防火墙透明模式做双向NAT案例的知识.doc

防火墙透明模式下做双向NAT典型配置 组网需求 如下图所示：某市银行通过外联路由器连接国税，地税等外联单位，通过骨干路由器连 接银行骨干网。为了保证内网的安全，在外联单位和内网之间部署了一台USG防火墙，通过严格的规则限制内网和外联单位之间的互相访问。 具体需求如下： 防火墙采用透明模式接入，不影响原有的网络结构和地址规划。G0/0/0连接内网核心交换，TRUST区域，G0/0/1连接外联路由器，UNTRUST区域。 业务访问需求：外联单位只能够访问内网的业务前置机的特定端口。内网的业务前置机和某些终端可以访问外联单位的业务主机。 对外联单位发布一个业务前置机的虚地址，对内网用户发布一个外联单位业务主机的虚地址。 外联单位业务主机只允许固定的某个地址可以访问。 为了保证内网安全，不能在内网的核心三层交换机上配置到到外联单位的路由。 为了保证路由器性能，外联路由器只做路由转发，通过防火墙做NAT策略。 IP地址，NAT地址规划： 项目 数据 备注 接口编号：G/0/0/0 接口编号：G/0/0/1 接口加入VLAN10 Ip地址;无 防火墙透明模式下可以使用额外的接口配置地址进行管理。也可以配置VLAN地址，来进行管理 安全区域 Trust：GigabitEthernet 0/0/0 Untrust：GigabitEthernet 0/0/1 配置USG的工作模式，并将接口加入相应安全区域。 配置域间防火墙策略。 配置Trust到Untrust的NAT Outbound. 配置Untrust到Trust的NAT Inbound. 配置NAT Server 操作步骤 配置USG5310的工作模式并将接口加入对应安全区域。 USG5310system-view [USG5310]firewall mode transparent 将接口加入安全区域 [USG5310]firewall zone trust [USG5310-zone-trust]add interface GigabitEthernet 0/0/0 [USG5310-zone-trust]quit [USG5310]firewall zone untrust [USG5310-zone-untrust]add interface GigabitEthernet 0/0/1 [USG5310-zone-untrust]quit 配置域间防火墙策略 略 配置NAT 地址池 [USG5310]nat address-group 1 0 0 此nat地址池用于内网终端和业务前置机访问外联服务器时的nat outbound规则 [USG5310]nat address-group 2 此nat地址池用于外联服务器访问内网业务前置机时的nat inbound规则 配置trust到untrust的NAT Outbound规则 [USG5310]nat-policy interzone trust untrust outbound [USG5310-nat-policy-interzone-trust-untrust-outbound]policy 1 [USG5310-nat-policy-interzone-trust-untrust-outbound-1]policy source 10.112.0. 0 55 [USG5310-nat-policy-interzone-trust-untrust-outbound-1]action source-nat [USG5310-nat-policy-interzone-trust-untrust-outbound-1]address-group 1 [USG5310-nat-policy-interzone-trust-untrust-outbound-1quit 配置trust到untrust的NAT Inbound规则 [USG5310]nat-policy interzone trust untrust inbound [USG5310-nat-policy-interzone-trust-untrust-inbound]policy 1 [USG5310-nat-policy-interzone-trust-untrust-inbound-1]policy source 0 0 [USG5310-nat-policy-interzone-trust-untrust-inbound-1]action source-nat [USG5310-nat