目的NAT转换，源进源出功能，外网访问内部服务器（双出口属于不同安全域）-优快云博客

介绍双出口环境下公网用户通过NAT策略访问内部服务器（双出口属于不同安全区域）的配置举例

网络拓扑如下
在这里插入图片描述

企业一共申请了1.1.1.1和1.1.10.10公网ISP1的公网IP；2.2.2.2和2.2.20.10公网ISP2的公网IP地址；
1.1.1.1和2.2.2.2分别配置到防火墙的两个出口接口上；1.1.10.10和2.2.20.10 分别作为服务器的公网IP为外网用户提供访问服务。内部服务器的IP地址为：10.2.0.8
配置思路
配置接口IP地址和安全区域，完成网络基本参数配置。
配置安全策略，允许外部网络用户访问内部服务器。
配置NAT策略。
在GigabitEthernet 1/0/1和GigabitEthernet 1/0/7上配置源进源出功能和默认网关。
1、配置接口IP地址和安全区域
1-1、配置接口IP地址

[FW-GigabitEthernet 1/0/1] ip address 1.1.1.1 24
[FW-GigabitEthernet 1/0/2] ip address 10.2.0.1 24
[FW-GigabitEthernet 1/0/7] ip address 2.2.2.2 24

1-2、把接口加入对应的安全区域
将接口GigabitEthernet 1/0/2加入DMZ区域。

[FW] firewall zone dmz
[FW-zone-dmz] add interface GigabitEthernet 1/0/2

将接口GigabitEthernet 1/0/1加入Untrust1区域。

[FW] firewall zone name untrust1
[FW-zone-untrust1] set priority 10
[FW-zone-untrust1] add interface GigabitEthernet 1/0/1

将接口GigabitEthernet 1/0/7加入Untrust2区域。

[FW] firewall zone name untrust2
[FW-zone-untrust2] set priority 20
[FW-zone-untrust2] add interface GigabitEthernet 1/0/7

2、配置安全策略，允许外网用户访问内部服务器

[FW] security-policy
[FW-policy-security] rule name policy1
[FW-policy-security-rule-policy1] source-zone untrust1
[FW-policy-security-rule-policy1] source-zone untrust2
[FW-policy-security-rule-policy1] destination-zone dmz
[FW-policy-security-rule-policy1] destination-address 10.2.0.0 24
[FW-policy-security-rule-policy1] action permit

3、配置目的NAT地址池（也就是内部提供服务的服务器IP地址）

[FW] destination-nat address-group addressgroup1
[FW-dnat-address-group-addressgroup1] section 10.2.0.8 10.2.0.8

4、配置NAT策略

[FW] nat-policy
[FW-policy-nat] rule name policy1
[FW-policy-nat-rule-policy1] source-zone untrust1
[FW-policy-nat-rule-policy1] destination-address 1.1.10.10 32       ==//ISP1访问的NAT策略==
[FW-policy-nat-rule-policy1] service ftp
[FW-policy-nat-rule-policy1] action destination-nat static address-to-address address-group addressgroup1
[FW-policy-nat] rule name policy2
[FW-policy-nat-rule-policy2] source-zone untrust2			//ISP2访问的NAT策略
[FW-policy-nat-rule-policy2] destination-address 2.2.20.10 32
[FW-policy-nat-rule-policy2] service ftp
[FW-policy-nat-rule-policy2] action destination-nat static address-to-address address-group addressgroup1

5、配置目的报文的黑洞路由，防止环路；（因为公网接口的IP地址(1.1.1.10)跟提供服务的公网IP(1.1.10.10）不在一个网段；

[FW] ip route-static 1.1.10.10 255.255.255.255 NULL0
[FW] ip route-static 2.2.20.10 255.255.255.255 NULL0

6、开启FTP协议的NAT ALG功能；

[FW] firewall interzone dmz untrust1
[FW-interzone-dmz-untrust1] detect ftp

[FW] firewall interzone dmz untrust2
[FW-interzone-dmz-untrust2] detect ftp

7、配置源进源出功能和默认网关

[FW] interface GigabitEthernet 1/0/1		//ISP1的源进源出
[FW-GigabitEthernet 1/0/1] redirect-reverse next-hop 1.1.1.254
[FW-GigabitEthernet 1/0/1] gateway 1.1.1.254

[FW] interface GigabitEthernet 1/0/7		//ISP2的源进源出
[FW-GigabitEthernet 1/0/7] redirect-reverse next-hop 2.2.2.254
[FW-GigabitEthernet 1/0/7] gateway 2.2.2.254