华为 MSR路由器 教育网双出口NAT服务器的典型配置.docVIP

华为 MSR路由器 教育网双出口NAT服务器的典型配置 一、组网需求 ： MSR 的 G0/0 连接某学校内网， G5/0 连接电信出口， G5/1 连接教育网出口，路由配置：访问教育网地址通过 G5/1 出去，其余通过默认路由通过 G5/0 出去。电信网络访问教育网地址都是通过电信和教育网的专用连接互通的，因此电信主机访问该校 MSR的G0/0连接某学校内网，G5/0连接电信出口，G5/1连接教育网出口，路由配置：访问教育网地址通过G5/1出去，其余通过默认路由通过G5/0出去。电信网络访问教育网地址都是通过电信和教育网的专用连接互通的，因此电信主机访问该校都是从G5/1进来，如果以教育网源地址（/24）从G5/0访问电信网络，会被电信过滤。该校内网服务器5需要对外提供访问，其域名是，对应DNS解析结果是。先要求电信主机和校园网内部主机都可以通过域名或正常访问，且要求校园网内部可以通过NAT任意访问电信网络或教育网络。 设备清单：MSR一台 二、组网图： 三、配置步骤： 适用设备和版本：MSR系列、Version 5.20, Release 1205P01后所有版本。 # ?//地址池0用于访问电信的NAT ?nat address-group 0 0 00 ?//地址池1用于访问教育网的NAT ?nat address-group 1 0 00 ?//静态NAT用于外部访问内部服务器 ?nat static 5 # //ACL 2000用于内网访问教育网和电信的NAT，允许/0的源 acl number 2000 ?description NAT ?rule 10 permit source 55 //ACL 2222用于策略路由的允许节点，即内部服务器往外发的HTTP从G5/1出去 acl number 2222 ?description policy-based-route permit node ?rule 0 permit source 5 0 # //用于内部主机访问的NAT映射 acl number 3000 ?description /24 access ?rule 0 permit ip source 55 destination 5 0 //ACL 3333用于策略路由拒绝节点，即内部服务器返回内部主机的不需要被策略 acl number 3333 ?description policy-based-route deny node ?rule 0 permit ip source 5 0 destination 55 # interface GigabitEthernet0/0 ?port link-mode route ?//内部主机访问时，将替换成5 ?nat outbound static ?//内部主机访问时，将内部主机地址转换成 ?nat outbound 3000 ?description to neibu-Lan ?ip address 52 ?//策略路由，内部服务器返回内部的不被策略，返回外部的从G5/1出去 ?ip policy-based-route aaa # interface GigabitEthernet5/0 ?port link-mode route ?//内部访问电信时需要NAT ?nat outbound 2000 address-group 0 ?description connect to ChinaNet ?ip address ?tcp mss 1420 # interface GigabitEthernet5/1 ?port link-mode route ?//外部访问内部服务器时静态转换成5 ?nat outbound static ?//内部访问教育网时需要NAT ?nat outbound 2000 address-group 1 ?description connect to Cernet ?ip address ?tcp mss 1420 # //策略路由aaa拒绝节点序号3 policy-based-route aaa deny node 3 ?//匹配条件ACL 3333，即内部服务器返回内部的流量不需要被策略 ?if-match acl 3333 //策略路由aaa允许节点5 policy-based-route aaa permit node 5 ?//匹配ACL 2222，即内部服务器发出的流量 ?if-match acl 2222 ?//应用下一跳，即从G5/1出去 ?apply ip-address next-hop # 四、 1 此案例所实现之功能只在MSR上验证过，不同设备由于内部处理机制差异不能保证能够