icg3000配置静态映射

配置接口上的内部服务器

2.5.1  功能简介

内部服务器通常配置在外网侧接口上。通过在NAT设备上配置内部服务器，建立一个或多个内网服务器内网地址和端口与外网地址和端口的映射关系，使外部网络用户能够通过配置的外网地址和端口来访问内网服务器。内部服务器可以位于一个普通的内网内，也可以位于一个VPN实例内。

内部服务器可以通过如下配置方式实现。

·     普通内部服务器：将内网服务器的地址和端口映射为外网地址和端口，允许外部网络中的主机通过配置的外网地址和端口访问位于内网的服务器。

·     负载分担内部服务器：在配置内部服务器时，将内部服务器的内网信息指定为一个内部服务器组，组内的多台主机可以共同对外提供某种服务。外网用户向内部服务器指定的外网地址发起应用请求时，NAT设备可根据内网服务器的权重和当前连接数，选择其中一台内网服务器作为目的服务器，实现内网服务器负载分担。

·     基于ACL的内部服务器：普通内部服务器方式必须指定公网地址，基于ACL内部服务器不用指定具体的公网地址，而是指定公网地址的集合，即通过ACL规则匹配过滤的一部分公网地址。对于符合ACL规则的报文，它的目的地址统一转换成相同的内部服务器地址和端口，它是普通内部服务器的扩展。

·     基于对象组的内部服务器：基于对象组的内部服务器使用地址对象组和服务对象组作为报文匹配条件，对于符合匹配条件的报文，它的目的地址和端口统一转换成相同的内部服务器地址和端口。关于对象组的详细介绍，请参见“安全配置指导”中的“对象组”。

2.5.2  配置限制和指导

在配置负载均衡内部服务器时，若配置一个外网地址，N个连续的外网端口号对应一个内部服务器组，或N个连续的外网地址，一个外网端口号对应一个内部服务器组，则内部服务器组的成员个数不能小于N，即同一用户不能通过不同的外网地址或外网端口号访问相同内网服务器的同一服务。在支持NAT内部服务器自动分配NAT规则名称的版本上执行配置回滚操作时，如果回滚配置文件中的NAT内部服务器不存在系统为其自动分配的NAT规则名称，会出现回滚失败的错误提示信息。比如，回滚配置文件中的配置为nat server global 112.1.1.1 inside 192.168.20.1，回滚操作完成后的配置为nat server global 112.1.1.1 inside 192.168.20.1 rule 内部服务器规则_10（内部服务器规则_10为系统自动分配的NAT规则名称），系统会将此配置与回滚文件中的配置进行比较，比较后发现两者不一致，会提示用户回滚失败。这种情况下，相关的命令已下发成功，用户无需处理。

2.5.3  配置普通内部服务器

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     配置普通内部服务器。请至少选择其中一项进行配置。

¡     外网地址单一，未使用外网端口或外网端口单一。

nat server [ protocol pro-type ] global { global-address | current-interface | interface interface-type interface-number } [ global-port ] [ vpn-instance global-vpn-instance-name ] inside local-address [ local-port ] [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ reversible ] [ vrrp virtual-router-id ] [ rule rule-name ] [ disable ] [ counting ] [ description text ]

¡     外网地址单一，外网端口连续。

nat server protocol pro-type global { global-address | current-interface | interface interface-type interface-number } global-port1 global-port2 [ vpn-instance global-vpn-instance-name ] inside { { local-address | local-address1 local-address2 } local-port | local-address local-port1 local-port2 } [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ vrrp virtual-router-id ] [ rule rule-name ] [ disable ] [ counting ] [ description text ]

¡     外网地址连续，未使用外网端口。

nat server protocol pro-type global global-address1 global-address2  [ vpn-instance global-vpn-instance-name ] inside { local-address | local-address1 local-address2 } [ local-port ] [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ vrrp virtual-router-id ] [ rule rule-name ] [ disable ] [ counting ] [ description text ]

¡     外网地址连续，外网端口单一。

nat server protocol pro-type global global-address1 global-address2 global-port [ vpn-instance global-vpn-instance-name ] inside { local-address [ local-port1 local-port2 ] | [ local-address | local-address1 local-address2 ] [ local-port ] } [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ vrrp virtual-router-id ] [ rule rule-name ] [ disable ] [ counting ] [ description text ]

一个接口下可以配置多个普通内部服务器。

可以的。

以下是配置参考命令：

[R1]acl basic 2000

[R1-acl-ipv4-basic-2000]rule 0 permit source any

[R1-acl-ipv4-basic-2000]quit

[R1]int gi 0/1

[R1-GigabitEthernet0/1]description <connect to WAN>

[R1-GigabitEthernet0/1]ip address 192.168.200.254 24

[R1-GigabitEthernet0/1]nat outbound 2000

[R1-GigabitEthernet0/1]nat server protocol tcp global 192.168.200.102 80 inside 10.0.0.1 80

[R1-GigabitEthernet0/1]nat server protocol tcp global 192.168.200.102 443 inside 10.0.0.1 443

[R1-GigabitEthernet0/1]quit

[R1]ip route-static 0.0.0.0 0.0.0.0 192.168.200.1