H3C路由器雙出口NAT服務(wù)器的典型配置

1、H3C MSR路由器雙出口NAT服務(wù)器的典型配置 一、需求：MSR的G0/0連接某學(xué)校內(nèi)網(wǎng)，G5/0連接電信出口，G5/1連接教育網(wǎng)出口，路由配置：訪問教育網(wǎng)地址通過G5/1出去，其余通過默認路由通過G5/0出去。電信網(wǎng)絡(luò)訪問教育網(wǎng)地址都是通過電信和教育網(wǎng)的專用連接互通的，因此電信主機訪問該校都是從G5/1進來，如果以教育網(wǎng)源地址（/24）從G5/0訪問電信網(wǎng)絡(luò)，會被電信過濾。該校內(nèi)網(wǎng)服務(wù)器5需要對外提供訪問，其域名是，對應(yīng)DNS解析結(jié)果是。先要求電信主機和校園網(wǎng)內(nèi)部主機都可以通過域名或正常訪問，且要求校園

2、網(wǎng)內(nèi)部可以通過NAT任意訪問電信網(wǎng)絡(luò)或教育網(wǎng)絡(luò)。設(shè)備清單：MSR一臺二、拓撲圖：三、配置步驟：適用設(shè)備和版本：MSR系列、Version 5.20, Release 1205P01后所有版本。MSR關(guān)鍵配置(路由部分配置略)# /地址池0用于訪問電信的NAT /地址池1用于訪問教育網(wǎng)的NAT /靜態(tài)NAT用于外部訪問內(nèi)部服務(wù)器#/ACL 2000用于內(nèi)網(wǎng)訪問教育網(wǎng)和電信的NAT，允許的源acl number 2000 description "NAT"/ACL 2222用于策略路由的允許節(jié)點，即內(nèi)部服務(wù)器往外發(fā)的HTTP從G5/1出去

3、acl number 2222 description "policy-based-route permit node" rule 0 permit source 5 0#/用于內(nèi)部主機訪問的NAT映射acl number 3000 description "/24 access " rule 0 permit ip source 55 destination 5 0/ACL 3333用

4、于策略路由拒絕節(jié)點，即內(nèi)部服務(wù)器返回內(nèi)部主機的不需要被策略acl number 3333 description "policy-based-route deny node" #interface GigabitEthernet0/0 port link-mode route /內(nèi)部主機訪問時，將替換成 nat outbound static /內(nèi)部主機訪問時，將內(nèi)部主機地址轉(zhuǎn)換成 nat outbound 3000 description to neibu-Lan /策略路由，內(nèi)部服

5、務(wù)器返回內(nèi)部的不被策略，返回外部的從G5/1出去 ip policy-based-route aaa#interface GigabitEthernet5/0 port link-mode route /內(nèi)部訪問電信時需要NAT nat outbound 2000 address-group 0 description connect to ChinaNet tcp mss 1420#interface GigabitEthernet5/1 port link-mode route /外部訪問內(nèi)部服務(wù)器時靜態(tài)轉(zhuǎn)換成

6、 nat outbound static /內(nèi)部訪問教育網(wǎng)時需要NAT nat outbound 2000 address-group 1 description connect to Cernet tcp mss 1420#/策略路由aaa拒絕節(jié)點序號3policy-based-route aaa deny node 3 /匹配條件ACL 3333，即內(nèi)部服務(wù)器返回內(nèi)部的流量不需要被策略 if-match acl 3333/策略路由aaa允許節(jié)點5policy-based-route aaa permit node 5&#

7、160;/匹配ACL 2222，即內(nèi)部服務(wù)器發(fā)出的流量 if-match acl 2222 /應(yīng)用下一跳，即從G5/1出去#四、配置關(guān)鍵點：1) 此案例所實現(xiàn)之功能只在MSR上驗證過，不同設(shè)備由于內(nèi)部處理機制差異不能保證能夠?qū)崿F(xiàn)；2) 策略路由是保證內(nèi)部服務(wù)器返回外網(wǎng)的流量從G5/1出去，如果不使用策略路由會按照普通路由轉(zhuǎn)發(fā)從G5/0出去，這樣轉(zhuǎn)換后的源地址會被電信給過濾掉，因此必須使用策略路由從G5/1出去；3) 策略路由的拒絕節(jié)點的作用是只要匹配ACL就變成普通路由轉(zhuǎn)發(fā)，而不被策略；4) 在G0/0應(yīng)用2個NAT的作用是使內(nèi)網(wǎng)可以通過訪問訪問內(nèi)部服務(wù)器，如果只使用NAT

8、 Outbound Static，那么內(nèi)部主機發(fā)送HTTP請求的源、目的地址對<99, >會變成<99, 5>然后發(fā)送給內(nèi)部服務(wù)器，那么內(nèi)部服務(wù)器會把HTTP響應(yīng)以源、目的地址對<5, 99>直接返回給內(nèi)部主機（可以經(jīng)過內(nèi)部路由不需要經(jīng)過MSR到達）因此對于內(nèi)部主機來說始終沒有接收到返回的HTTP響應(yīng)，因此打開網(wǎng)頁失敗。解決問題的辦法就是讓內(nèi)部服務(wù)器返回時經(jīng)過MSR路由器，讓MSR把HTTP響應(yīng)<5, 99>變成<, 99>，方法就是再做一次NAT，通過NAT Outbound ACL 3000使HTTP請求變成MSR發(fā)送的<