F100-S防火墙配置
- 0关注
- 1收藏，542浏览
问题描述：
F100-S防火墙没有用户界面配置，如果需要配置IP地址一一映射，命令行该怎么写呢？
组网及组网描述：
- 2022-04-11提问
- 举报
-
(0)
最佳答案
nat server命令用来配置NAT内部服务器，即定义内部服务器的外网地址和端口与内网地址和端口的映射表项。
undo nat server命令用来删除指定的内部服务器配置。
nat server protocol pro-type global { global-address | current-interface } [ global-port ] [ vpn-instance global-name ] inside local-address [ local-port ] [ vpn-instance local-name ] [ acl acl-number ]
undo nat server protocol pro-type global { global-address | current-interface | interface interface-type interface-number } [ global-port ] [ vpn-instance global-name ]
nat server protocol pro-type global { global-address | current-interface } global-port1 global-port2 [ vpn-instance global-name ] inside { { local-address | local-address1 local-address2 } local-port | local-address local-port1 local-port2 } [ vpn-instance local-name ] [ acl acl-number ]
undo nat server protocol pro-type global { global-address | current-interface } global-port1 global-port2 [ vpn-instance global-name ]
nat server protocol pro-type global global-address1 global-address2 [ global-port ] [ vpn-instance global-name ] inside { local-address | local-address1 local-address2 } [ local-port ] [ vpn-instance local-name ] [ acl acl-number ]
nat server protocol pro-type global global-address1 global-address2 global-port [ vpn-instance global-name ] inside local-address local-port1 local-port2 [ vpn-instance local-name ] [ acl acl-number ]
protocol pro-type：指定协议类型。当协议类型不是TCP、UDP协议时，配置的内部服务器不带端口参数。pro-type可输入以下形式：
· 数字：取值范围为1～255。
· 协议名称：取值包括icmp、tcp和udp。
global-address：内部服务器向外提供服务时对外公布的外网IP地址。
global-address1、global-address2：外网IP地址范围，所包含的地址数目不能超过255。global-address1表示起始地址，global-address2表示结束地址。global-address2必须大于global-address1。
current-interface：使用当前接口的地址作为内部服务器的外网地址，即实现Easy IP方式的内部服务器。
global-port1、global-port2：外网端口范围，和内部主机的IP地址范围构成一一对应的关系。global-port1表示起始端口，global-port2表示结束端口。global-port2必须大于global-port1，且端口范围中的端口数目不能大于255。外网端口可输入以下形式：
· 数字：取值范围为1～65535。起始端口和结束端口均支持此形式。
· 协议名称：为1～15个字符的字符串，例如http、telnet等。仅起始端口支持该形式。
local-address1、local-address2：定义一组连续的内网IP地址范围，和外网端口范围构成一一对应的关系。local-address1表示起始地址，local-address2表示结束地址。local-address2必须大于local-address1。该地址范围的数量必须和global-port1、global-port2定义的端口数量相同。
local-port：内部服务器的内网端口号，可输入以下形式：
· 数字：取值范围为1～65535（FTP数据端口号20除外）。
· 协议名称：为1～15个字符的字符串，例如http、telnet等。
global-port：外网端口号，缺省值以及取值范围的要求和local-port的规定一致。
local-address：服务器的内网IP地址。
vpn-instance global-name：对外公布的外网地址所属的VPN。global-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示对外公布的外网地址不属于任何一个VPN。
vpn-instance local-name：内部服务器所属的VPN。local-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示内部服务器不属于任何一个VPN。
server-group group-number：服务器在内网所属的服务器组。若指定了该参数，则表示要配置一个负载分担内部服务器。group-number表示内部服务器组编号，取值范围为0～65535
acl acl-number：指定ACL编号，取值范围为2000～3999。若指定了该参数，则表示与指定的ACL permit规则匹配的报文才可以使用内部服务器的映射表进行地址转换。
通过该配置可以利用NAT设备将一些内部网络的服务器提供给外部网络使用，例如内部的Web服务器、FTP服务器、Telnet服务器、POP3服务器、DNS服务器等。这些内部服务器可以位于普通的内网内，也可以位于MPLS VPN实例内。
NAT内部服务器通常配置在NAT设备的外网侧接口上。外网用户可以通过global-address定义的外网地址和global-port定义的外网端口来访问内网地址和内网端口分别为local-address和local-port的内部服务器。NAT内部服务器支持以下几种内网和外网的地址、端口映射关系。
表1-17 NAT内部服务器的地址与端口映射关系
|
一个外网地址，N个连续的外网端口号 |
|
|
N个连续的内网地址，一个内网端口号 |
|
|
一个内网地址，N个连续的内网端口号 |
|
|
N个连续的外网地址 |
|
|
N个连续的内网地址 |
|
|
N个连续的外网地址连续，一个外网端口号 |
|
|
N个连续的内网地址，一个内网端口号 |
|
|
一个内网地址，N个连续的内网端口号 |
|
|
一个外网地址，N个连续的外网端口号 |
|
|
N个连续的外网地址，一个外网端口号 |
· 一个接口下允许配置的nat server命令个数与设备的型号有关。每个nat server命令下可以配置的NAT内部服务器数目为global-port2与global-port1的差值，即配置多少个外网端口就对应多少个NAT内部服务器。
· 当pro-type不是TCP（协议号为6）或UDP（协议号为17）时，用户只能设置内部IP地址与外部IP地址的一一对应的关系，无法设置端口号之间的映射。
· 对于同一个接口下配置的NAT服务器，其协议类型、外网地址和外网端口号的组合必须是唯一的，否则认为是配置冲突。本规则同样适用于Easy IP方式的NAT服务器，其外网地址为指定接口的IP地址。
· 对于同一个接口下配置的Easy IP方式的NAT服务器，其协议类型、接口名和外网端口的组合必须是唯一的，否则认为是配置冲突。
· 对于Easy IP方式的NAT服务器，如果其引用的接口的IP地址发生改变，导致跟现有的其它非Easy IP方式的NAT服务器冲突，则Easy IP方式的NAT服务器配置失效；如果接口地址又修改为不冲突的IP，或者之前与之冲突的NAT服务器被删除，则Easy IP方式的NAT配置重新生效。
# 在接口GigabitEthernet1/0/1上配置NAT内部服务器，指定局域网内部的Web服务器的IP地址是10.110.10.10，希望外部通过http://202.110.10.10:8080可以访问Web服务器。
[Sysname] interface gigabitethernet 1/0/1
# 在接口GigabitEthernet1/0/1上配置NAT内部服务器，指定MPLS VPN vrf10内部的FTP服务器的IP地址是10.110.10.11，希望外部通过ftp://202.110.10.10可以访问FTP服务器。
[Sysname] interface gigabitethernet 1/0/1
# 在接口GigabitEthernet1/0/1上配置NAT内部服务器，指定一个VPN vrf10内部的主机10.110.10.12，希望外部网络的主机可以利用ping 202.110.10.11命令ping通它。
[Sysname] interface gigabitethernet 1/0/1
# 在接口GigabitEthernet1/0/1上配置NAT内部服务器，指定一个外部地址202.110.10.10，从端口1001～1100分别映射MPLS VPN vrf10内主机10.110.10.1～10.110.10.100的telnet服务。202.110.10.10:1001访问10.110.10.1，202.110.10:1002访问10.110.10.2，依此类推。
[Sysname] interface gigabitethernet 1/0/1
- 2022-04-11回答
- 评论(0)
- 举报
-
(0)
IP 改成自己实际IP后复制粘贴吧
interface GigabitEthernet1/0/1
port link-mode route
description to-WAN
ip address 218.xx.xx.xx 255.255.255.0
nat outbound
nat server protocol tcp global 218.xx.xx.xx 7777 inside 10.10.10.3 443 rule To-ACG
#
interface GigabitEthernet1/0/2
port link-mode route
ip address 10.10.10.1 255.255.255.0
#
security-zone name Trust
import interface GigabitEthernet1/0/2
#
security-zone name Untrust
import interface GigabitEthernet1/0/1
#
ip route-static 0.0.0.0 0 218.xx.xx.1
#
security-policy ip
rule 10 name t-u
action pass
source-zone Trust
destination-zone Untrust
rule 20 name u-t
action pass
logging enable
source-zone Untrust
destination-zone Trust
#
sa f
- 2022-04-11回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论