【MVS】华为防火墙NAT Server典型组网配置案例

组网说明：

本案例采用ENSP模拟器的防火墙来部署NAT Server将内网服务器映射到外网提供服务，安全域和内网、外网在网络拓扑图中已经有了明确的标识，FW1作为出口设备与外网连接，某局点申请到了202.1.100.2-202.1.100.5的公网地址，通过Basic NAT的方式，内网的PC转换为202.1.100.3和202.1.100.4的IP地址实现内网访问外网，同时内网服务器映射为202.1.100.5的IP地址为外网提供服务。

配置思路：

1、按照网络拓扑图配置IP地址。

2、配置FW1的安全策略。

3、配置FW1的Basic NAT和NAT server。

R1：

<Huawei>u t m

Info: Current terminal monitor is off.

<Huawei>u t d

Info: Current terminal debugging is off.

<Huawei>system

Enter system view, return user view with Ctrl+Z.

[Huawei]sysname R1

[R1]int gi 0/0/0

[R1-GigabitEthernet0/0/0]ip address 202.103.224.1 24

[R1-GigabitEthernet0/0/0]quit

[R1]int gi 0/0/1

[R1-GigabitEthernet0/0/1]ip address 202.1.100.1 29

[R1-GigabitEthernet0/0/1]quit

FW1：

<USG6000V1>u t m

Info: Current terminal monitor is off.

<USG6000V1>u t d

Info: Current terminal debugging is off.

<USG6000V1>system

Enter system view, return user view with Ctrl+Z.

[USG6000V1]sysname FW1

[FW1]int gi 1/0/2

[FW1-GigabitEthernet1/0/2]ip address 192.168.10.1 24

[FW1-GigabitEthernet1/0/2]quit

[FW1]int gi 1/0/1

[FW1-GigabitEthernet1/0/1]ip address 202.1.100.2 29

[FW1-GigabitEthernet1/0/1]quit

[FW1]int gi 1/0/3

[FW1-GigabitEthernet1/0/3]ip address 172.16.1.1 24

[FW1-GigabitEthernet1/0/3]quit

[FW1]ip route-static 0.0.0.0 0.0.0.0 202.1.100.1

[FW1]firewall zone trust

[FW1-zone-trust]add int gi 1/0/2

[FW1-zone-trust]quit

[FW1]firewall zone untrust

[FW1-zone-untrust]add int gi 1/0/1

[FW1-zone-untrust]quit

[FW1]firewall zone dmz

[FW1-zone-dmz]add int gi 1/0/3

[FW1-zone-dmz]quit

[FW1]security-policy

[FW1-policy-security]rule name 1

[FW1-policy-security-rule-1]action permit

[FW1-policy-security-rule-1]source-address 192.168.10.0 24

[FW1-policy-security-rule-1]source-zone trust

[FW1-policy-security-rule-1]destination-zone untrust

[FW1-policy-security-rule-1]quit

[FW1-policy-security]rule name 2

[FW1-policy-security-rule-2]action permit

[FW1-policy-security-rule-2]source-zone untrust

[FW1-policy-security-rule-2]destination-zone dmz

[FW1-policy-security-rule-2]quit

[FW1-policy-security]rule name 3

[FW1-policy-security-rule-3]action permit

[FW1-policy-security-rule-3]source-zone trust dmz

[FW1-policy-security-rule-3]destination-zone trust dmz

[FW1-policy-security-rule-3]quit

[FW1-policy-security]quit

[FW1]nat address-group 1

[FW1-address-group-1]section 202.1.100.3 202.1.100.4

[FW1-address-group-1]quit

[FW1]nat server 1 global 202.1.100.5 inside 172.16.1.2

[FW1]nat statistics enable

[FW1]nat-policy

[FW1-policy-nat]rule name 1

[FW1-policy-nat-rule-1]source-address 192.168.10.0 24

[FW1-policy-nat-rule-1]action source-nat address-group 1

[FW1-policy-nat-rule-1]source-zone trust

[FW1-policy-nat-rule-1]destination-zone untrust

[FW1-policy-nat-rule-1]enable

[FW1-policy-nat-rule-1]quit

[FW1-policy-nat]quit

内网的PC和外网的PC分别填写IP地址，内网的PC能PING通外网的PC，但是外网的PC无法PING通内网的PC，说明NAT已经生效。

服务器填写IP地址。

外网的PC能PING通服务器映射后的公网IP。

查看NAT地址组的状态是激活的。

查看NAT server的配置显示信息，确认配置没有问题。

查看防火墙的会话表，发现会话表的源地址已经转换后访问外网。

至此，华为防火墙NAT Server典型组网配置案例已完成！