华为防火墙6325做内网穿透DDNS+NAT

用途：因为公司防火墙是pppoe拨号，运营商分配的公网ip不是固定，所以内网想用openvpn的话，需要做DDNS+nat内网穿透。

具体实现有2种，1：使用花生壳自带的免费内网穿透。2：仅仅使用花生壳的域名+解析，其他自己在FW上搞定。

自己免费搞定的话，大的步骤有以下3点：

1：花生壳里买一个域名，且防火墙上配置动态解析，效果就是：即使防火墙上的公网ip变了，我在任意地方户外，访问域名，都能正确访问到防火墙

2：防火墙做nat，让untrust区域的pppoe拨号的接口，dnat到内网的openvpn server上

3：总的效果，我vpn-client，配置文件里写域名+端口，即可拨号到内网

方案一：使用花生壳免费的1M带宽的内网穿透

22221110kx1ss.vicp.fun:22407 这个域名，是直接用花生壳的内网穿透服务，而不需要使用FW穿透。但是他就完全依赖花生壳，不仅带宽受限，而且内网要部署花生壳的客户端，所以简单临时用下可以，但是如果有多个东西需要穿透出去，同时，带宽有要求，那就还是要借用DDNS+NAT的穿透方法

花生壳的内网穿透服务用法是：

1：下载一个花生壳的客户端，部署到内网要映射出去的机器上，同时微信登陆上去。

2：在花生壳的网页里填写内网的ip+端口

3：这样访问2334460kx1ss.vicp.fun:22407，就是访问内网的ip+端口

很明显，免费只能用1M带宽，而且还要部署客户端，万一断电，谁去客户端登陆微信，所以临时用下可以。

方案二：使用花生壳域名+FW的DDNS和NAT

一：分两大步，步骤1：

配置DDNS，然一个域名一直能解析到FW上的pppoe获取到的公网ip上。只是能动态解析。还访问不到内网。

因为华为防火墙内置的是向日葵，所以就用他们家做ddns

按以上来，FW里DDNS就配置好了，这样不管pppoe的公网ip如何变，只要ping www.xquan.top 就能解析到FW的公网接口里，下一步就是如何配置NAT，映射出内网的端口

二：分两大步，步骤2：

FW配置NAT穿透到内网。 就是用户通过上一步骤配置好的域名 www.xquan.top，能访问到内网服务器。

1：配置服务器的nat：

[USG-Iask-Desai]nat server 2 protocol tcp global interface Dialer 2 88 inside 192.168.100.236 8082 no-reverse
解释：新建一个id是2的nat，把拨号接口dialer 2的88端口，映射到内网 192.168.100.236的8082端口
no-reverse表示允许服务器使用公网地址上网，这个可以关闭，其实开启应该也没问题，因为反正服务器，默认路由就是通过FW出的公网

2：安全策略里面，放行，即配置完成。