华为技术——防火墙NAT策略
实验要求：
- 在防火墙配置 NAT NO-PAT方式的地址转换
192.168.1.0/24 —> 202.96.1.10-11 - 在防火墙配置 NAPT方式的地址转换：
192.168.1.0/24 —> 202.96.1.10-11 - 在防火墙上配置接口地址方式的地址转换（easy-ip）
192.168.1.0/24 —>g1/0/0
NAT NO-PAT（动态NAT，多对多）
1.在pc1和pc2上去配置IP
2.配置网络参数及路由（防火墙上）
3.配置安全策略
4.配置NAT地址组，地址组中地址对应的公网地址
5.配置NAT策略
6.针对转换后的全局地址（NAT地址组和中的地址）配置黑洞路由
7.在R1上配置IP
验证PC1ping PC2，在会话表到达最大老化时间前更换PC1的IP地址为192.168.1.5，再次pingPC2还可以通信，在把PC1地址更换为192.168.1.6时，无法通信，这是因为NAT地址组中只有2个可用于转换的地址，只能2个用户同时上网，在防火墙上查看会话表及Server-mao表
查看会话表
查看Server-map表
地址为1.6时无法通信
NAPT（PAT，复用到外部的一个IP地址，多对多，多对一）
使用上个实例环境，需重启防火墙
1.配置网络参数及路由
2.配置安全策略
3.配置NAT地址组，地址组中的地址对应的时公网地址
4.配置NAT策略
5.针对转换后的全局地址（NAT地址组中的地址）配置黑洞路由
6.验证NAT配置
验证PC1ping PC2，在会话表到达最大老化时间前更换PC1的IP地址为192.168.1.5，再次pingPC2还可以通信，在把PC1地址更换为192.168.1.6时，依然可以通信，这是因为NAT地址组中只有2个可用于转换的地址，但是NAPT模式，可以基于端口复用，一个地址理论上可以允许65535（最大端口数量）个用户上网，在防火墙上查看会话表及Server-mao表
查看会话表
查看Server-map表
出接口地址（Easy—IP）（PAT复用到防火墙的外部接口，多对一）
使用上个实例环境，需重启防火墙
1.配置网络参数及路由
2.配置安全策略
3.配置NAT策略
4.验证NAT配置
验证PC1ping PC2，在会话表到达最大老化时间前更换PC1的IP地址为192.168.1.5，再次pingPC2还可以通信，在把PC1地址更换为192.168.1.6时，依然可以通信，这是因为出接口方式将内网所有地址转换为外网接口地址202.96.1.1，但是基于端口复用，一个地址理论上可以允许65535（最大端口数量）个用户上网，在防火墙上查看会话表及Server-mao表
查看会话表
查看Server-map表
NAT Server（目标地址转换，发布内部服务器）
在服务器上和客户机上配置IP
1.配置网络参数及路由
防火墙上配置IP
2.配置安全策略
3.配置FTP应用层检测
4.配置NAT Server
natserver_ftp是策略名字，global后面跟映射地址，inside后面内部服务器的真是地址
（以下可以省略）
配置NAT Server时可以配置不同的端口映射
- 外网用户访问202.96.10.10：2121端口时，将转换地址和端口为192.168.1.10：21发送到内网服务器
- 不在生成反向的Server-map表项内容，只能互联网用户访问服务器，内网服务器不能主动访问互联网
- 互联网用户访问202.96.10.10的任意端口协议都转发到内部的192.168.1.10服务器上。
5.配置黑洞路由
6.R1配置静态路由和IP
7.验正配置效果
服务器
客户机
查看会话表
查看Server-map表