防火墙路由模式和NAT配置.pdfVIP

应用场景：

在网络的边界，如出口区域，在内网和外网之间增加防火墙设备，采用路由模式对局

域网的网进行保护。路由模式一般不单独使用，一般会有以下功能的配合，如在内外网

之间配置灵活的安全策略，或者是进行NAT内网地址转换。

功能原理：

简介

•路由模式指的是交换胴口防火墙卡之间采用互为下一跳指路由的方式通信

优点

•能够支持三层网络设备的多种功能，NAT、动态路由、策略路由、VRRP等

•能够通过VRRP多组的方式实现多张防火墙卡的冗余和负载分担

缺点

・不能转发IPv6和组播包

•部署到已实施网络中需要重新改动原有地址和路由规划

一、组网要求

1、在网络出口位置部署防火墙卡，插在核心交换机的3号槽位，通过防火墙卡区分

内外网，外网接口有两个ISP出口；

2、在防火墙上做NAT配置,内网用户上外网使用私有地址段；

二、组网拓扑

防火埼卡应用在出口连接多个Hecre隹知缸对内网用工作在跖由横式的防火墙卡可看作一台外接的路由器.

户报供NAT上网廉务，对取务器摄供爆□唳射和保护,与交换机之间短道互指跖由转发数据

防火埼需配置为路由模式.将herret公网IP地址配在

防火境按口上

三、配置要点

要点1,配置防火墙

•创建互联的三层接口，并指定IP地址

•配置动态路由或静态路由

•创建作为NATOutside的VLAN接口并指定IP

•配置NAT转换关系

•配置NAT曰志

要点2,配置交换机

•创建连接NATOutside线路的VLAN并指定物理接口

•创建互联到防火墙的三层接口

•通过互联到防火墙的三层接口配置动态路由或静态路由

四、配置步骤

注意：

步骤一、将交换机按客户的业务需要配置完成，并将防火墙卡和交换机联通，并对

防火墙卡进行初始化配置。

1）配置防火墙模块与PC的连通性:

允许VLAN。以6槽位的一个防火墙卡为例:

Ruijie＞enable＞进入特权模式

Ruijie#configureterminal＞进入全局配置模式

Ruijie(config)#vlan4094＞配置一个冗余的

VLAN

Ruijie(config)#interfacerangetenGigabitEternet6/1,6/2＞配置交换机于

防火墙互联的万兆6/1,6/2端口

Ruijie(config-if-range)#port-group2＞配置互联端口为聚合

□,聚合口端口号为2

Ruijie(config-if-range)#interfaceaggregateport2＞进入聚合口配

置模式

Ruijie(config-if-AggregatePort2)#switcportmodetrunk＞配置聚合口的

属性为trunk模式；

Ruijie(config-if-AggregatePort2)#switcporttrunknativevlan4094＞将

防火墙与交换机互联端口的nativevlan设置为非管理VLAN,由于防火墙通过

VLANtag来进行桥接互联，如果从交换机发给防火墙的报文不带tag将会被丢弃,所以

为了保证管理VLAN和防火墙的胡同,必须设置管理vldn为非nativevlan;

Ruijie(config-if-AggregatePort2)#end＞退出到特权模式

Ruijie#configureterminal

Ruiji