防火墙NAT地址转换和智能选举综合实验

一、实验拓扑

目录

一、实验拓扑

二、实验要求（接上一个实验要求后）

三、实验步骤

3.1办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)

3.2分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器

3.2.1 首先需要先让分公司能上公网才能进行后续的访问地址

注：黑洞路由解释：

3.2.2 将DMZ区域的http服务器开放到公网，让分公司通过公网地址去访问它

测试电信链路访问

3.3智能选路：多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%；

3.3.1将电信和移动分别设置位两条链路接口供智能选路

3.3.2再添加智能选路，

3.3.3办公区中10.0.2.10该设备只能通过电信的链路访问互联网

测试流量也是源进源出

3.4分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器；

3.5游客区仅能通过移动链路访问互联网

测试通过移动链路上网

---

二、实验要求（接上一个实验要求后）

7，办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)
8，分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器
9，多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%；
10，分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器；
11，游客区仅能通过移动链路访问互联网

三、实验步骤

3.1办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)

首先给办公区做两条NAT分别是电信和移动两条NAT

在高级设置中写保留的IP地址

保留这个地址后不会分配这个IP地址

3.2分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器

3.2.1 首先需要先让分公司能上公网才能进行后续的访问地址

这里要选择都勾选上勾选上了端口即是多对多NAPT

注：黑洞路由解释：

配置黑洞路由就是会使公网地址池中的地址都生成一条指向其自身的空接口，这里主要是为了 应对公网地址和出接口地址不在同一个网段的情况，因为在这种情况下，如果公网用户访问地址池中的公网地址，将可能造成环路，所以，需要通过空接口防环；如果公网地址池地址和出接口在同一个网段，也可以勾选该选项，这种情况下虽然不会出现环路，但是，有了这个黑洞路由，可以减少ARP报文的出现；

黑洞路由就是会自动生成空接口，在同一个网段中勾选上了黑洞路由，那么就会优先匹配空接口因为掩码是32/31位，所以会直接将询问地址的ARP包丢弃

<