Web舉例：公網(wǎng)用戶通過NAT Server訪問內(nèi)部服務(wù)器

介紹公網(wǎng)用戶通過NAT Server訪問內(nèi)部服務(wù)器的配置舉例。

組網(wǎng)需求

某公司在網(wǎng)絡(luò)邊界處部署了FW作為安全網(wǎng)關(guān)。為了使私網(wǎng)Web服務(wù)器和FTP服務(wù)器能夠?qū)ν馓峁┓?wù)，需要在FW上配置NAT Server功能。除了公網(wǎng)接口的IP地址外，公司還向ISP申請了一個IP地址（1.1.1.10）作為內(nèi)網(wǎng)服務(wù)器對外提供服務(wù)的地址。網(wǎng)絡(luò)環(huán)境如圖1所示，其中Router是ISP提供的接入網(wǎng)關(guān)。

圖1?NAT Server組網(wǎng)圖

數(shù)據(jù)規(guī)劃

配置思路

1. 配置接口IP地址和安全區(qū)域，完成網(wǎng)絡(luò)基本參數(shù)配置。
2. 配置安全策略，允許外部網(wǎng)絡(luò)用戶訪問內(nèi)部服務(wù)器。
3. 配置NAT Server，分別映射內(nèi)網(wǎng)Web服務(wù)器和FTP服務(wù)器。
4. 在FW上配置缺省路由，使內(nèi)網(wǎng)服務(wù)器對外提供的服務(wù)流量可以正常轉(zhuǎn)發(fā)至ISP的路由器。
5. 在Router上配置到NAT Server的公網(wǎng)地址的靜態(tài)路由。

操作步驟

1. 配置FW的接口IP地址，并將接口加入安全區(qū)域。
   1. 配置接口GigabitEthernet 1/0/1的IP地址，并將接口加入安全區(qū)域。

      1. 選擇“網(wǎng)絡(luò)?>?接口”。

      2. 在“接口列表”中，單擊接口GigabitEthernet 1/0/1所在行的

         

         ，按如下參數(shù)進(jìn)行配置。

         安全區(qū)域	untrust
         IPv4
         IP地址	1.1.1.1/24

      3. 單擊“確定”。

   2. 配置接口GigabitEthernet 1/0/2的IP地址，并將接口加入安全區(qū)域。

      1. 在“接口列表”中，單擊接口GigabitEthernet 1/0/2所在行的

         

         ，按如下參數(shù)進(jìn)行配置。

         安全區(qū)域	dmz
         IPv4
         IP地址	10.2.0.1/24

      2. 單擊“確定”。

2. 配置安全策略，允許外部網(wǎng)絡(luò)用戶訪問內(nèi)部服務(wù)器。

   1. 選擇“策略?>?安全策略?>?安全策略”。

   2. 在“安全策略列表”中，單擊“新建”，選擇“新建安全策略”，按如下參數(shù)配置安全策略。

      名稱	policy1
      源安全區(qū)域	untrust
      目的安全區(qū)域	dmz
      目的地址/地區(qū)	10.2.0.0/24
      動作	允許

   3. 單擊“確定”。

3. 配置服務(wù)器映射（NAT Server）功能，創(chuàng)建兩條服務(wù)器映射，分別映射內(nèi)網(wǎng)Web服務(wù)器和FTP服務(wù)器。
   1. 選擇“策略?>?NAT策略?>?服務(wù)器映射”。

      

   2. 單擊“新建”，按如下參數(shù)配置服務(wù)器映射，用于映射內(nèi)網(wǎng)Web服務(wù)器。

      

   3. 單擊“確定”。
   4. 參考上述步驟，按如下參數(shù)再創(chuàng)建一條服務(wù)器映射，用于映射內(nèi)網(wǎng)FTP服務(wù)器。

      

      

      當(dāng)NAT Server的global地址與公網(wǎng)接口地址不在同一網(wǎng)段時，必須配置黑洞路由；當(dāng)NAT Server的global地址與公網(wǎng)接口地址在同一網(wǎng)段時，建議配置黑洞路由；當(dāng)NAT Server的global地址與公網(wǎng)接口地址一致時，不會產(chǎn)生路由環(huán)路，不需要配置黑洞路由。

4. 開啟FTP協(xié)議的NAT ALG功能。
   1. 選擇“策略?>?ASPF配置”。

      

   2. 在“ASPF配置”界面，勾選“FTP”。
5. 在FW上配置缺省路由，使內(nèi)網(wǎng)服務(wù)器對外提供的服務(wù)流量可以正常轉(zhuǎn)發(fā)至ISP的路由器。
   1. 選擇“網(wǎng)絡(luò)?>?路由?>?靜態(tài)路由”。
   2. 在“靜態(tài)路由列表”中，單擊“新建”，按如下參數(shù)配置缺省路由。

      協(xié)議類型	IPv4
      目的地址/掩碼	0.0.0.0/0.0.0.0
      下一跳	1.1.1.254

   3. 單擊“確定”。
6. 在Router上配置到服務(wù)器映射的公網(wǎng)地址（1.1.1.10）的靜態(tài)路由，下一跳為1.1.1.1，使得去服務(wù)器的流量能夠送往FW。

   通常需要聯(lián)系ISP的網(wǎng)絡(luò)管理員來配置此靜態(tài)路由。

配置腳本

FW的配置腳本：文章來源地址http://www.zghlxwxcb.cn/news/detail-688129.html

#
 sysname FW
#
 nat server policy_web 0 protocol tcp global 1.1.1.10 8080 inside 10.2.0.7 www unr-route
 nat server policy_ftp 1 protocol tcp global 1.1.1.10 ftp inside 10.2.0.8 ftp unr-route
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 1.1.1.1 255.255.255.0 
#
interface GigabitEthernet1/0/2
 undo shutdown
 ip address 10.2.0.1 255.255.255.0 
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/1
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet1/0/2
# 
firewall interzone dmz untrust 
 detect ftp 
#
 ip route-static 0.0.0.0 0.0.0.0 1.1.1.254 
#  
security-policy   
  rule name policy1  
    source-zone untrust 
    destination-zone dmz 
    destination-address 10.2.0.0 24 
    action permit 
# 
return

到了這里，關(guān)于【防火墻】防火墻NAT Server的配置的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！