---

实验拓扑【GitHub下载】

组网需求

A运营商公网IPv4地址比较匮乏，为尽量节约公网地址，其内部城域网使用的是私网IPv4地址。为满足城域网下的私网用户访问Internet的需求，需要在CPE和CGN设备上两次使用NAT，使IPv4私网用户能够访问IPv4公网。

如下实验拓扑：

实验需求：

完成相关配置，实现客户端可以访问Server端

配置步骤：

1. 如图所示，完成基础的IP地址配置
2. 将CPE、CGN的接口加入相应的区域
3. 在CPE、CGN上配置NAT策略
4. 在CPE、CGN配置安全策略
5. 配置默认路由

基础配置

----------------------------------------
# CPE基础配置
  sys CPE
  int g1/0/0
  ip ad 192.168.0.1 24
  int g1/0/1
  ip ad 10.1.1.1 24
----------------------------------------
# CGN基础配置
  sys CGN
  int g1/0/0
  ip ad 10.1.2.1 24
  int g1/0/1
  ip ad 1.1.1.1 24
----------------------------------------
# AR1基础配置
 sysname AR1
#
interface GigabitEthernet0/0/0
 ip address 10.1.1.2 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 10.1.2.2 255.255.255.0
----------------------------------------
# AR2基础配置
 sysname AR2
#
interface GigabitEthernet0/0/0
 ip address 1.1.1.2 255.255.255.0
#
interface LoopBack0
 ip address 2.2.2.2 255.255.255.255 

接口加入相应的安全区域

• CPE配置

[CPE]firewall zone trust  //进入trust区域
[CPE-zone-trust]add interface g1/0/0  //将接口加入区域
[CPE-zone-trust]q         
[CPE]firewall zone untrust 
[CPE-zone-untrust]add interface g1/0/1

• CGN配置

[CGN]firewall zone trust 
[CGN-zone-trust]add interface g1/0/0
[CGN-zone-trust]q
[CGN]firewall zone untrust 
[CGN-zone-untrust]add interface g1/0/1

• 对于CGN而言，PC、CPE、IPv4Network都为信任区域
• IPv4Network对于CPE来说为非信任区域，对于CGN来说为信任区域

配置NAT策略

• CPE配置NAT策略

  使用Easy-IP的配置方式

[CPE]nat-policy 
[CPE-policy-nat]rule name CPE  //rule名字CPE
[CPE-policy-nat-rule-CPE]source-zone trust  //源区域
[CPE-policy-nat-rule-CPE]destination-zone untrust  //目标区域
[CPE-policy-nat-rule-CPE]source-address 192.168.0.0 24  //源IP
[CPE-policy-nat-rule-CPE]action source-nat easy-ip  //配置Easy-IP

• CGN配置NAT策略

  使用动态地址池的配置方式

1. 配置地址池

[CGN]nat address-group 1
[CGN-address-group-1]mode pat  //NAT模式为一对一转换
[CGN-address-group-1]route enable  //地址池自动生成
[CGN-address-group-1]section 0 1.1.1.11 1.1.1.20  //创建地址池

2. 配置NAT策略

[CGN]nat-policy 
[CGN-policy-nat]rule name CGN
[CGN-policy-nat-rule-CGN]source-zone trust 
[CGN-policy-nat-rule-CGN]destination-zone untrust 
[CGN-policy-nat-rule-CGN]source-address 10.1.1.0 24
[CGN-policy-nat-rule-CGN]action source-nat address-group 1  //配置动态地址池

防火墙配置安全策略

• CPE安全策略配置

1. 配置安全策略

# 进入安全策略视图
[CPE]security-policy
# 创建安全规则
[CPE-policy-security]rule name tr_to_un
# 设置安全规则的源安全地址为trust
[CPE-policy-security-rule-tr_to_un]source-zone trust
# 设置安全规则的目的安全地址为untrust
[CPE-policy-security-rule-tr_to_un]destination-zone untrust 
# 设置安全规则源网段
[CPE-policy-security-rule-tr_to_un]source-address 192.168.0.0 24
# 设置安全规则的动作为允许
[CPE-policy-security-rule-tr_to_un]action permit 

2. 接口放行所有服务，允许ping

[CPE-GigabitEthernet1/0/0]service-manage all permit

• CGN安全策略配置

1. 配置安全策略

[CGN]security-policy
[CGN-policy-security]rule name tr_to_un
[CGN-policy-security-rule-tr_to_un]source-zone trust
[CGN-policy-security-rule-tr_to_un]destination-zone untrust 
[CGN-policy-security-rule-tr_to_un]source-address 10.1.1.0 24
[CGN-policy-security-rule-tr_to_un]action permit 

2. 接口放行所有服务，允许ping

[CGN-GigabitEthernet1/0/0]service-manage all permit

配置默认路由

• CPE指定默认路由

[CPE]ip route-static 0.0.0.0 0 10.1.1.2

• AR1配置默认路由

[AR1]ip route-static 0.0.0.0 0.0.0.0  10.1.2.1

• CGN配置默认路由

[CGN]ip route-static 0.0.0.0 0 1.1.1.2  //去往Server的路由
[CGN]ip route-static 10.1.1.1 24 10.1.2.2  //回客户端的路由

• AR2配置默认路由

[AR2]ip route-static 0.0.0.0 0 1.1.1.1

注意事项：

• 因为是模拟的运营商网络，所以必须配置默认路由，否则无法ping通
• 在防火墙的接口下，必须允许ping，不然无法ping通
• AR1(IPv4 Network)需要配置任意路由，否则无法ping通CGN右侧的（untrust）区域
• 对于CGN而言，所有的数据流量都是从10.1.1.0网段发来的，所以安全策略的源IP直接是10.1.1.0

 

以上内容均属原创，如有不详或错误，敬请指出。