KVM nat模式防火墙配置

NAT类型：
1. NAT NO-PAT
.将源IP地址映射到公网IP地址上。
.属于多对多的映射关系。
.不会节约公网IP地址，但会保护内网IP地址。
2. NAPT
. 将源IP地址和端口号映射到公网IP地址和端口号上。
.属于多对一的映射关系。
.外网IP地址必须独立。(不能被外网使用)
3. EASY-IP
. 将源IP地址和端口号映射到防火墙外网接口上的IP地址和端口号上。
.属于多对一的映射关系。
.节约公网IP地址。
4. 智能NAT
.NAT NO-PAT 和NAT相结合实现智能NAT。
.少数用户访问互联网使用。
.过多使用NAPT连接互联网。
5. NAT　server
.将内网服务器发布到公网上。

如图所示：

实现的需求：

1.实现内网访问外网，外网不能访问内网。

2.使用nat策略控制出站流量。

3.将内网服务器发布到公网中。(以FTP为例)

对华为路由器进行简单配置：(这一步可做可不做）

Huawei:undo terminal monitor
 Huaweisystem-view
 [Huawei]sysname R1
 [R1]user-interface console 0
 [R1-ui-console0]idle-timeout 0

一.在R1上配置IP地址及静态路由。

1. 配置IP地址。

[R1]interface g 0/0/1 
 [R1-GigabitEthernet0/0/1]ip address 192.168.200.1 24 
 [R1-GigabitEthernet0/0/1]undo shutdown
 [R1]interface g 0/0/0 
 [R1-GigabitEthernet0/0/1]ip address 192.168.100.2 24 
 [R1-GigabitEthernet0/0/1]undo shutdown

2.配置路由条目。

[R1]ip route-static 192.168.10.0 24 192.168.100.1

二.在FW1上配置IP地址，默认路由，指定区域，安全策略。

1.配置IP地址。

[FW1]interface g 1/0/1
 [FW1-GigabitEthernet1/0/1]ip address 192.168.100.1 24
 [FW1-GigabitEthernet1/0/1]undo shutdown
 [FW1]interface g 1/0/0
 [FW1-GigabitEthernet1/0/1]ip address 192.168.10.254 24
 [FW1-GigabitEthernet1/0/1]undo shutdown

2.配置路由条目。

[FW1]ip route-static 0.0.0.0 0.0.0.0 192.168.100.2

3.将接口加入到指定区域。

[FW1]firewall zone trust
 [FW1-zone-trust]add interface GigabitEthernet 1/0/0
 [FW1]firewall zone untrust
 [FW1-zone-untrust]add interface GigabitEthernet 1/0/1

4.配置安全策略。

[FW1]security-policy
 [FW1-policy-security]rule name in_to_out
 [FW1-policy-security-rule-in_to_out]source-zone trust
 [FW1-policy-security-rule-in_to_out]destination-zone untrust
 [FW1-policy-security-rule-in_to_out]action permit

三. 验证内网ping通外网。

四.配置NAT策略。(注：安全策略在这里没有重复配置。)

1.natnopat。

1）配置nat地址池。

[FW1]nat address-group natnopat
 [FW1-address-group-natnopat]section 0 192.168.100.10 192.168.100.11
 [FW1-address-group-natnopat]mode no-pat local

2）配置nat策略。

[FW1]nat-policy
 [FW1-policy-nat]rule name natnopat
 [FW1-policy-nat-rule-natnopat]source-zone trust
 [FW1-policy-nat-rule-natnopat]destination-zone untrust
 [FW1-policy-nat-rule-natnopat]action nat address-group natnopat

3）验证natnopat。（若转换后的IP地址为192.168.100.10或192.168.100.11，则验证成功。）

2.napt.

1)配置nat地址池。

[FW1]nat address-group napt
 [FW1-address-group-napt]section 0 192.168.100.10 192.168.100.10
 [FW1-address-group-napt]mode pat

2)配置nat策略。

[FW1]nat-policy
 [FW1-policy-nat]rule name napt
 [FW1-policy-nat-rule-napt]source-zone trust
 [FW1-policy-nat-rule-napt]destination-zone untrust
 [FW1-policy-nat-rule-napt]action nat address-group napt

3）验证napt。（若转换后的IP地址均为192.168.100.10，则验证成功。）

3.ease_nat。

1）配置nat策略。

[FW1]nat-policy
 [FW1-policy-nat]rule name napt
 [FW1-policy-nat-rule-napt]source-zone trust
 [FW1-policy-nat-rule-napt]destination-zone untrust
 [FW1-policy-nat-rule-ease_nat]action nat easy-ip

3）验证napt。（若转换后的IP地址均为接口IP：192.168.100.1，则验证成功。）

五.nat server。（注：双向通信，注意内网到外网是否有安全策略，否则只能登陆无法查看内容。）
1）模拟FTP服务器。

2)配置安全策略。(允许外网访问内网)

[FW1]security-policy
 [FW1-policy-security]rule name out_to_in
 [FW1-policy-security-rule-out_to_in]source-address 192.168.10.3 32
 [FW1-policy-security-rule-out_to_in]destination-zone dmz
 [FW1-policy-security-rule-out_to_in]service ftp
 [FW1-policy-security-rule-out_to_in]action permit

3)将内网ftp映射到公网IP地址。

[FW1]nat server ftp protocol tcp global 192.168.100.10 2121 inside 192.168.10.3 21

4)验证是否是否成功。