
## 综合案例3

​    某公司出公网的防火墙采用USG5500，公司私网有一台FTP服务器Server1，公网上有一台PC机Client1，防火墙的端口直接连接到PC机上。拓扑图和IP规划如下。

![image-20240624210410881](https://developer.qcloudimg.com/http-save/yehe-11764670/41412701627099c1c2c6e77207945c87.png)

要求：要求公网上的Client1所在网段主机能够访问私网的FTP服务器Server1，防火墙上设置NAT Server+源NAT策略，FTP服务器申请公网地址2.2.2.5。Client1所在网段主机采用源NAT地址池方式转换，地址池为192.168.1.11-192.168.1.20。



1、配置Server1，点击“保存”

![image-20240624210746424](https://developer.qcloudimg.com/http-save/yehe-11764670/3c28436a97da6999f24be875dfed2b79.png)

2、配置Client1，点击“保存”

![image-20240624210855886](https://developer.qcloudimg.com/http-save/yehe-11764670/8909d5defadd6910ebca06a4d8e00543.png)

3、配置FW1

（1）进入系统视图

```
system-view
```

![image-20240624191343166](https://developer.qcloudimg.com/http-save/yehe-11764670/e51bf071d49f9baf77ae3184214d92f3.png)

（2）关闭信息中心

```
undo info-center enable
```

![image-20240624191421907](https://developer.qcloudimg.com/http-save/yehe-11764670/f88c9a2f0d94502a74467fb00af87f51.png)

（3）配置接口IP

```
interface GigabitEthernet0/0/1
 ip address 192.168.1.254 255.255.255.0
#
interface GigabitEthernet0/0/2
 ip address 1.1.1.1 255.255.255.0
#
```

![image-20240624211047856](https://developer.qcloudimg.com/http-save/yehe-11764670/364cc5f4fe9efc6341ec957ef490f3d0.png)

（4）接口加入安全区域

```
#
firewall zone untrust
 add interface GigabitEthernet0/0/2
#
firewall zone dmz
 add interface GigabitEthernet0/0/1
#
```

![image-20240624211211198](https://developer.qcloudimg.com/http-save/yehe-11764670/072fb92dc39fd487e63b51d4c25d425b.png)

（5）配置安全策略

```
#
policy interzone dmz untrust inbound
 policy 1
  action permit
  policy service service-set ftp
  policy destination 192.168.1.2 0.0.0.0
#
```

![image-20240624214815467](https://developer.qcloudimg.com/http-save/yehe-11764670/2a6abfc83dadd71d41a4689e87e716f7.png)

（6）配置NAT Server。

```
 nat server protocol tcp global 2.2.2.5 ftp inside 192.168.1.2 ftp
```

![image-20240624212207838](https://developer.qcloudimg.com/http-save/yehe-11764670/57aa832732d44510dfcaa3578ddcd8b0.png)

（6）配置地址池方式的源NAT策略。
先配置地址池：

```
 nat address-group 1 192.168.1.11 192.168.1.20
```

![image-20240624212327963](https://developer.qcloudimg.com/http-save/yehe-11764670/fe8698f744c991af51fd103ed1f84708.png)

再配置源NAT策略：

```
#
nat-policy interzone dmz untrust inbound
 policy 1
  action source-nat
  policy source 1.1.1.0 0.0.0.255
  address-group 1
```

![image-20240624212658579](https://developer.qcloudimg.com/http-save/yehe-11764670/0e3e4ea882901be735d354c1003a8f2f.png)

4、保存防火墙配置

```
quit
save
```

![image-20240624212758294](https://developer.qcloudimg.com/http-save/yehe-11764670/76c1562e49d9438c0502f38c05f43341.png)

5、测试
在Server1上启动FTP  

![image-20240624212848568](https://developer.qcloudimg.com/http-save/yehe-11764670/80140020d3710392a074422ba8f7b7f8.png)

在Client1上访问FTP服务器的公网地址，没有报错就是成功。 

![image-20240624214405307](https://developer.qcloudimg.com/http-save/yehe-11764670/af76f563bf86931114c011b66eb2f193.png)



在防火墙上抓包 ，能看到源地址和目的地址都NAT转换成功。 

```
display firewall session table
```

![image-20240624215228920](https://developer.qcloudimg.com/http-save/yehe-11764670/24fd76b73bd919e629b0bfea57ea3ff7.png)





## 综合案例4

​    某公司出公网的防火墙采用USG5500，公司私网有一台FTP服务器Server2，公网上有一台PC机Client1，防火墙的端口直接连接到PC机上。拓扑图和IP规划如下。



要求：要求公网上的Client1所在网段主机能够访问私网的WWW服务器Server2，防火墙上设置NAT Server+源NAT策略，WWW服务器申请公网地址2.2.2.8。Client1所在网段主机采用源NAT地址池方式转换，地址池为192.168.1.101-192.168.1.105。



1、配置Server2，点击“保存”

![image-20240624221104211](https://developer.qcloudimg.com/http-save/yehe-11764670/c12f843e2ac8b8708eab1148de2117b4.png)

2、配置Client1，点击“保存”

![image-20240624210855886](https://developer.qcloudimg.com/http-save/yehe-11764670/8909d5defadd6910ebca06a4d8e00543.png)

3、配置FW1

（1）进入系统视图

```
system-view
```

![image-20240624191343166](https://developer.qcloudimg.com/http-save/yehe-11764670/e51bf071d49f9baf77ae3184214d92f3.png)

（2）关闭信息中心

```
undo info-center enable
```

![image-20240624191421907](https://developer.qcloudimg.com/http-save/yehe-11764670/f88c9a2f0d94502a74467fb00af87f51.png)

（3）配置接口IP

```
interface GigabitEthernet0/0/1
 ip address 192.168.1.254 255.255.255.0
#
interface GigabitEthernet0/0/2
 ip address 1.1.1.1 255.255.255.0
#
```

![image-20240624211047856](https://developer.qcloudimg.com/http-save/yehe-11764670/364cc5f4fe9efc6341ec957ef490f3d0.png)

（4）接口加入安全区域

```
#
firewall zone untrust
 add interface GigabitEthernet0/0/2
#
firewall zone dmz
 add interface GigabitEthernet0/0/1
#
```

![image-20240624211211198](https://developer.qcloudimg.com/http-save/yehe-11764670/072fb92dc39fd487e63b51d4c25d425b.png)

（5）配置安全策略

```
policy interzone dmz untrust inbound
 policy 1
  action permit
  policy service service-set http
  policy destination 192.168.1.3 0.0.0.0
```

![image-20240624221724864](https://developer.qcloudimg.com/http-save/yehe-11764670/51e7a135e7aef7898a0a8d844dd18d08.png)

（6）配置NAT Server。

```
nat server protocol tcp global 2.2.2.8 www inside 192.168.1.3 www
```

![image-20240624221829360](https://developer.qcloudimg.com/http-save/yehe-11764670/96ca81d00b539243090c48bcf058957d.png)

（6）配置地址池方式的源NAT策略。
先配置地址池：

```
 nat address-group 2 192.168.1.101 192.168.1.105
```

![image-20240624222202349](https://developer.qcloudimg.com/http-save/yehe-11764670/a2dac090b947f38a4ea3d7d3ce862958.png)

再配置源NAT策略：

```
nat-policy interzone dmz untrust inbound
 policy 2
  action source-nat
  policy source 1.1.1.0 0.0.0.255
  address-group 2
```

![image-20240624222411568](https://developer.qcloudimg.com/http-save/yehe-11764670/1ab7f43333dc1300dfe3da50e371a8cf.png)

4、保存防火墙配置

```
quit
save
```

![image-20240624222449466](https://developer.qcloudimg.com/http-save/yehe-11764670/5cc2bc6d674394bdea0c1bb6af4a096b.png)

5、测试
在Server2上启动HTTP

![image-20240624222541501](https://developer.qcloudimg.com/http-save/yehe-11764670/1ea7c40cc63a14553a847f42b690ad02.png)

在Client1上访问http服务器。
输入下面的URL，点击“获取”。 

![image-20240624222748159](https://developer.qcloudimg.com/http-save/yehe-11764670/1bb4237ebd8a40f91026647ba188206d.png)

出现下面这个界面，表示访问http服务器成功，不要关闭窗口，去
防火墙上抓包，动作要快点。 

![image-20240624222652153](https://developer.qcloudimg.com/http-save/yehe-11764670/84563efc47fa8e6c15045083469da7a9.png)

在防火墙上抓包 ，能看到源地址和目的地址都NAT转换成功。 

```
display firewall session table
```

![image-20240624222838075](https://developer.qcloudimg.com/http-save/yehe-11764670/199b83a0f32abac01548f0c14065e35c.png)








​    某公司出公网的防火墙采用USG5500，公司私网有一台FTP服务器Server1，公网上有一台PC机Client1，防火墙的端口直接连接到PC机上。拓扑图和IP规划如下。

eNSP防火墙配置源NAT地址池策略

安全

运维

网络与通信

华为USG5500防火墙配置指南：通过NAT Server实现公网访问内网FTP/WWW服务器。详细讲解防火墙接口配置、安全策略设置、NAT地址池转换等关键步骤，确保Client1能成功访问Server1(2.2.2.5)和Server2(2.2.2.8)。包含完整配置命令和测试方法，适用于企业网络安全部署场景。

服务器

防火墙

AI驱动 智领未来

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

eNSP防火墙配置源NAT地址池策略-腾讯云开发者社区-腾讯云

eNSP防火墙配置源NAT地址池策略

eNSP防火墙配置源NAT地址池策略

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐