H3C 路由器雙出口NAT服務器的典型配置

1、H3C MSR路由器雙出口NAT服務器的典型配置一、需求：MSR的G0/0連接某學校內(nèi)網(wǎng)，G5/0連接電信出口，G5/1連接教育網(wǎng)出口，路由配置：訪問教育網(wǎng)地址通過G5/1出去，其余通過默認路由通過G5/0出去。電信網(wǎng)絡訪問教育網(wǎng)地址都是通過電信和教育網(wǎng)的專用連接互通的，因此電信主機訪問該校都是從G5/1進來，如果以教育網(wǎng)源地址（/24）從G5/0訪問電信網(wǎng)絡，會被電信過濾。該校內(nèi)網(wǎng)服務器5需要對外提供訪問，其域名是，對應DNS解析結(jié)果是。先要求電信主機和校園網(wǎng)內(nèi)部主機都可以通過域名或正常訪問，且要求校園網(wǎng)內(nèi)部可以通

2、過NAT任意訪問電信網(wǎng)絡或教育網(wǎng)絡。設備清單：MSR一臺二、拓撲圖：三、配置步驟：適用設備和版本：MSR系列、Version 5.20, Release 1205P01后所有版本。MSR關鍵配置(路由部分配置略)#/地址池0用于訪問電信的NATnat address-group 0 0 00/地址池1用于訪問教育網(wǎng)的NATnat address-group 1 0 00/靜態(tài)NAT用于外部訪問內(nèi)部服務器nat static 5 #/ACL 2000用于內(nèi)網(wǎng)訪問教育網(wǎng)和電信的NAT，

3、允許/0的源acl number 2000description NATrule 10 permit source 55/ACL 2222用于策略路由的允許節(jié)點，即內(nèi)部服務器往外發(fā)的HTTP從G5/1出去acl number 2222description policy-based-route permit noderule 0 permit source 5 0#/用于內(nèi)部主機訪問的NAT映射acl number 3000description /24 access

4、 rule 0 permit ip source 55 destination 5 0/ACL 3333用于策略路由拒絕節(jié)點，即內(nèi)部服務器返回內(nèi)部主機的不需要被策略acl number 3333description policy-based-route deny noderule 0 permit ip source 5 0 destination 55#interface GigabitEthernet0/0port link-mode ro

5、ute/內(nèi)部主機訪問時，將替換成5nat outbound static/內(nèi)部主機訪問時，將內(nèi)部主機地址轉(zhuǎn)換成nat outbound 3000description to neibu-Lanip address 52/策略路由，內(nèi)部服務器返回內(nèi)部的不被策略，返回外部的從G5/1出去ip policy-based-route aaa#interface GigabitEthernet5/0port link-mode route/內(nèi)部訪問電信

6、時需要NATnat outbound 2000 address-group 0description connect to ChinaNetip address tcp mss 1420#interface GigabitEthernet5/1port link-mode route/外部訪問內(nèi)部服務器時靜態(tài)轉(zhuǎn)換成5nat outbound static/內(nèi)部訪問教育網(wǎng)時需要NATnat outbound 2000 address-group 1description connect to Cernetip

7、 address tcp mss 1420#/策略路由aaa拒絕節(jié)點序號3policy-based-route aaa deny node 3/匹配條件ACL 3333，即內(nèi)部服務器返回內(nèi)部的流量不需要被策略if-match acl 3333/策略路由aaa允許節(jié)點5policy-based-route aaa permit node 5/匹配ACL 2222，即內(nèi)部服務器發(fā)出的流量if-match acl 2222/應用下一跳，即從G5/1出去apply ip-address next-hop #四、配置關鍵點

8、：1) 此案例所實現(xiàn)之功能只在MSR上驗證過，不同設備由于內(nèi)部處理機制差異不能保證能夠?qū)崿F(xiàn)；2) 策略路由是保證內(nèi)部服務器返回外網(wǎng)的流量從G5/1出去，如果不使用策略路由會按照普通路由轉(zhuǎn)發(fā)從G5/0出去，這樣轉(zhuǎn)換后的源地址會被電信給過濾掉，因此必須使用策略路由從G5/1出去；3) 策略路由的拒絕節(jié)點的作用是只要匹配ACL就變成普通路由轉(zhuǎn)發(fā)，而不被策略；4) 在G0/0應用2個NAT的作用是使內(nèi)網(wǎng)可以通過訪問訪問內(nèi)部服務器，如果只使用NAT Outbound Static，那么內(nèi)部主機99發(fā)送HTTP請求的源、目的地址對會變成然后發(fā)送給內(nèi)部服務器，那么內(nèi)部服務器會把HTTP響應以源、目的地址對直接返回給內(nèi)部主機（99可以經(jīng)過內(nèi)部路由不需要經(jīng)過MSR到達）因此對于內(nèi)部主機來說始終沒有接收到返回的HTTP響應，因此