【MVS】华为防火墙NAT典型组网配置案例（easy-ip）

组网说明：

本案例采用ENSP模拟器的防火墙来部署easy-ip，安全域和内网、外网在网络拓扑图中已经有了明确的标识，FW1作为出口设备与外网连接，某局点没有申请到公网地址，通过easy-ip的方式，实现内网访问外网。

配置思路：

1、按照网络拓扑图配置IP地址。

2、配置FW1的安全策略。

3、配置FW1的NAPT。

4、配置R1路由器的DHCP，为防火墙的外网口分配IP地址。

R1：

<Huawei>u t m

Info: Current terminal monitor is off.

<Huawei>u t d

Info: Current terminal debugging is off.

<Huawei>system

Enter system view, return user view with Ctrl+Z.

[Huawei]sysname R1

[R1]int gi 0/0/0

[R1-GigabitEthernet0/0/0]ip address 202.103.224.1 24

[R1-GigabitEthernet0/0/0]quit

[R1]int gi 0/0/1

[R1-GigabitEthernet0/0/1]ip address 202.1.100.1 29

[R1-GigabitEthernet0/0/1]quit

[R1]dhcp enable

[R1]ip pool isp

[R1-ip-pool-isp]network 202.1.100.0 mask 29

[R1-ip-pool-isp]gateway-list 202.1.100.1

[R1-ip-pool-isp]dns-list 114.114.114.114

[R1-ip-pool-isp]quit

[R1]int gi 0/0/1

[R1-GigabitEthernet0/0/1]dhcp select relay

[R1-GigabitEthernet0/0/1]dhcp select global

[R1-GigabitEthernet0/0/1]quit

FW1：

<USG6000V1>u t m

Info: Current terminal monitor is off.

<USG6000V1>u t d

Info: Current terminal debugging is off.

<USG6000V1>system

Enter system view, return user view with Ctrl+Z.

[USG6000V1]sysname FW1

[FW1]int gi 1/0/2

[FW1-GigabitEthernet1/0/2]ip address 192.168.10.1 24

[FW1-GigabitEthernet1/0/2]quit

[FW1]int gi 1/0/1

[FW1-GigabitEthernet1/0/1]ip address dhcp-alloc

[FW1-GigabitEthernet1/0/1]quit

[FW1]ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet 1/0/1

[FW1]firewall zone trust

[FW1-zone-trust]add int gi 1/0/2

[FW1-zone-trust]quit

[FW1]firewall zone untrust

[FW1-zone-untrust]add int gi 1/0/1

[FW1-zone-untrust]quit

[FW1]security-policy

[FW1-policy-security]rule name 1

[FW1-policy-security-rule-1]action permit

[FW1-policy-security-rule-1]source-address 192.168.10.0 24

[FW1-policy-security-rule-1]source-zone trust

[FW1-policy-security-rule-1]destination-zone untrust

[FW1-policy-security-rule-1]quit

[FW1-policy-security]rule name 2

[FW1-policy-security-rule-2]action permit

[FW1-policy-security-rule-2]source-zone local

[FW1-policy-security-rule-2]destination-zone untrust

[FW1-policy-security-rule-2]quit

[FW1-policy-security]rule name 3

[FW1-policy-security-rule-3]action permit

[FW1-policy-security-rule-3]source-zone untrust

[FW1-policy-security-rule-3]destination-zone local

[FW1-policy-security-rule-3]quit

[FW1-policy-security]quit

[FW1]nat-policy

[FW1-policy-nat]rule name 1

[FW1-policy-nat-rule-1]source-address 192.168.10.0 24

[FW1-policy-nat-rule-1]source-zone trust

[FW1-policy-nat-rule-1]destination-zone untrust

[FW1-policy-nat-rule-1]action source-nat easy-ip

[FW1-policy-nat-rule-1]quit

[FW1-policy-nat]quit

此时，防火墙的外网接口能通过DHCP获取到公网地址。

内网的PC和外网的PC分别填写IP地址，内网的PC能PING通外网的PC，但是外网的PC无法PING通内网的PC，说明NAT已经生效。

查看防火墙的会话表，发现会话表的源地址已经转换后访问外网。

至此，华为防火墙easy-ip典型组网配置案例已完成！