36.Eudemon-X防火墙NAT实验

36.Eudemon-X防火墙NAT实验 | Evergreen Notes

Eudemon-X防火墙NAT实验

1.实验拓扑及描述

本实验中的防火墙为Eudemon-X系列防火墙；
设备的接口编号及IP编址如图所示；
PC1及WebServer使用的都是私有IP地址空间；
PC2模拟Internet的一台PC。

2.实验需求

防火墙三个接口的IP地址如图所示；将这三个接口划入相应的安全区域；
PC1能够主动发起访问处于Internet的PC2，但是PC2无法主动访问PC1；为PC1访问公网申请到的公网地址池为200.1.1.10 – 200.1.1.20；
处于Internet的PC2能够以200.1.1.21为目的IP地址来访问DMZ区域中的Server的WEB服务。

3.实现步骤及配置

防火墙FW的配置如下

SHELL

[FW] interface GigabitEthernet0/0/1 
[FW-GigabitEthernet0/0/1] ip address 192.168.1.254 24 
[FW] interface GigabitEthernet0/0/2 
[FW-GigabitEthernet0/0/2] ip address 172.16.1.254 24 
[FW] interface GigabitEthernet0/0/3 
[FW-GigabitEthernet0/0/3] ip address 200.1.1.1 24 
#向安全域中添加接口： 
[FW] firewall zone trust 
[FW-zone-trust] add interface GigabitEthernet0/0/1 
[FW] firewall zone dmz 
[FW-zone-dmz] add interface GigabitEthernet0/0/2 
[FW] firewall zone untrust 
[FW-zone-untrust] add interface GigabitEthernet0/0/3
#配置域间包过滤策略，使得trust区域的192.168.1.0/24网段用户能够访问Internet： 
[FW] policy interzone trust untrust outbound  
[FW-policy-interzone-trust-untrust-outbound] policy 10 
[FW-policy-interzone-trust-untrust-outbound-10] policy source 192.168.1.0 
0.0.0.255 
[FW-policy-interzone-trust-untrust-outbound-10] action permit 
 
#上述配置虽然放通了192.168.1.0/24访问Internet的流量，但是由于192.168.1.0/24是私有IP地址，不
能直接进入公网，因此为了让这部分用户能够访问公网，还必须部署 NAT源地址转换： 
[FW] nat address-group 1 200.1.1.10 200.1.1.20  #定义NAT地址池，该地址池使用的公网地
址区间是200.1.1.10到200.1.1.20 
[FW] nat-policy interzone trust untrust outbound

完成上述配置后，内网用户PC1即可访问公网用户PC2。接下来继续配置防火墙，使得公网用户 PC2能够访问WebServer。

SHELL

完成上述配置后，PC2即可使用目的地址200.1.1.21来访问WebServer。

当PC1 ping PC2时，能够在FW上能看到如下会话：

SHELL

留意到中括号内的IP地址，便是被NAT转换后的IP地址。当PC2访问Server的WEB服务时，在FW上能看到如下会话：

SHELL

#配置域间包过滤策略，使得untrust区域的Internet用户能够访问DMZ区域的web服务 
[FW] policy interzone dmz untrust inbound 
[FW-policy-interzone-dmz-untrust-inbound] policy 10 
[FW-policy-interzone-dmz-untrust-inbound-10] policy destination 172.16.1.1 0 
[FW-policy-interzone-dmz-untrust-inbound-10] policy service service-set http 
[FW-policy-interzone-dmz-untrust-inbound-10] action permit 
[FW-policy-interzone-dmz-untrust-inbound-10] quit 
[FW-policy-interzone-dmz-untrust-inbound] quit 
 
#完成上述配置后，Internet用户是依然无法访问WebServer的，因为WebServer是私有IP地址，因此还需要
配置NAT server，将DMZ域内的WebServer映射到公网。 
#下面的命令，将内部IP地址172.16.1.1的80端口映射到了公网地址200.1.1.100的80端口，这样一来，当
公网用户访问200.1.1.100的80端口服务时，实际上访问的就是内部服务器172.16.1.1的80端口。 
[FW] nat server zone untrust protocol tcp global 200.1.1.21 80 inside 172.16.1.1 
80

<FW>display firewall session table  
Current Total Sessions : 5 
  icmp  VPN:public --> public 192.168.1.1:40373[200.1.1.15:2048]-->200.1.1.2:2048 
  icmp  VPN:public --> public 192.168.1.1:40885[200.1.1.15:2049]-->200.1.1.2:2048 
icmp  VPN:public --> public 192.168.1.1:41141[200.1.1.15:2050]-->200.1.1.2:2048 
icmp  VPN:public --> public 192.168.1.1:41397[200.1.1.15:2051]-->200.1.1.2:2048 
icmp  VPN:public --> public 192.168.1.1:41653[200.1.1.15:2052]-->200.1.1.2:2048

[FW]display firewall session table 
Current Total Sessions : 1 
http  VPN:public --> public 200.1.1.2:2055-->200.1.1.21:80[172.16.1.1:80]