H3C路由器雙出口NAT服務器的典型配置

1、H3C MSR路由器雙出口NAT服務器的典型配置 一、需求：MSR的G0/0連接某學校內網(wǎng)，G5/0連接電信出口，G5/1連接教育網(wǎng)出口，路由配置：訪問教育網(wǎng)地址通過G5/1出去，其余通過默認路由通過G5/0出去。電信網(wǎng)絡訪問教育網(wǎng)地址都是通過電信和教育網(wǎng)的專用連接互通的，因此電信主機訪問該校都是從G5/1進來，如果以教育網(wǎng)源地址（/24）從G5/0訪問電信網(wǎng)絡，會被電信過濾。該校內網(wǎng)服務器5需要對外提供訪問，其域名是，對應DNS解析結果是。先要求電信主機和校園網(wǎng)內部主機都可以通過域名或正常訪問，且要求校園

2、網(wǎng)內部可以通過NAT任意訪問電信網(wǎng)絡或教育網(wǎng)絡。設備清單：MSR一臺二、拓撲圖：三、配置步驟：適用設備和版本：MSR系列、Version 5.20, Release 1205P01后所有版本。MSR關鍵配置(路由部分配置略)# /地址池0用于訪問電信的NAT /地址池1用于訪問教育網(wǎng)的NAT /靜態(tài)NAT用于外部訪問內部服務器#/ACL 2000用于內網(wǎng)訪問教育網(wǎng)和電信的NAT，允許的源acl number 2000 description "NAT"/ACL 2222用于策略路由的允許節(jié)點，即內部服務器往外發(fā)的HTTP從G5/1出去

3、acl number 2222 description "policy-based-route permit node" rule 0 permit source 5 0#/用于內部主機訪問的NAT映射acl number 3000 description "/24 access " rule 0 permit ip source 55 destination 5 0/ACL 3333用

4、于策略路由拒絕節(jié)點，即內部服務器返回內部主機的不需要被策略acl number 3333 description "policy-based-route deny node" #interface GigabitEthernet0/0 port link-mode route /內部主機訪問時，將替換成 nat outbound static /內部主機訪問時，將內部主機地址轉換成 nat outbound 3000 description to neibu-Lan /策略路由，內部服

5、務器返回內部的不被策略，返回外部的從G5/1出去 ip policy-based-route aaa#interface GigabitEthernet5/0 port link-mode route /內部訪問電信時需要NAT nat outbound 2000 address-group 0 description connect to ChinaNet tcp mss 1420#interface GigabitEthernet5/1 port link-mode route /外部訪問內部服務器時靜態(tài)轉換成

6、 nat outbound static /內部訪問教育網(wǎng)時需要NAT nat outbound 2000 address-group 1 description connect to Cernet tcp mss 1420#/策略路由aaa拒絕節(jié)點序號3policy-based-route aaa deny node 3 /匹配條件ACL 3333，即內部服務器返回內部的流量不需要被策略 if-match acl 3333/策略路由aaa允許節(jié)點5policy-based-route aaa permit node 5&#

7、160;/匹配ACL 2222，即內部服務器發(fā)出的流量 if-match acl 2222 /應用下一跳，即從G5/1出去#四、配置關鍵點：1) 此案例所實現(xiàn)之功能只在MSR上驗證過，不同設備由于內部處理機制差異不能保證能夠實現(xiàn)；2) 策略路由是保證內部服務器返回外網(wǎng)的流量從G5/1出去，如果不使用策略路由會按照普通路由轉發(fā)從G5/0出去，這樣轉換后的源地址會被電信給過濾掉，因此必須使用策略路由從G5/1出去；3) 策略路由的拒絕節(jié)點的作用是只要匹配ACL就變成普通路由轉發(fā)，而不被策略；4) 在G0/0應用2個NAT的作用是使內網(wǎng)可以通過訪問訪問內部服務器，如果只使用NAT

8、 Outbound Static，那么內部主機發(fā)送HTTP請求的源、目的地址對<99, >會變成<99, 5>然后發(fā)送給內部服務器，那么內部服務器會把HTTP響應以源、目的地址對<5, 99>直接返回給內部主機（可以經(jīng)過內部路由不需要經(jīng)過MSR到達）因此對于內部主機來說始終沒有接收到返回的HTTP響應，因此打開網(wǎng)頁失敗。解決問題的辦法就是讓內部服務器返回時經(jīng)過MSR路由器，讓MSR把HTTP響應<5, 99>變成<, 99>，方法就是再做一次NAT，通過NAT Outbound ACL 3000使HTTP請求變成MSR發(fā)送的<