H3C路由器雙出口NAT服務(wù)器的典型配置

1、H3C MSR路由器雙出口NAT服務(wù)器的典型配置 一、需求：MSR的G0/0連接某學(xué)校內(nèi)網(wǎng)，G5/0連接電信出口，G5/1連接教育網(wǎng)出口，路由配置：訪問教育網(wǎng)地址通過G5/1出去，其余通過默認(rèn)路由通過G5/0出去。電信網(wǎng)絡(luò)訪問教育網(wǎng)地址都是通過電信和教育網(wǎng)的專用連接互通的，因此電信主機(jī)訪問該校都是從G5/1進(jìn)來，如果以教育網(wǎng)源地址（/24）從G5/0訪問電信網(wǎng)絡(luò)，會(huì)被電信過濾。該校內(nèi)網(wǎng)服務(wù)器5需要對(duì)外提供訪問，其域名是，對(duì)應(yīng)DNS解析結(jié)果是。先要求電信主機(jī)和校園網(wǎng)內(nèi)部主機(jī)都可以通過域名或正常訪問，且要求校園

2、網(wǎng)內(nèi)部可以通過NAT任意訪問電信網(wǎng)絡(luò)或教育網(wǎng)絡(luò)。設(shè)備清單：MSR一臺(tái)二、拓?fù)鋱D：三、配置步驟：適用設(shè)備和版本：MSR系列、Version 5.20, Release 1205P01后所有版本。MSR關(guān)鍵配置(路由部分配置略)# /地址池0用于訪問電信的NAT /地址池1用于訪問教育網(wǎng)的NAT /靜態(tài)NAT用于外部訪問內(nèi)部服務(wù)器#/ACL 2000用于內(nèi)網(wǎng)訪問教育網(wǎng)和電信的NAT，允許的源acl number 2000 description "NAT"/ACL 2222用于策略路由的允許節(jié)點(diǎn)，即內(nèi)部服務(wù)器往外發(fā)的HTTP從G5/1出去

3、acl number 2222 description "policy-based-route permit node" rule 0 permit source 5 0#/用于內(nèi)部主機(jī)訪問的NAT映射acl number 3000 description "/24 access " rule 0 permit ip source 55 destination 5 0/ACL 3333用

4、于策略路由拒絕節(jié)點(diǎn)，即內(nèi)部服務(wù)器返回內(nèi)部主機(jī)的不需要被策略acl number 3333 description "policy-based-route deny node" #interface GigabitEthernet0/0 port link-mode route /內(nèi)部主機(jī)訪問時(shí)，將替換成 nat outbound static /內(nèi)部主機(jī)訪問時(shí)，將內(nèi)部主機(jī)地址轉(zhuǎn)換成 nat outbound 3000 description to neibu-Lan /策略路由，內(nèi)部服

5、務(wù)器返回內(nèi)部的不被策略，返回外部的從G5/1出去 ip policy-based-route aaa#interface GigabitEthernet5/0 port link-mode route /內(nèi)部訪問電信時(shí)需要NAT nat outbound 2000 address-group 0 description connect to ChinaNet tcp mss 1420#interface GigabitEthernet5/1 port link-mode route /外部訪問內(nèi)部服務(wù)器時(shí)靜態(tài)轉(zhuǎn)換成

6、 nat outbound static /內(nèi)部訪問教育網(wǎng)時(shí)需要NAT nat outbound 2000 address-group 1 description connect to Cernet tcp mss 1420#/策略路由aaa拒絕節(jié)點(diǎn)序號(hào)3policy-based-route aaa deny node 3 /匹配條件ACL 3333，即內(nèi)部服務(wù)器返回內(nèi)部的流量不需要被策略 if-match acl 3333/策略路由aaa允許節(jié)點(diǎn)5policy-based-route aaa permit node 5&#

7、160;/匹配ACL 2222，即內(nèi)部服務(wù)器發(fā)出的流量 if-match acl 2222 /應(yīng)用下一跳，即從G5/1出去#四、配置關(guān)鍵點(diǎn)：1) 此案例所實(shí)現(xiàn)之功能只在MSR上驗(yàn)證過，不同設(shè)備由于內(nèi)部處理機(jī)制差異不能保證能夠?qū)崿F(xiàn)；2) 策略路由是保證內(nèi)部服務(wù)器返回外網(wǎng)的流量從G5/1出去，如果不使用策略路由會(huì)按照普通路由轉(zhuǎn)發(fā)從G5/0出去，這樣轉(zhuǎn)換后的源地址會(huì)被電信給過濾掉，因此必須使用策略路由從G5/1出去；3) 策略路由的拒絕節(jié)點(diǎn)的作用是只要匹配ACL就變成普通路由轉(zhuǎn)發(fā)，而不被策略；4) 在G0/0應(yīng)用2個(gè)NAT的作用是使內(nèi)網(wǎng)可以通過訪問訪問內(nèi)部服務(wù)器，如果只使用NAT

8、 Outbound Static，那么內(nèi)部主機(jī)發(fā)送HTTP請(qǐng)求的源、目的地址對(duì)<99, >會(huì)變成<99, 5>然后發(fā)送給內(nèi)部服務(wù)器，那么內(nèi)部服務(wù)器會(huì)把HTTP響應(yīng)以源、目的地址對(duì)<5, 99>直接返回給內(nèi)部主機(jī)（可以經(jīng)過內(nèi)部路由不需要經(jīng)過MSR到達(dá)）因此對(duì)于內(nèi)部主機(jī)來說始終沒有接收到返回的HTTP響應(yīng)，因此打開網(wǎng)頁失敗。解決問題的辦法就是讓內(nèi)部服務(wù)器返回時(shí)經(jīng)過MSR路由器，讓MSR把HTTP響應(yīng)<5, 99>變成<, 99>，方法就是再做一次NAT，通過NAT Outbound ACL 3000使HTTP請(qǐng)求變成MSR發(fā)送的<