msr常见运用场景配置指导(内部服务器访问典型配置篇).docVIP

PAGE PAGE 7 MSR常见应用场景配置指导(内部服务器访问典型配置篇) ? ? 适用产品： ?????? H3C MSR20、MSR30、MSR50 各系列的所有产品 ? 适应版本： 2008.8.15日之后正式发布的版本。绝大部分配置也适用之前发布的版本。 ? 使用方法： 根据实际应用场景，在本文配置指导基础上，做定制化修改后使用。 实际组网中可能存在特殊要求，建议由专业人员或在专业人员指导下操作。 ? 本文以MSR2010 产品， 2008.8.15日ESS 1710软件版本为案例（1710以后的版本同样支持）。 H3C Comware Software, Version 5.20, ESS 1710 Comware Platform Software Version COMWAREV500R002B58D001SP01 H3C MSR2010 Software Version V300R003B01D004SP01 Copyright (c) 2004-2008 Hangzhou H3C Tech. Co., Ltd. All rights reserved. Compiled Aug 15 2008 13:57:11, RELEASE SOFTWARE ? 1.1?????? 内部服务器访问 目前大部分企业会在内部网络搭建各种应用服务器，如：WWW、数据库和邮件服务器等，通过在网关设备上启用NAT内部服务器映射功能，可以使外网用户访问企业内部的服务器。但是这种配置下常常会碰到一个问题，外网PC可以正常地访问内部服务器，但是内部PC却无法通过域名或者公网地址访问内部服务器，这是由于网关设备没有启用NAT内部地址转换功能导致的。典型组网如下： ??配置需求如下： 1、 MSR采用单条以太网线路接入Internet； 2、 内部存在WWW和SMTP服务器，要求外部PC可以通过访问域名访问内部服务器； 3、 内部可以通过域名或者公网地址访问内部服务器； 典型配置如下： H3Cdis cur # ?version 5.20, ESS 1711 # ?sysname H3C # ?ipsec cpu-backup enable # ?nat aging-time tcp 300 ?nat aging-time udp 180 ?nat aging-time pptp 300 ?nat aging-time ftp-ctrl 300 # ?domain default enable system # ?telnet server enable # ?qos carl 1 source-ip-address range to 54 per-address ?qos carl 2 destination-ip-address range to 54 per-address # acl number 3001 name WANDefend ?rule 0 deny udp destination-port eq tftp ?rule 1 deny tcp destination-port eq 4444 ?rule 2 deny tcp destination-port eq 135 ?rule 3 deny udp destination-port eq 135 ?rule 4 deny udp destination-port eq netbios-ns ?rule 5 deny udp destination-port eq netbios-dgm ?rule 6 deny tcp destination-port eq 139 ?rule 7 deny udp destination-port eq netbios-ssn ?rule 8 deny tcp destination-port eq 445 ?rule 9 deny udp destination-port eq 445 ?rule 10 deny udp destination-port eq 593 ?rule 11 deny tcp destination-port eq 593 ?rule 12 deny tcp destination-port eq 5554 ?rule 13 deny tcp destination-port eq 9995 ?rule 14 deny tcp destination-port eq 9996 ?rule 15 deny udp destination-port eq 1434 ?rule 16 deny tcp destination-port eq 1068 ?rule 17 deny tcp des