组网需求

FTP服务器处于DMZ安全区域&＃xff0c;所在的网段为10.1.1.0/24&＃xff0c;能够被外部用户访问。外部网络处于Untrust安全区域。

需求如下&＃xff1a;

  • FTP服务器的内部IP地址为10.1.1.2&＃xff0c;对外公布的地址为200.1.1.10&＃xff0c;对外使用的端口号为缺省值。

  • FTP服务器上不需要配置到公网IP地址的路由。

    图1 Inbound方向的NAT配置组网图

 

操作步骤

[USG5300] interface GigabitEthernet 0/0/0

[USG5300-GigabitEthernet0/0/0] ip address 10.1.1.1 24

[USG5300] interface GigabitEthernet 0/0/1

[USG5300-GigabitEthernet0/0/1] ip address 200.1.1.1 24

[USG5300] firewall zone dmz

[USG5300-zone-dmz] add interface GigabitEthernet 0/0/0

[USG5300] firewall zone untrust

[USG5300-zone-untrust] add interface GigabitEthernet 0/0/1

 

[USG5300] nat server global 200.1.1.10 inside 10.1.1.2

[USG5300] nat address-group 1 10.1.1.5 10.1.1.50

[USG5300] policy interzone dmz untrust inbound

[USG5300-policy-interzone-dmz-untrust-inbound] policy 1

[USG5300-policy-interzone-dmz-untrust-inbound-1] policy source 200.1.1.0 0.0.0.255

[USG5300-policy-interzone-dmz-untrust-inbound-1] action permit

 

[USG5300] nat-policy interzone dmz untrust inbound

[USG5300-nat-policy-interzone-dmz-untrust-inbound] policy 1

[USG5300-nat-policy-interzone-dmz-untrust-inbound-1] policy source 200.1.1.0 0.0.0.255

[USG5300-nat-policy-interzone-dmz-untrust-inbound-1] action source-nat

[USG5300-nat-policy-interzone-dmz-untrust-inbound-1] address-group 1

 

[USG5300] firewall interzone dmz untrust

[USG5300-interzone-dmz-untrust] detect ftp

[USG5300-interzone-dmz-untrust] quit

所谓双向NAT就是在正常的NAT的基础上多了反方向NAT的转换&＃xff0c;如&＃xff1a;NAT Server&＃xff0c;基于公网源地址的NAT转换&＃xff08;如上&＃xff09;&＃xff0c;域内NAT等都是双向NAT的实例。
在此例中由于服务器没有配置缺省路由&＃xff08;没有配置网关&＃xff09;&＃xff0c;所以如果公网的数据访问服务器&＃xff0c;则服务器无法回应。所以要在USG上配置基于公网地址inbound方向的NAT&＃xff0c;将公网数据的源地址转换为和服务器在同网段的私网地址&＃xff0c;从而服务器可以对其响应。
之所以服务器没有配置确实路由&＃xff0c;是为了服务器的安全性--服务器不会主动向外网发起连接。