Eudemon-N（NGFW）防火墙NAT实验
1.实验拓扑及描述
- 本实验中的防火墙为Eudemon-N系列防火墙（软件版本为V100R001C30SPC300）；
- 设备的接口编号及IP编址如图所示；
- PC1及Server使用的都是私有IP地址空间；
- PC2模拟Internet的一台PC。
2.实验需求
- 防火墙三个接口的IP地址如图所示；将这三个接口划入相应的安全区域；
- PC1能够主动发起访问处于Internet的PC2，但是PC2无法主动访问PC1；为PC1访问公网申 请到的公网地址池为200.1.1.10 – 200.1.1.20；
- 处于Internet的PC2能够以200.1.1.9为目的IP地址来访问DMZ区域中的Server的FTP服务。
3.实现步骤及配置
防火墙FW的配置如下
[FW] interface GigabitEthernet1/0/1
[FW-GigabitEthernet1/0/1] ip address 192.168.1.254 24
[FW] interface GigabitEthernet1/0/2
[FW-GigabitEthernet1/0/2] ip address 172.16.1.254 24
[FW] interface GigabitEthernet1/0/3
[FW-GigabitEthernet1/0/3] ip address 10.1.1.254 24
#将接口添加到相应的安全区域：
[FW] firewall zone trust
[FW-zone-trust] add interface GigabitEthernet0/0/1
[FW] firewall zone dmz
[FW-zone-dmz] add interface GigabitEthernet0/0/2
[FW] firewall zone untrust
[FW-zone-untrust] add interface GigabitEthernet0/0/3
#配置安全策略，使得trust区域的192.168.1.0/24网段能够访问untrust区域的Internet：
[FW]security-policy
[FW-policy-security]rule name test1
[FW-policy-security-rule-test1]source-zone trust
[FW-policy-security-rule-test1]destination-zone untrust
[FW-policy-security-rule-test1]source-address 192.168.1.0 24
[FW-policy-security-rule-test1]action permit
#配置安全策略，使得untrust区域的Internet用户能够访问Server的FTP服务：
[FW]security-policy
[FW-policy-security]rule name for_FTP
[FW-policy-security-rule-for_FTP]source-zone untrust
[FW-policy-security-rule-for_FTP]destination-zone dmz
完成上述配置后，PC1依然是无法访问PC2的，因为它使用的是私有IP地址，当然PC2也是无法访 问Server的，因为Server使用的也是私有IP地址。
因此首先需要在FW上部署源地址转换，使得内网中的PC1访问Internet时，流量的源IP地址能够被 转换成公网IP地址：
完成上述配置后，PC1即可ping通PC2。
另外，FW还需增加NAT server的配置，使得Internet用户能够使用目的IP地址200.1.1.9来访问 Server的FTP服务：
[FW]nat server s1 zone untrust protocol tcp global 200.1.1.9 21 inside 172.16.1.1
21 完成上述配置后，PC2即可访问Server的FTP服务。