华为NAT配置简要说明及实例.doc

若要阻止来自本端口下联设备访问其他端口，用inbound；阻止来自其他端口访问本端口下联设备，用outbound。 从优先级低到优先级高的方向为inbound，反之为outbound 华为防火墙对inbound和outbound的定义是，从优先级低的区域到优先级高的这个方向是inbound，反之是outbound。所以untrust和trust先打哪个都是一样的。 按防火墙的来说,in为从低区域到高区域,反之为OUT一般来说,防火墙自身的LOCAL区级别最高 /*配置允许区域之间的默认安全策略firewall packet-filter default permit interzone local trust direction inboundfirewall packet-filter default permit interzone local trust direction outbound/*注意，下面两条规则不建议开启，如果要从公网管理设备。一定要应用。firewall packet-filter default permit interzone local untrust direction inboundfirewall packet-filter default permit interzone local untrust direction outbound/配置地址池，用于nat 转换nat address-group 1 6 6/下面是设备默认就有的。对于一些NAT会话是否进行超时。一般不需输入nat alg enable ftpnat alg enable dnsnat alg enable icmpnat alg enable netbiosundo nat alg enable h323undo nat alg enable hwccundo nat alg enable ilsundo nat alg enable pptpundo nat alg enable qqundo nat alg enable msnundo nat alg enable user-defineundo nat alg enable sipundo nat alg enable rtsp/*开启安全统计firewall statistic system enable/配置外网untrust接口IPinterface Ethernet0/0/0ip address 6 /配置内网trust接口IPinterface Ethernet0/0/1ip address /*配置ACL,允许内网/24这个子网NAT转换上网，acl number 3000rule 10 permit ip source 55/*将LAN口加到trust区域firewall zone trustset priority 85add interface Ethernet0/0/1/*将WAN口加到untrust区域firewall zone untrustset priority 5add interface Ethernet0/0/0/设置区域间的安全.firewall interzone trust untrust /应用安全规格acl 3000 自trust到untrust区域。packet-filter 3000 outbound/将trust去往untrust区域的数据进行nat 转换。nat outbound 3000 address-group 1 /在firewall interzone trust untrust 里输入/创建用户名和密码aaalocal-user corem password simple coremlocal-user corem level 3local-user corem ftp-directory flash:/authentication-scheme default/配置默认路由ip route-static 53/配置telnet为aaa认证user-interface vty 0 4authentication-mode aaa /设置ssh登陆. firewall packet-filter default permit interzone local trust direction inboundfirewall packet-filter default permit interzone local trust direction outboundaaal