防火墙USG做NAT产生路由环路及解决方法


1、 根据拓扑连接设备，配置pc和服务器地址
2、 防火墙基本配置

接口地址
interface GigabitEthernet0/0/0
alias GE0/MGMT
ip address 192.168.1.254 255.255.255.0

interface GigabitEthernet0/0/1
ip address 192.168.2.254 255.255.255.0

interface GigabitEthernet0/0/2
ip address 200.1.1.1 255.255.255.0

接口加入到区域
firewall zone trust
add interface GigabitEthernet0/0/0

firewall zone untrust
add interface GigabitEthernet0/0/2

firewall zone dmz
add interface GigabitEthernet0/0/1

要求三
先放行出去在ICMP流量
policy interzone trust untrust outbound
policy 1
action permit
policy service service-set icmp
创建地址池，
[SRG]nat address-group 0 pool1 200.100.100.1 200.100.100.10
创建NAT策略
[SRG]nat-policy interzone trust untrust outbound
[SRG-nat-policy-interzone-trust-untrust-outbound]policy 1
[SRG-nat-policy-interzone-trust-untrust-outbound-1]
policy source any

[SRG-nat-policy-interzone-trust-untrust-outbound-1]policy destination any
[SRG-nat-policy-interzone-trust-untrust-outbound-1]action source-nat
[SRG-nat-policy-interzone-trust-untrust-outbound-1]address-group pool1 [SRG-nat-policy-interzone-trust-untrust-outbound-1]q
[SRG ]ip roue-static 0.0.0.0 0.0.0.0 200.1.1.2

在防火墙接口开启抓包功能
用路由器去ping –c 1 200.100.100.1
看到抓包效果

说明路由形成路由环路，

地址池路由汇总
200.100.100.00000001
200.100.100.00001010
200.100.100.0/28

在防火墙上做黑洞路由
ip route-static 100.1.1.0 28 NULL 0
在防火墙接口开启抓包功能
用路由器去ping –c 1 200.100.100.1

（图片上的目标地址应该是200.100.100.1，我实验用的是100.1.1.1）
环路消除

Easy-ip 配置
[SRG-nat-policy-interzone-trust-untrust-outbound-1]undo address-group
[SRG-nat-policy-interzone-trust-untrust-outbound-1]easy-ip g0/0/2
先ping 流量出去再看会话状态
[SRG]display firewall session table

可以看到都映射200.1.1.1出接口


我的课程首页http://edu.51cto.com/lecturer/1025688.html
加群学习讨论：32307012

原文地址：http://blog.51cto.com/ronning/2123309

时间： 2024-10-24 08:28:19

防火墙USG做NAT产生路由环路及解决方法的相关文章

联想网御防火墙内网地址映射不能直接访问临时解决方法

今天到一单位,该单位有个问题想让我解决一下.该单位使用联想网御防火墙保护网络,网络拓扑如图1所示. 图1网络拓扑 单位核心交换机的网段是192.168.0.0-192.168.8.0/24,服务器使用192.168.9.0网段,服务器核心交换机之间采用联想网御防火墙.单位有台服务器内网地址是192.168.9.9,在防火墙上映射了一个公网地址61.n1.n2.n4.在没有映射之前,工作站可以直接使用192.168.9.9这个"内网"地址访问,但在地址映射之后,只能使用"公网&

AngularJS1.6版本中ui-router路由中/#!/的解决方法 - zhuan

本地编译出的文件可以正常运行,但是服务器编译后到了测试那里路由上就莫名的出现了/#!/,这导致了很多问题. 后来查了下是服务器编译器把AngularJS升级到了1.6版本,而我本地的依旧是1.5. 但是1.6究竟做了哪些改变呢? 可以参考这个:https://github.com/angular/angular.js/commit/aa077e81129c740041438688dff2e8d20c3d7b52 可以看到里面多了很多/#!/的改动.. 如果想让路由依旧表现的与之前版本的一致可以这

NAT和路由的选择

话说我刚刚入IT这个行当的时候(that would be 15 yrs ago),单位的网络应用还十分的简单,硬件不过几台交换机还都是杂牌的,还都是非智能的,软件应用如果有也是单机版的,财务电算化是个能够拿得出手的应用.当时我的工作只有两大块:让单位的办公室PC能够上网,让单位的网站有内容.让外界能够看到这个网站. 除了网站的服务器运维(PC+ FREEBSD + APACHE ).网站开发(PHP + MYSQL)这部分外,就是网络管理了. 首先是CISCO 3650 做的拨号服务器,让家属

iptables、防火墙配置、NAT端口映射

一,配置一个filter表放火墙 (1)查看本机关于IPTABLES的设置情况 [[email protected] ~]# iptables -L -n Chain INPUT (policy ACCEPT) target       prot opt source                 destination Chain FORWARD (policy ACCEPT) target       prot opt source                 destination

实验-思科设备划VLAN做单臂路由

思科单臂路由 实验拓扑: 步骤: 一,为PC配置IP地址(使用VPCS) 二,在交换机划VLAN,并以access方式将各接口加入到vlan中 SW1: SW2: 三,在路由器上划分子接口做各vlan的网关做单臂路由 R1: 四,测试各vlan的PC间通信,与C5互通测试 实验完成

NAT静态路由内网访问外网(华为）

1,实验名称:NAT静态路由内网访问外网(华为)2,实验目的:将私有地址转换为合法的IP地址,并解决IP地址不足的问题,而且还能有效的避免来自网络外的攻击.让内网可以访问外网,而外网不可以访问内网,起到内网安全保护数据的作用:3,实验拓扑: ,配置环境:① 先准备环境 2台PC机 1台交换机4台路由器② 先将PC机配置IP地址及子网掩码和网关(网关配置在路由器R1与交换机端口)③ 在路由器R1->R2端口配置不同网段IP:R1->R2->R3共两个不同网段④ 在R1->PC上的不同

三层交换机做单臂路由

v 三层交换机做单臂路由 拓扑: 搭建步骤: 1 在sw1 和sw3上创建vlan , 并将与主机相连的接口设为access并分到相应vlan上 SW1: sysname SW1 vlan batch 10 20 interface GigabitEthernet0/0/10 port link-type access port default vlan 10 interface GigabitEthernet0/0/20 port link-type access port default v

在GNS3做单臂路由实验

在GNS3做单臂路由实验如图所示: 用路由器模拟PC,R2模拟PC1,R3模拟PC2,R4模拟PC3.配置如下:PC1:R2#conf tR2(config)#int f0/0R2(config-if)#ip addR2(config-if)#ip address 192.168.1.1 255.255.255.0R2(config-if)#no sh R2(config-if)#exitR2(config)#ip default-gateway 192.168.1.254 (配置PC网关)R2

华为OSPF NSSA区域对默认路由的处理和解决方法

华为OSPF NSSA区域对默认路由的处理 题注: 用华为eNSP做OSPF多区域实验时,发现NSSA区域存在ABR自动导入Type 7default route的问题.记录下来供探讨学习. 一. 实验环境 eNSP,所有路由器使用Route模拟.根据华为官方介绍,该模拟器基于ARG3操作系统版本.因此实际行为与真实路由器一致. R1.R2.R6.R7构成1个NSSA区域1.其中R7有一条到外网的默认路由(实验中指向Null0). 二. 运行配置 1.端口IP R1: interface Eth