0.0.0.255，再在出口接口nat outbound 2000。
4. static (inside,DCN) tcp interface ftp 192.168.0.1 ftp netmask 255.255.255.255
含义：将DCN接口的FTP端口映射到内网192.168.0.1的FTP。
H3C：nat server protocol tcp global interface ftp inside 192.168.0.1 ftp
5. static (inside,DCN) tcp interface 8082 192.168.0.2 8082 netmask 255.255.255.255
含义：将DCN接口的8082端口映射到内网192.168.0.2的8082。
H3C：nat server protocol tcp global interface 8082 inside 192.168.0.2 8082
6. static (inside,DMZ) udp 172.16.0.1 radius 192.168.0.2 radius netmask 255.255.255.255
含义：将DMZ区域172.16.0.1的radius端口UDP映射到内网192.168.0.2的radius。
H3C：nat server protocol udp global 172.16.0.1 radius inside 192.168.0.2 radius
注意：H3C的nat server需在全局或接口视图下配置，具体位置取决于流量方向。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论