华为_MSR路由器_教育网双出口NAT服务器的典型配置

私网用户通过NAPT方式访问Internet（备注：在这种环境中，外网只能ping通外网口，公网没有写入到内网的路由，所以前提是内网只能ping通外网口，但走不到外网口以外的网络，做了NAT之后，内网可以通外网任何网络，但是外网只能ping到本地内网的外网口。

）本例通过配置NAPT功能，实现对少量公网IP地址的复用，保证公司员工可以正常访问Internet。

组网需求如图1所示，某公司内部网络通过USG9000与Internet相连，USG9000作为公司内网的出口网关。

由于该公司拥有的公网IP地址较少（202.169.1.21～202.169.1.25），所以需要利用USG9000的NAPT功能复用公网IP地址，保证员工可以正常访问Internet。

图1 配置私网用户通过NAPT方式访问Internet组网图配置思路1.完成设备的基础配置，包括配置接口的IP地址，并将接口加入安全区域。

2.配置安全策略，允许私网指定网段访问Internet。

3.配置NAT地址池和NAT策略，对指定流量进行NAT转换，使私网用户可以使用公网IP地址访问Internet。

4.配置黑洞路由，防止产生路由环路。

操作步骤1.配置USG9000的接口IP地址，并将接口加入安全区域。

# 配置接口GigabitEthernet 1/0/1的IP地址。

<USG9000> system-view[USG9000] interface GigabitEthernet 1/0/1[USG9000-GigabitEthernet1/0/1] ip address 10.1.1.10 24[USG9000-GigabitEthernet1/0/1] quit# 配置接口GigabitEthernet 1/0/2的IP地址。

[USG9000] interface GigabitEthernet 1/0/2[USG9000-GigabitEthernet1/0/2] ip address 202.169.1.1 24[USG9000-GigabitEthernet1/0/2] quit# 将接口GigabitEthernet 1/0/1加入Trust区域。

华为MSR系列路由器-NAT连接数限制功能华为2010-04-21 15:11:15 阅读5 评论0 字号：大中小订阅一、组网需求：MSR作为出口NAT路由器，对内部主机192.168.0.3作最多2个NAT会话限制，对192.168.0.2作缺省最多1个NAT会话限制，其余主机不作限制。

设备清单：MSR系列路由器1台二、组网图：三、配置步骤：MSR配置#//使能连接限制，必须配置connection-limit enable//对缺省连接数量上限配置为1，下限为0，达到上限后开始限制，只有达到下限后才允许新建会话connection-limit default amount upper-limit 1 lower-limit 0#//定义连接限制策略，索引0connection-limit policy 0//对匹配ACL2000的数据流采用缺省连接限制，即上限1，下限0limit 0 acl 2000//对匹配ACL2001的数据流采用上限2，下限1的会话数量限制limit 1 acl 2001 per-source amount 2 1#//定义各ACL，其中ACL2002用于NAT转换，2000和2001用于连接限制acl number 2000rule 0 permit source 192.168.0.2 0acl number 2001rule 0 permit source 192.168.0.3 0acl number 2002rule 0 permit source 192.168.0.0 0.0.0.255#//连接公网接口配置interface GigabitEthernet0/0port link-mode routeip address 1.2.0.1 255.255.255.0nat outbound 2002#//连接内网接口配置interface GigabitEthernet0/1port link-mode routeip address 192.168.0.1 255.255.255.0#//路由配置ip route-static 0.0.0.0 0.0.0.0 1.2.0.254#//使能NAT的连接限制，即指定一个策略索引nat connection-limit-policy 0#四、配置关键点：1) 必须要使能connection-limit；2) 如果不配置connection-limit default amout，那么该例中对策略0的ACL 2000不作限制；3) 必须要定义connection-limit policy，因为NAT连接限制必须指定策略；4) 如果连接限制策略中如果只指定ACL，不对per-source、per-destination、per-service进行指定则采取connection-limit default进行限制，如果connection-limit没有配置，则不作限制；5) 如果连接限制策略中对ACL进行了进一步per-source、per-destination、per-service的限制，则以此配置为准而不采取connection-limit default限制；6) 如果不符合连接限制策略的ACL匹配，则不做限制；7) NAT中必须指定连接限制策略，否则任何限制不生效。

1配置NAT Server双出口举例本例给出一个同时接入两个运营商网络的企业配置内部服务器的案例。

这个企业从每个运营商处都获取到了一个公网IP地址，为了保证所有用户的访问速度，需要让不同运营商的用户通过访问相应的运营商的IP来访问公司提供的服务，而不需要经过运营商之间的中转。

组网需求如图1所示，某公司内部网络通过SRG与两个运营商网络连接。

公司内网有一台FTP Server同时对两个运营商网络提供服务器，其真实IP是10.1.1.2。

ISP1网络中的用户可以通过1.1.1.2访问FTP Server，ISP2网络中的用户可以通过2.2.2.2访问FTP Server。

要实现这一需求，只要将两个运营商网络划入不同的安全区域，使用nat server的zone参数对不同的安全区域发布不同的公网IP即可。

图1 配置多对一的内部服务器组网图操作步骤1.创建安全区域。

2.<SRG> system-view3.[SRG] firewall zone dmz4.[SRG-zone-dmz] quit5.[SRG] firewall zone name ISP16.[SRG-zone-isp1] set priority 107.[SRG-zone-isp1] quit8.[SRG] firewall zone name ISP29.[SRG-zone-isp2] set priority 2010.[SRG-zone-isp2] quit11.配置各接口的IP地址，并将其加入安全区域。

12.[SRG] interface GigabitEthernet 0/0/213.[SRG-GigabitEthernet0/0/2] ip address 10.1.1.1 2414.[SRG-GigabitEthernet0/0/2] quit15.[SRG] interface GigabitEthernet 0/0/316.[SRG-GigabitEthernet0/0/3] ip address 1.1.1.1 2417.[SRG-GigabitEthernet0/0/3] quit18.[SRG] interface GigabitEthernet 5/0/019.[SRG-GigabitEthernet5/0/0] ip address 2.2.2.1 2420.[SRG-GigabitEthernet5/0/0] quit21.[SRG] firewall zone dmz22.[SRG-zone-dmz] add interface GigabitEthernet 0/0/223.[SRG-zone-dmz] quit24.[SRG] firewall zone ISP125.[SRG-zone-isp1] add interface GigabitEthernet 0/0/326.[SRG-zone-isp1] quit27.[SRG] firewall zone ISP228.[SRG-zone-isp2] add interface GigabitEthernet 5/0/029.[SRG-zone-isp2] quit30.配置内部服务器，对不同的安全区域发布不同的公网IP地址。

通过在外网口配置nat基本就OK 了，以下配置假设EthernetO/O为局域网接口,EthernetO/1 为外网口。

1、配置内网接口( EthernetO/O):[MSR20-20 ] in terface EthernetO/O[MSR20-20 - EthernetO/O]ip add 192.168.1.1 242、使用动态分配地址的方式为局域网中的PC分配地址[MSR20-20 ]dhcp server ip-pool 1[MSR20-20 -dhcp-pool-1]network 192.168.1.0 24[MSR20-20 -dhcp-pool-1]dns-list 202.96.134.133[MSR20-20 -dhcp-pool-1] gateway-list 192.168.1.13、配置nat[MSR20-20 ]nat address-group 1 公网IP 公网IP[MSR20-20 ]acl number 3000[MSR20-20 -acl-adv-3000]rule 0 permit ip4、配置外网接口( EthernetO/1)[MSR20-20 ] in terface EthernetO/1[MSR20-20 - Ethernet0/1]ip add 公网IP[MSR20-20 - EthernetO/1] nat outbound 3000 address-group 15 .加默缺省路由[MSR20-20 ]route-stac 0.0.0.0 0.0.0.0 夕卜网网关总结：在2020路由器下面，配置外网口，配置内网口，配置acl作nat,一条默认路由指向电信网关.ok!Console登陆认证功能的配置关键词：MSR;co nsole;一、组网需求：要求用户从con sole登录时输入已配置的用户名h3c和对应的口令h3c,用户名和口令正确才能登录成功。

华为路由器网络地址转换（NAT）配置easy IP 多对一静态NAT配置：1、AR1、AR2配置地址<Huawei>sy[Huawei]undo info-center enable[Huawei]int g0/0/0[Huawei-GigabitEthernet0/0/0]ip add 1.1.1.1 24 //配置外网地址[Huawei-GigabitEthernet0/0/0]int g0/0/1[Huawei-GigabitEthernet0/0/1]ip add 192.168.1.1 24 //配置内网地址[Huawei-GigabitEthernet0/0/1]quitAR2：[Huawei]undo info-center enable[Huawei]int l0[Huawei-LoopBack0]ip add 2.2.2.2 24[Huawei-LoopBack0]int g0/0/0[Huawei-GigabitEthernet0/0/0]ip add 1.1.1.2 24[Huawei-GigabitEthernet0/0/0]quit2、AR1上配置NAT[Huawei]acl 2000[Huawei-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255 //允许用于转换的内网地址[Huawei-acl-basic-2000]rule deny[Huawei-acl-basic-2000]quit[Huawei]interface g0/0/0[Huawei-GigabitEthernet0/0/0]nat outbound 2000 //nat转换的为acl2000中的地址默认将acl2000中的内网地址转换为外网接口地址1.1.1.1[Huawei-GigabitEthernet0/0/0]quit[Huawei][Huawei]ip route-static 0.0.0.0 0.0.0.0 1.1.1.2 //配置缺省路由配置端口映射，将内网服务器的80端口映射为一个外网地址的80端口，从而使外网能够访问内网的www服务器。

出口网关双链路接入不同运营商举例一USG作为校园或大型企业出口网关可以实现内网用户通过两个运营商访问Internet，还可以实现外网用户访问内网服务器，并保护内网不受网络攻击。

组网需求某学校网络通过USG连接到Internet，校内组网情况如下：∙校内用户主要分布在教学楼和宿舍区，通过汇聚交换机连接到USG。

图书馆内部署的两台服务器是该校主页、招生及资源共享等网站。

∙学校分别通过两个不同运营商（ISP1和ISP2）连接到Internet，两个运营商分别为该校分配了5个IP地址。

ISP1分配的IP地址是200.1.1.1～200.1.1.5，ISP2分配的IP地址是202.1.1.1～202.1.1.5，掩码均为24位。

该学校网络需要实现以下需求：∙校内用户能够通过两个运营商访问Internet，且去往不同运营商的流量由USG上连接该运营商的对应的接口转发。

∙当一条链路出现故障时，流量可以被及时切换到另一条链路上，避免网络长时间中断。

∙校内用户和校外用户都可以访问图书馆中部署的2台服务器。

∙保护内部网络不受SYN Flood、UDP Flood和ICMP Flood的攻击。

图1 出口网关双链路接入不同运营商举例一组网图项目数据说明（1）接口号：GigabitEthernet 0/0/0IP地址：10.1.1.1/16安全区域：Trust 接口（1）是连接内网汇聚交换机的接口。

校内用户分配到网段为10.1.0.0/16的私网地址和DNS 服务器地址100.1.1.1/24，部署在Trust区域。

（2）接口号：GigabitEthernet 0/0/1IP地址：192.168.1.1/24安全区域：DMZ 接口（2）是连接图书馆内服务器的接口。

图书馆区部署在DMZ区域。

（3）接口号：GigabitEthernet 0/0/2IP地址：200.1.1.1/24安全区域：ISP1安全优先级：15 接口（3）是连接ISP1的接口，去往ISP1所属网段的数据通过接口（3）转发。

好网吧好网络——华为3COM网吧网络解决方案之网关配置指导——华为三康技术有限公司Huawei-3Com Technologies Co., Ltd.目录第一部分配置原则概述 (3)1需要注意的配置事项 (3)1.1配置ACL对非法报文进行过滤 (3)1.1.1进行源IP和目的IP过滤 (3)1.1.2限制ICMP报文 (5)1.1.3限制netbios协议端口 (5)1.1.4限制常见病毒使用的端口 (6)1.1.5关闭没有使用的端口 (7)1.2NAT配置注意事项 (7)1.3路由配置注意事项 (7)1.4进行IP-MAC地址绑定 (8)1.5限制P2P应用（根据实际情况可选） (8)1.5.1通过ACL限制端口 (8)1.5.2结合QOS和ACL限制端口流量 (9)1.5.3限制单机的NAT会话数 (11)1.5.4在客户机上通过软件限制 (11)2附：限制常见P2P软件端口的ACL (11)第二部分典型配置实例 (12)1单出口典型配置 (12)1.1局域网内的主机地址是私网IP地址 (12)1.2局域网内的主机地址是公网IP地址 (19)2双出口链路备份典型配置 (27)2.1两条链路都是以太网链路的情况 (27)2.2两条链路是以太网链路+PPPOE链路的情况 (36)3双出口同时实现负载分担和链路备份典型配置 (45)第一部分配置原则概述随着网络建设和应用的不断深入，网络安全问题正逐渐成为一个突出的管理问题。

AR18系列路由器通过多种手段和配置可以控制和管理网络的流量，能够有效地实施各种防攻击策略。

尤其在网吧这种复杂的网络环境中，全面合理的配置能够大大提高网络的稳定性和可靠性。

由于网吧上网人员数量多、构成复杂、流动性大，因此网络流量具有流量大、协议种类多、流量复杂等特点。

一般网吧局域网内均有一定程度主机感染病毒，同时也很容易被用来发起网络攻击，或者被他人攻击，这就对网吧中的核心设备――网关提出了较高的要求。

MSR路由器策略路由配置2（不同网段走不同的WAN口）1. 组网需求MSR路由器双WAN口上网，一个接口采用静态地址，一个接口采用PPPoE拨号上网。

两个接口的带宽相近。

内网有两个网段，网关都设置在MSR路由器上，需要实现192.168.1.0/24网段上网走拨号上网的接口，192.168.2.0/24网段上网走固定地址上网的接口，且当其中任何一条链路中断后，原来该链路上的流量能切换到另一条运营商链路上。

2. 配置步骤配置思路：配置两条默认路由，下一跳分别指向两个运营商的网关，其中指向运营商2的默认路由的优先级调整为80。

配置策略路由把源地址为192.168.2.0/24网段访问互联网的流量引向运营商2。

当运营商1链路中断时，高优先级默认路由（拨号上网）失效，低优先级默认路由（固定地址上网）生效，192.168.1.0网段切换到运营商2上网。

当运营商2链路中断时，策略路由下一跳不可达，192.168.2.0网段通过默认路由切换到运营商1上网。

1) 配置默认路由<H3C>system-view[H3C]ip route-static 0.0.0.0 0 Dialer 5 //配置通过PPPoE拨号上网的默认路由，优先级为默认值60[H3C]ip route-static 0.0.0.0 0 1.1.1.254 preference 80 //配置通过固定地址上网的默认路由（本案例假设网关地址为1.1.1.254，请根据实际情况配置），优先级设置为80，优先级较低（数值越大优先级越低），默认情况下不生效2) 定义访问控制列表，用来匹配内网数据报文[H3C]acl number 3000 //MSR V7路由器命令为acl advanced 3000，下同[H3C-acl-adv-3000]rule permit ip source192.168.2.0 0.0.0.255 //匹配IP地址为192.168.2.0/24的网段的终端[H3C-acl-adv-3000]quit[H3C]acl number 3001[H3C-acl-adv-3001]rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 //为了不让192.168.2.0/24网段访问192.168.1.0/24网段的流量匹配上策略路由，需要单独定义ACL匹配该流量。

华为路由器配置简单NAT实例session 1 NATNAT网络地址转换，将内网用户私有ip地址转换为公网ip地址实现上网。

简单的配置分为静态NAT、动态NAT、端口PAT、NAT-server发布等，下面以实际配置为例：一、静态NAT转换AR1上配置interface GigabitEthernet0/0/0ip address 192.168.1.1 255.255.255.0interface GigabitEthernet0/0/1ip address 192.168.2.1 255.255.255.0interface GigabitEthernet0/0/2ip address 12.1.1.1 255.255.255.0nat server global 12.1.1.100 inside 192.168.2.10 在接口下将192.168.2.10转换成12.1.1.100地址访问公网nat static enable 启用nat功能（全局或者接口都可以配置）或者全局下也可以配置静态NAT：[Huawei] nat static global 12.1.1.10 inside 192.168.1.10 netmask 255.255.255.255AR2上配置interface GigabitEthernet0/0/0 AR2模拟internet设备，配置公网ip即可ip address 12.1.1.2 255.255.255.0二、动态NAT配置AR1上配置acl number 2000rule 1 permit source 192.168.1.0 0.0.0.3 使用acl匹配需要进行转换的内网ip地址（1.1-1.8这8个ip地址）nat address-group 1 12.1.1.10 12.1.1.18 配置nat转换用的公网地址池1，地址范围12.1.1.10~12.1.1.18interface GigabitEthernet0/0/0ip address 192.168.1.1 255.255.255.0interface GigabitEthernet0/0/1interface GigabitEthernet0/0/2ip address 12.1.1.1 255.255.255.0nat outbound 2000 address-group 1 no-pat 在接口出方向上使用动态NAT，不做PAT端口复用AR2上配置interface GigabitEthernet0/0/0ip address 12.1.1.2 255.255.255.0nat static enable三、端口多路复用PAT配置AR1上的配置acl number 2000 使用acl匹配所有ip流量rule 1 permitinterface GigabitEthernet0/0/0ip address 192.168.1.1 255.255.255.0interface GigabitEthernet0/0/2ip address 12.1.1.1 255.255.255.0nat outbound 2000 在出接口上使用PAT端口复用或者可以使用loopback接口（将公网ip配置在loopback接口上）来做PAT接口ip地址，这样当物理接口ip地址没有了也不会影响NAT，提高稳定性：[Huawei-GigabitEthernet0/0/2]nat outbound 2000 interface loopback 0AR2上配置interface GigabitEthernet0/0/0ip address 12.1.1.2 255.255.255.0nat static enable验证可以使用PC2去ping模拟internet的AR2的接口ip：12.1.1.2PC>ping 12.1.1.2Ping 12.1.1.2: 32 data bytes, Press Ctrl_C to breakFrom 12.1.1.2: bytes=32 seq=1 ttl=254 time=47 msFrom 12.1.1.2: bytes=32 seq=2 ttl=254 time=32 msFrom 12.1.1.2: bytes=32 seq=3 ttl=254 time=16 msFrom 12.1.1.2: bytes=32 seq=4 ttl=254 time=31 msFrom 12.1.1.2: bytes=32 seq=5 ttl=254 time=15 ms--- 12.1.1.2 ping statistics ---5 packet(s) transmitted5 packet(s) received0.00% packet lossround-trip min/avg/max = 15/28/47 msPC>四、NAT发布内网服务器到公网，供公网用户访问。

华为路由器基础配置华为路由器基础配置华为路由器是一款高性能路由器，广泛应用于家庭和中小企业网络中。

正确配置华为路由器可以使其发挥最佳的网络性能和安全性。

下面我们将介绍华为路由器的基础配置，帮助大家更好地使用这款设备。

一、网络设置1、WAN口设置：根据您的上网方式，选择正确的WAN口连接类型，如动态IP（DHCP）、静态IP等。

确保已正确设置WAN口IP地址、子网掩码和网关。

2、LAN口设置：设置LAN口IP地址和子网掩码。

确保LAN口和WAN口在同一网段内。

3、Wi-Fi设置：根据您的需求，设置Wi-Fi名称（SSID）和密码。

建议使用强密码来确保网络安全。

4、端口映射：根据您的需求，设置端口映射，将内网IP地址的端口映射到公网IP地址。

二、安全设置1、密码设置：为路由器设置管理员密码，确保密码强度足够，避免使用简单密码。

2、防火墙设置：开启防火墙，防止来自公网的未经授权的访问。

根据需要设置防火墙规则，允许必要的网络流量通过。

3、网络安全控制：根据您的需求，设置网络安全控制，如IP与MAC 地址绑定、访问控制列表（ACL）等。

三、其他功能配置1、DHCP服务：根据您的网络拓扑和设备数量，设置DHCP服务，为网络中的设备自动分配IP地址。

2、动态IP分配：配置动态IP（DHCP）分配，使客户端设备能够自动获取IP地址和DNS服务器地址。

3、无线AP设置：如果您需要扩展无线网络覆盖范围，可以配置无线AP模式，将多个AP设备连接在一起形成一个无线网络。

4、模块配置：根据您的需求，添加所需的模块，如防火墙模块、VPN 模块等。

以上是华为路由器基础配置的简要介绍。

正确配置华为路由器将有助于提高网络性能和安全性。

如果大家有任何疑问，建议参考华为路由器用户手册或咨询专业技术人员。

思科路由器查看配置命令在计算机网络管理中，路由器是网络拓扑结构中不可或缺的一部分。

特别是在复杂的网络环境中，思科路由器扮演着至关重要的角色。

H3C- 路由器双出口NAT服务器的典型配置在公司或者组织中，我们通常需要一个网络管理工具，这个工具可以管理和监控网络中的所有设备，保证网络的安全和稳定性。

其中，路由器双出口NAT服务器是一种非常常见的网络管理工具。

本文将介绍 H3C 路由器双出口 NAT 服务器的典型配置方法。

前置条件在进行配置之前，需要确保以下条件：•路由器需要复位为出厂设置状态。

•电脑需要连接到路由器的任意一口网卡上。

•管理员需要知道所需配置的类型和参数。

网络环境在这里，我们假设 LAN 网段为 192.168.1.0/24，WAN1 网卡 IP 地址为10.0.0.1/24，WAN2 网卡 IP 地址为 20.0.0.1/24。

配置步骤步骤1 分别配置两个 WAN 口•登录到 H3C 路由器上，使用管理员权限。

•分别进入 WAN1 和 WAN2 的配置页面，输入以下指令：interface GigabitEthernet 0/0/0undo portswitchip address 10.0.0.1 24nat server protocol tcp global current-interface 80 inside 192.168.1.10 80region member CNinterface GigabitEthernet 0/0/1undo portswitchip address 20.0.0.1 24nat server protocol tcp global current-interface 80 inside 192.168.1.10 80region member CN步骤2 配置路由策略•在路由器上进入配置模式，输入以下指令：ip route-static 0.0.0.0 0.0.0.0 10.0.0.254ip route-static 0.0.0.0 0.0.0.0 20.0.0.254 preference 10route-policy Wan1 permit node 10route-policy Wan2 deny node 20interface GigabitEthernet 0/0/0ip policy route-map Wan1interface GigabitEthernet 0/0/1ip policy route-map Wan2步骤3 配置防火墙•进入防火墙配置页面，输入以下指令：user-interface vty 0 4protocol inbound sshacl number 3000rule 0 permit source 192.168.1.0 0.0.0.255rule 5 permit source 10.0.0.0 0.0.0.255rule 10 permit source 20.0.0.0 0.0.0.255firewall packet-filter 3000 inbound步骤4 配置虚拟服务器•进入虚拟服务器配置页面，输入以下指令：ip name-server 192.168.1.1acl name WAN1rule 0 permit destination 10.0.0.0 0.255.255.255rule 5 denyacl name WAN2rule 0 permit destination 20.0.0.0 0.255.255.255rule 5 denyip netstream inboundip netstream export source 192.168.1.1 9991ip netstream timeout active-flow 30flow-export destination 192.168.1.2 9991flow-export enable结论以上是 H3C 路由器双出口 NAT 服务器的典型配置方法，这套配置可以满足大部分企业网络环境的需求。

华为 MSR路由器教育网双出口NAT服务器的典型配置一、组网需求： MSR 的 G0/0 连接某学校内网， G5/0 连接电信出口， G5/1 连接教育网出口，路由配置：访问教育网地址通过 G5/1 出去，其余通过默认路由通过 G5/0 出去。

电信网络访问教育网地址都是通过电信和教育网的专用连接互通的，因此电信主机访问该校一、组网需求：MSR的G0/0连接某学校内网，G5/0连接电信出口，G5/1连接教育网出口，路由配置：访问教育网地址通过G5/1出去，其余通过默认路由通过G5/0出去。

电信网络访问教育网地址都是通过电信和教育网的专用连接互通的，因此电信主机访问该校都是从G5/1进来，如果以教育网源地址（211.1.1.0/24）从G5/0访问电信网络，会被电信过滤。

该校内网服务器192.168.34.55需要对外提供访问，其域名是，对应DNS解析结果是211.1.1.4。

先要求电信主机和校园网内部主机都可以通过域名或211.1.1.4正常访问，且要求校园网内部可以通过NAT任意访问电信网络或教育网络。

设备清单：MSR一台二、组网图：三、配置步骤：适用设备和版本：MSR系列、Version 5.20, Release 1205P01后所有版本。

四、配置关键点：1) 此案例所实现之功能只在MSR上验证过，不同设备由于内部处理机制差异不能保证能够实现；2) 策略路由是保证内部服务器返回外网的流量从G5/1出去，如果不使用策略路由会按照普通路由转发从G5/0出去，这样转换后的源地址211.1.1.4会被电信给过滤掉，因此必须使用策略路由从G5/1出去；3) 策略路由的拒绝节点的作用是只要匹配ACL就变成普通路由转发，而不被策略；4) 在G0/0应用2个NAT的作用是使内网可以通过访问211.1.1.4访问内部服务器，如果只使用NAT Outbound Static，那么内部主机192.168.1.199发送HTTP请求的源、目的地址对<192.168.1.199, 211.1.1.4>会变成<192.168.1.199, 192.168.34.55>然后发送给内部服务器，那么内部服务器会把HTTP响应以源、目的地址对<192.168.34.55, 192.168.1.199>直接返回给内部主机（192.168.1.199可以经过内部路由不需要经过MSR到达）因此对于内部主机来说始终没有接收到211.1.1.4返回的HTTP响应，因此打开网页失败。

华为NAT配置背景： 早在20世纪90年代初，有关RFC⽂档就提出啦IP地址耗尽的可能。

，2019年11⽉26⽇，是⼈类互联⽹时代值得纪念的⼀天，全球43亿个IPv4地址今⽇正式耗尽。

IPv6技术虽然能从根本上解决地址短缺的问题，但也⽆法⽴刻替换现有成熟且⼴泛应⽤的IPv4⽹络。

那么必须使⽤⼀些技术⼿段来延长IPv4的寿命，，其中⼴泛使⽤的技术之⼀就是⽹络地址转换（Network AddressTranslation，NAT）原理： NAT是将IP数据报⽂报头中的IP地址 转换为另⼀个IP地址的过程NAT有3种类型：静态NAT、动态地址NAT以及⽹络地址端⼝转换NAPT功能及应⽤场景： 功能：主要⽤于实现内部⽹络（私有IP地址）访问外部⽹络（公有IP地址） NAT转换设备（实现NAT功能的⽹络设备）维护这地址转换表，所有经过NAT转换设备并且需要进⾏地址转换的报⽂，，都会通过该表做相应转换。

NAT转换设备处于内部⽹络和外部⽹络的连接处，，常见的有路由器、防⽕墙等。

实验⽬的：实验内容：实验拓扑：实验编址：实验步骤： 1.基本配置 根据实验编址表进⾏相应的基本配置，，并使⽤ping命令检测各直连链路的连通性。

2.配置静态NAT（⼀对⼀） 公司在⽹关路由器R1上配置访问外⽹的默认路由 由于内⽹使⽤的都是私有IP地址，，员⼯⽆法直接访问公⽹。

现需要在⽹关路由器R1上配置NAT地址转换，将私⽹地址转换为公⽹地址。

PC1为公司客户经理使⽤的终端，不仅需要⾃⾝能访问外⽹，，还需要外⽹⽤户也能直接访问他，，因此⽹络管理员分配啦⼀个公⽹IP地址202.1069.10.2给PC1座⾦泰NAT地址转换。

在R1的GE 0/0/0接⼝下使⽤nat static 命令配置内部地址到外部地址的⼀对⼀转换配置完之后，在R1上查看NAT静态配置信息，并在PC1ping检测与外⽹的连通 PC1通过静态NAT地址转换，成功访问外⽹，，在路由器R1上的GE 0/0/0接⼝抓包查看NAT地址是否转换成功，结果如下图 可以看到R1已经成功把来⾃PC1的ICMP报⽂的源地址172.16.1.1转换为公⽹地址202.169.10.5。

MSR常见应用场景配置指导(双出口组网典型配置篇)适用产品：H3C MSR20、MSR30、MSR50 各系列的所有产品适应版本：2008.8.15日之后正式发布的版本。

绝大部分配置也适用之前发布的版本。

使用方法：根据实际应用场景，在本文配置指导基础上，做定制化修改后使用。

实际组网中可能存在特殊要求，建议由专业人员或在专业人员指导下操作。

本文以MSR2010 产品， 2008.8.15日ESS 1710软件版本为案例（1710以后的版本同样支持）。

H3C Comware Platform SoftwareComware Software, Version 5.20, ESS 1710Comware Platform Software Version COMWAREV500R002B58D001SP01H3C MSR2010 Software Version V300R003B01D004SP01Copyright (c) 2004-2008 Hangzhou H3C Tech. Co., Ltd. All rights reserved.Compiled Aug 15 2008 13:57:11, RELEASE SOFTWARE1.1双出口组网典型配置用户为了同时实现负载分担和链路备份，一般会选择双WAN接入的组网方式。

当两条链路都正常的情况下为负载分担，当任意一条链路出现故障时，所有流量可以转发到另外一条链路进行转发，实现动态备份。

下面就两种常见的组网给出配置实例。

1.1.1MSR5006双以太网链路接入网络拓扑图如图3所示，MSR5006有两条到同一运营商的链路，G1/0网络地址为142.1.1.0/30，G2/0网络地址为162.1.1.0/30。

正常工作时流量分别从两个接口发出，当任意一条链路出现故障时，流量全部转移到另外一条链路发送。

配置需求如下：1、对内网主机进行限速，上行限制512kbps，下行限制1024kbps；2、启用防火墙对攻击报文进行过虑；3、启动ARP防攻击功能和ARP绑定功能，防止ARP欺骗攻击；4、优化NAT表项老化时间；5、启用自动侦测功能，检测WAN链路状态；6、启用基于用户负载分担功能，对流量进行负载分担；图4 双以太网链路接入拓扑图[H3C]dis cur#sysname H3C#firewall packet-filter enable#nat aging-time tcp 300nat aging-time udp 180nat aging-time pptp 300nat aging-time ftp-ctrl 300#ip user-based-sharing enableip user-based-sharing route 0.0.0.0 0.0.0.0#qos carl 1 source-ip-address range 192.168.1.1 to 192.168.1.254 per-addressqos carl 2 destination-ip-address range 192.168.1.1 to 192.168.1.254 per-address#radius scheme system#domain system#local-user adminpassword cipher .]@USE=B,53Q=^Q`MAF4<1!!service-type telnetlevel 3#detect-group 1detect-list 1 ip address 142.1.1.1 nexthop 142.1.1.1#detect-group 2detect-list 1 ip address 162.1.1.1 nexthop 162.1.1.1#acl number 3000rule 0 permit ip source 192.168.1.0 0.0.0.255rule 1000 deny ipacl number 3001 name WAN1Defendrule 0 deny udp destination-port eq tftprule 1 deny tcp destination-port eq 4444rule 2 deny tcp destination-port eq 135rule 3 deny udp destination-port eq 135rule 4 deny udp destination-port eq netbios-ns rule 5 deny udp destination-port eq netbios-dgm rule 6 deny tcp destination-port eq 139rule 7 deny udp destination-port eq netbios-ssn rule 8 deny tcp destination-port eq 445rule 9 deny udp destination-port eq 445rule 10 deny udp destination-port eq 593rule 11 deny tcp destination-port eq 593rule 12 deny tcp destination-port eq 5554rule 13 deny tcp destination-port eq 9995rule 14 deny tcp destination-port eq 9996rule 15 deny udp destination-port eq 1434rule 16 deny tcp destination-port eq 1068rule 17 deny tcp destination-port eq 5800rule 18 deny tcp destination-port eq 5900rule 19 deny tcp destination-port eq 10080rule 22 deny tcp destination-port eq 3208rule 23 deny tcp destination-port eq 1871rule 24 deny tcp destination-port eq 4510rule 25 deny udp destination-port eq 4334rule 26 deny tcp destination-port eq 4331rule 27 deny tcp destination-port eq 4557rule 28 deny udp destination-port eq 4444rule 29 deny udp destination-port eq 1314rule 30 deny tcp destination-port eq 6969rule 31 deny tcp destination-port eq 137rule 32 deny tcp destination-port eq 389rule 33 deny tcp destination-port eq 138rule 34 deny udp destination-port eq 136rule 35 deny tcp destination-port eq 1025rule 36 deny tcp destination-port eq 6129rule 37 deny tcp destination-port eq 1029rule 38 deny tcp destination-port eq 20168rule 39 deny tcp destination-port eq 4899rule 40 deny tcp destination-port eq 45576rule 41 deny tcp destination-port eq 1433rule 42 deny tcp destination-port eq 1434rule 43 deny udp destination-port eq 1433rule 200 permit icmp icmp-type echorule 201 permit icmp icmp-type echo-replyrule 202 permit icmp icmp-type ttl-exceededrule 210 deny icmprule 300 permit udp source-port eq dnsrule 310 permit tcp destination-port eq telnetrule 1000 permit ip destination 192.168.1.0 0.0.0.255 rule 2000 deny ipacl number 3002 name WAN2Defendrule 0 deny udp destination-port eq tftprule 1 deny tcp destination-port eq 4444rule 2 deny tcp destination-port eq 135rule 3 deny udp destination-port eq 135rule 4 deny udp destination-port eq netbios-nsrule 5 deny udp destination-port eq netbios-dgmrule 6 deny tcp destination-port eq 139rule 7 deny udp destination-port eq netbios-ssnrule 8 deny tcp destination-port eq 445rule 9 deny udp destination-port eq 445rule 10 deny udp destination-port eq 593rule 11 deny tcp destination-port eq 593rule 12 deny tcp destination-port eq 5554rule 13 deny tcp destination-port eq 9995rule 14 deny tcp destination-port eq 9996rule 15 deny udp destination-port eq 1434rule 16 deny tcp destination-port eq 1068rule 17 deny tcp destination-port eq 5800rule 18 deny tcp destination-port eq 5900rule 19 deny tcp destination-port eq 10080rule 22 deny tcp destination-port eq 3208rule 23 deny tcp destination-port eq 1871rule 24 deny tcp destination-port eq 4510rule 25 deny udp destination-port eq 4334rule 26 deny tcp destination-port eq 4331rule 27 deny tcp destination-port eq 4557rule 28 deny udp destination-port eq 4444rule 29 deny udp destination-port eq 1314rule 30 deny tcp destination-port eq 6969rule 31 deny tcp destination-port eq 137rule 32 deny tcp destination-port eq 389rule 33 deny tcp destination-port eq 138rule 34 deny udp destination-port eq 136rule 35 deny tcp destination-port eq 1025rule 36 deny tcp destination-port eq 6129rule 37 deny tcp destination-port eq 1029rule 38 deny tcp destination-port eq 20168rule 39 deny tcp destination-port eq 4899rule 40 deny tcp destination-port eq 45576rule 41 deny tcp destination-port eq 1433rule 42 deny tcp destination-port eq 1434rule 200 permit icmp icmp-type echorule 201 permit icmp icmp-type echo-replyrule 202 permit icmp icmp-type ttl-exceededrule 210 deny icmprule 300 permit udp source-port eq dnsrule 310 permit tcp destination-port eq telnetrule 1000 permit ip destination 192.168.1.0 0.0.0.255 rule 2000 deny ipacl number 3003 name LANDefendrule 0 deny udp destination-port eq tftprule 1 deny tcp destination-port eq 4444rule 2 deny tcp destination-port eq 135rule 3 deny udp destination-port eq 135rule 4 deny udp destination-port eq netbios-nsrule 5 deny udp destination-port eq netbios-dgmrule 6 deny tcp destination-port eq 139rule 7 deny udp destination-port eq netbios-ssnrule 8 deny tcp destination-port eq 445rule 9 deny udp destination-port eq 445rule 10 deny udp destination-port eq 593rule 11 deny tcp destination-port eq 593rule 12 deny tcp destination-port eq 5554rule 13 deny tcp destination-port eq 9995rule 14 deny tcp destination-port eq 996rule 15 deny udp destination-port eq 1434rule 16 deny tcp destination-port eq 1068rule 17 deny tcp destination-port eq 5800rule 18 deny tcp destination-port eq 5900rule 19 deny tcp destination-port eq 10080rule 22 deny tcp destination-port eq 3208rule 23 deny tcp destination-port eq 1871rule 24 deny tcp destination-port eq 4510rule 25 deny udp destination-port eq 4334rule 26 deny tcp destination-port eq 4331rule 27 deny tcp destination-port eq 4557rule 28 deny udp destination-port eq 4444rule 29 deny udp destination-port eq 1314rule 30 deny tcp destination-port eq 6969rule 31 deny tcp destination-port eq 137rule 32 deny tcp destination-port eq 389rule 33 deny tcp destination-port eq 138rule 34 deny udp destination-port eq 136rule 35 deny tcp destination-port eq 1025rule 37 deny tcp destination-port eq 1029rule 38 deny tcp destination-port eq 20168rule 39 deny tcp destination-port eq 4899rule 40 deny tcp destination-port eq 45576rule 41 deny tcp destination-port eq 1433rule 42 deny tcp destination-port eq 1434rule 43 deny udp destination-port eq 1433rule 200 permit icmp icmp-type echorule 201 permit icmp icmp-type echo-replyrule 202 permit icmp icmp-type ttl-exceededrule 210 deny icmprule 1000 permit ip source 192.168.1.0 0.0.0.255rule 1001 permit udp destination-port eq bootpsrule 2000 deny ip#interface Aux0async mode flow#interface GigabitEthernet1/0ip address 142.1.1.2 255.255.255.252firewall packet-filter 3001 inboundnat outbound 3000#interface GigabitEthernet2/0ip address 162.1.1.2 255.255.255.252firewall packet-filter 3002 inboundnat outbound 3000#interface GigabitEthernet3/0ip address 192.168.1.1 255.255.255.0firewall packet-filter 3003 inboundqos car inbound carl 1 cir 512000 cbs 32000 ebs 0 green pass red discardqos car outbound carl 2 cir 1024000 cbs 64000 ebs 0 green pass red discard#interface GigabitEthernet4/0#interface NULL0#firewall zone localset priority 100#firewall zone trustset priority 85#firewall zone untrustset priority 5#firewall zone DMZset priority 50#ip route-static 0.0.0.0 0.0.0.0 142.1.1.1 preference 60 detect-group 1ip route-static 0.0.0.0 0.0.0.0 162.1.1.1 preference 60 detect-group 2ip route-static 10.0.0.0 255.0.0.0 NULL 0 preference 60ip route-static 169.254.0.0 255.255.0.0 NULL 0 preference 60ip route-static 172.16.0.0 255.240.0.0 NULL 0 preference 60ip route-static 192.168.0.0 255.255.0.0 NULL 0 preference 60ip route-static 198.18.0.0 255.254.0.0 NULL 0 preference 60#user-interface con 0user-interface aux 0user-interface vty 0 4authentication-mode scheme#return[H3C]1.1.2MSR20/30/50双以太网链路接入网络拓扑图如图4所示，MSR2010有两条到同一运营商的链路，E0/0网络地址为142.1.1.0/30，E0/1网络地址为162.1.1.0/30。

华为路由器NAT命令详解配置脚本#sysname RouterA#radius scheme system#domain system#acl number 2000 /配置允许进行NAT转换的内网地址段/ rule 0 permit source 192.168.0.0 0.0.0.255rule 1 deny#interface Ethernet0/0ip address 202.1.1.2 255.255.255.248nat outbound 2000#interface Ethernet0/1ip address 192.168.0.1 255.255.255.0 /内网网关/#interface NULL0#ip route-static 0.0.0.0 0.0.0.0 202.1.1.1 preference 60 /配置默认路由/user-interface con 0user-interface vty 0 4#return配置脚本#sysname RouterA#nat address-group 0 202.1.1.3 202.1.1.6 /用户NA T的地址池/ #radius scheme system#domain system#acl number 2000 /配置允许进行NAT转换的内网地址段/ rule 0 permit source 192.168.0.0 0.0.0.255rule 1 deny#interface Ethernet0/0ip address 202.1.1.2 255.255.255.248nat outbound 2000 address-group 0 /在出接口上进行NA T转换/interface Ethernet0/1ip address 192.168.0.1 255.255.255.0 /内网网关/#interface NULL0#ip route-static 0.0.0.0 0.0.0.0 202.1.1.1 preference 60 /配置默认路由/#user-interface con 0user-interface vty 0 4#return5.2.4 对外提供ftp，www等服务以www服务为例,除了5.2.1和5.2.2的配置,公网接口需要增加如下配置:[Quidway-Ethernet0/0]nat server protocol tcp global 202.1.1.2 www inside 192.168.0.2 www注意:如果需要其他用户可以ping通内部对外提供服务的服务器,必须增加如下配置: [Router-Ethernet1]nat server protocol icmp global 202.1.1.2 inside 192.168.0.2注意:内部用户不能使用公网地址来访问内部服务器,必须使用内网地址访问.如上例子:192.168.0.0/24网段的用户,不能访问http://202.1.1.2,而只能访问http://192.168.0.2 配置脚本#sysname RouterA#radius scheme system#domain system#acl number 2000 /配置允许进行NAT转换的内网地址段/ rule 0 permit source 192.168.0.0 0.0.0.255rule 1 deny#interface Ethernet0/0ip address 192.168.0.1 255.255.255.0 /内网网关/nat outbound 2000#interface Serial0/0ip address 202.1.1.2 255.255.255.252 /公网出口/nat outbound 2000 /在出接口上进行NA T转换/ #interface Serial0/1ip address 61.1.1.2 255.255.255.252 /公网出口/nat outbound 2000#interface NULL0#ip route-static 0.0.0.0 0.0.0.0 202.1.1.1 preference 60 /配置默认路由/ip route-static 0.0.0.0 0.0.0.0 61.1.1.1 preference 60 /配置默认路由/#user-interface con 0user-interface vty 0 4#return【验证】disp ip routRouting Table: public netDestination/Mask Protocol Pre Cost Nexthop Interface0.0.0.0/0 STA TIC 60 0 61.1.1.1 Serial0/1202.1.1.1 Serial0/0 61.1.1.0/30 DIRECT 0 0 61.1.1.6 Serial0/1 61.1.1.2/32 DIRECT 0 0 61.1.1.5 Serial0/1 61.1.1.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0 127.0.0.0/8 DIRECT 0 0 127.0.0.1 InLoopBack0 127.0.0.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0 192.168.0.0/24 DIRECT 0 0 192.168.0.1 Ethernet0/0 192.168.0.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0 202.1.1.0/30 DIRECT 0 0 202.1.1.6 Serial2/0/0 202.1.1.2/32 DIRECT 0 0 202.1.1.5 Serial2/0/0202.1.1.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0 disp nat sessionThere are currently 2 NAT sessions:Protocol GlobalAddr Port InsideAddr Port DestAddr Port6 202.1.1.2 12288 192.168.0.2 1036 200.1.1.1 23 VPN: 0, status: 11, TTL: 24:00:00, Left: 23:59:556 61.1.1.2 12289 192.168.0.3 1035 200.1.1.1 23VPN: 0, status: 11, TTL: 00:01:00, Left: 00:00:21 【提示】1、通过在路由上配置两条等值路由来实现负载分担2、如果只想实现NAT的主备用，只需要修改两条默认路由为不同的优先级即可。

NAT配置管理一、简介网络地址转换NAT（Network Address Translation）是将IP数据报文头中的IP地址转换为另一个IP地址的过程。

随着Internet的发展和网络应用的增多，IPv4地址枯竭已成为制约网络发展的瓶颈。

尽管IPv6可以从根本上解决IPv4地址空间不足问题，但目前众多网络设备和网络应用大多是基于IPv4的，因此在IPv6广泛应用之前，一些过渡技术（如CIDR、私网地址等）的使用是解决这个问题最主要的技术手段。

NAT主要用于实现内部网络（简称内网，使用私有IP地址）访问外部网络（简称外网，使用公有IP地址）的功能。

当内网的主机要访问外网时，通过NAT技术可以将其私网地址转换为公网地址，可以实现多个私网用户共用一个公网地址来访问外部网络，这样既可保证网络互通，又节省了公网地址。

作为减缓IP地址枯竭的一种过渡方案，NAT通过地址重用的方法来满足IP地址的需要，可以在一定程度上缓解IP地址空间枯竭的压力。

NAT除了解决IP地址短缺的问题，还带来了两个好处：1、有效避免来自外网的攻击，可以很大程度上提高网络安全性。

2、控制内网主机访问外网，同时也可以控制外网主机访问内网，解决了内网和外网不能互通的问题。

二、原理一、NAT概述NAT是将IP数据报文头中的IP地址转换为另一个IP地址的过程，主要用于实现内部网络（私有IP地址）访问外部网络（公有IP地址）的功能。

Basic NAT是实现一对一的IP地址转换，而NAPT可以实现多个私有IP地址映射到同一个公有IP地址上。

1、Basic NATBasic NAT方式属于一对一的地址转换，在这种方式下只转换IP地址，而不处理TCP/UDP协议的端口号，一个公网IP地址不能同时被多个私网用户使用。

图1 Basic NAT示意图上图1描述了Basic NAT的基本原理，实现过程如下：1.Router收到内网侧Host发送的访问公网侧Server的报文，其源IP地址为10.1.1.100。