20090905_天清汉马USG系列_NAT配置指南_V3.0

天清汉马USG防火墙快速安装指南

天清汉马USG快速安装指南安全技术有限公司手册版本产品版本 2.6.3 资料状态发行

第1章软件安装 .................................................................................................. 1-2 1.1 准备条件 ........................................................................................................... 1-2 1.2 天清集中管理与数据分析中心安装过程 ....................................................... 1-2 1.2.1 MSDE数据库.................................................................................................................. 1-4 1.2.2 天清集中管理与数据分析中心................................................................................... 1-4 1.3 管理配置 ........................................................................................................... 1-7 1.3.1 配置数据库服务器....................................................................................................... 1-8 1.3.2 配置入库缓冲文件路径............................................................................................... 1-9 1.3.3 配置声音报警............................................................................................................. 1-10第2章软件卸载 ................................................................................................ 2-11 2.1 天清集中管理与数据分析中心卸载过程 ..................................................... 2-11第3章硬件安装 ................................................................................................ 3-12 3.1 准备条件 ......................................................................................................... 3-12 3.2 标识说明 ......................................................................................................... 3-12 3.3 设备安装 ......................................................................................................... 3-14 3.3.1 模块化设备安装......................................................................................................... 3-14 3.3.2 10000E设备安装........................................................................................................ 3-15第4章快速配置 ................................................................................................ 4-16 4.1 设备默认配置 ................................................................................................. 4-16 4.1.1 管理口的默认配置..................................................................................................... 4-16 4.1.2 默认管理员用户......................................................................................................... 4-16 4.2 Web快速配置.................................................................................................. 4-16 4.2.1 登录设备..................................................................................................................... 4-16 4.2.2 语言配置..................................................................................................................... 4-18 4.2.3 配置路由模式............................................................................................................. 4-19 4.2.4 配置桥模式................................................................................................................. 4-22 4.2.5 配置安全策略............................................................................................................. 4-24 4.2.6 配置NAT...................................................................................................................... 4-26 4.3 天清集中管理与数据分析中心快速配置 ..................................................... 4-27 4.3.1 登录天清集中管理与数据分析中心......................................................................... 4-27 4.3.2 添加USG设备............................................................................................................. 4-28 4.3.3 添加设备组................................................................................................................. 4-29 4.3.4 调整数据接收端口..................................................................................................... 4-29 4.3.5 查询数据..................................................................................................................... 4-30 4.4 天清集中管理与数据分析中心快速配置 ..................................................... 4-30 4.4.1 登录集中管理中心..................................................................................................... 4-30 4.4.2 添加设备/设备组....................................................................................................... 4-30

实验二十九配置静态NAT(学生用)

实验二十九配置静态NAT 【实验名称】配置静态NAT 。【实验目的】配置网络地址变换，提供到公司共享服务器的可靠外部访问。【背景描述】某IT 企业因业务扩展，需要升级网络，他们选择172.16.1.0/24作为私有地址，并用NAT 来处理和外部网络的连接。【需求分析】公司需要将172.16.4.2访问外网，同时考虑到包括安全在内的诸多因素，公司希望对外部隐藏内部网络，使外部网络不能访问内部网络。【实验】 1.1 实验设备用户自定义路由器2621XM 2台交换机2950-24 1台 PC 机 2台 1.2 组网图 S0/0S0/0 F0/0 PC3 F0/0 1.3 设备IP 地址表

【实验原理】在路由器RT3上把通过NAT地址转换，将172.16.4.2、172.16.4.3两台主机访问互联网的行为转换成路由器RT3上220.1.1.2访问互联网的行为，从而实现把内网隐藏起来。 1.4 配置步骤第一步在路由器上RT1配置静态路由选择和IP地址。第二步在路由器上RT2配置静态路由选择和IP地址。第三步在路由器上RT3配置静态路由选择和IP地址。第四步在路由器RT3上配置静态NAT。第五步在路由器RT3上指定一个内部接口和一个外部接口。第六步在RT3上查看地址转换的情况先从内网PING 外网计算机，再查看地址转换情况 Router#show ip nat translations 1.5 验证配置 1、主机PC1通过PING 命令PING主机PC3截图保存在PKT文件中。 2、RT3上对主机PC1通过PING 命令PING主机PC3时进行的地址转换 3、主机PC2通过PING 命令PING主机PC3截图保存在PKT文件中。 4、RT3上对主机PC2通过PING 命令PING主机PC3时进行的地址转换 5、主机PC3通过PING 命令PING主机PC1（或PC2）截图保存在PKT文件中。

天清汉马USG配置手册

长城资产天清汉马防火墙配置信息

一、基本信息接口0的默认地址配置为192.168.1.250/24。允许对该接口进行Telnet，PING，HTTPS操作。系统默认的管理员用户为admin，密码为https://www.360docs.net/doc/849720740.html,g。用户可以使用这个管理员账号从任何地址登录设备，并且使用设备的所有功能。系统默认的审计员用户为audit，密码为venus.audit。用户可以使用这个账号对安全策略和日志系统进行审计。系统默认的用户管理员用户为useradmin，密码为https://www.360docs.net/doc/849720740.html,er。用户可以使用这个账号用于配置系统管理员。二、USG设备的主要配置选项。 1.系统管理：系统配置和管理。包括状态、会话管理、管理员、维护和监控。可以查看各种版本，系统已经运行的时间，系统性能，接口状态，授权信息，各种网络活动状况可以对USG进行会话管理，进行会话连接数限制并可以临时阻断可疑的会话可以对协议超时时间进行配置，因为有些应用程序在全连接建立后，报文只会根据实际的数据进行交互，而没有保活机制，往往会导致连接超时删除，后续的数据无法通过设备。协议管理功能提供了设置特定服务超时时间的功能，可以解决这种需要长时间空闲连接的问题。创建管理员要先创建管理员权限表，可以配置只能通过哪个地址进行登陆如果对设备各种库进行自动升级要为设备设置正确的DNS，选择恢复出厂设臵提交后，去执行重启操作，而不要去点保存按钮目前外置储存器只支持CF卡和USB 2.网络管理：网络相关配置。包括接口、NAT、基本配置、DHCP、双机热备功能的配置。可以更改端口的带宽设置、双工模式以及端口速率等设置功能。对于端口的命名，如果是100M网卡，则名称前缀为eth，比如eth0，eth1等等；如果是1000M网卡，则名称前缀为ge，端口默认的MTU为1500，本设备可以做单臂路由。同一个接口只能加入到一个网桥组。已创建了子接口（VLAN接口）的以太网接口不能加入网桥组。 GRE 协议的英文全称是Generic Routing Encapsulation，即通用路由封装协议。GRE 是第三层的隧道协议，它利用一种协议的传输能力为另一种协议建立了点到点的隧道，被封装的报文将在隧道的两端进行封装和解封。使用GRE 协议可以与对端路由器或防火墙设备建立虚拟的、点对点通信。仅支持封装IP 类型的网络数据包。

静态NAT配置实例与详解

静态NAT配置实例 NAT的实现方式有三种，即静态转换StaticNat、动态转换DynamicNat和端口多路复用OverLoad。静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备(如服务器)的访问。动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址对是不确定的，而是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。但在一个时间点上，同时访问外网的主机数量不会多于地址中的公有IP 地址数量。只有释放后才能被其它的内网主机重新获取分配。即：在一个时间点上是一对一的关系，在一个时间段上是一对多的关系。端口多路复用是指改变外出数据包的源端口并进行端口转换，即端口地址转换(PAT，PortAddressTranslation)，采用端口多路复用方式。内部网络的所有主机均可共享一个（或多个地址池中的）合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。实现一对多的对应关系【背景描述】现假设某单位创建了PC1和 PC2，这两台PC机不但允许内部用户（IP 地址为 172.16.1.0/24 网段）能够相互访问，而且要求 Internet 上的外网用户也能够访问。为实现此功能，本单位向当地的ISP申请了一段公网的IP地址210.28.1.0/24（210.28.1.10和210.28.1.11）。通过静态NAT转换，当Internet 上的用户访问这两台PC时，实际访问的是210.28.1.10和210.28.1.11这两个公网的IP地址，但用户的访问数据被路由器R１（NAT）分别转换为172.16.1.10

三种NAT实现方式配置实例

NAT有3种实现方式，包括有静态NAT、动态地址NAT和端口多路复用地址转换三种技术类型。静态NAT是把内部网络中的每个主机地址永久映射成外部网络中的某个合法地址；动态地址NAT是采用把外部网络中的一系列合法地址使用动态分配的方法映射到内部网络；端口多路复用地址转换是把内部地址映射到外部网络的一个IP地址的不同端口上。根据不同的需要，选择相应的NAT技术类型。一般我们实际工作中都使用复用NAT，即复用断口NAT，也叫PNAT. 所以掌握最后配置就可以了。静态NAT配置步骤：首先，配置各接口的IP地址。内网使用私有IP.外网使用公网IP.并指定其属于内外接口。其次，定义静态建立IP地址之间的静态映射。最后，指定其默认路由。 Router>en（进入特权模式） Router#config （进入全局配置模式） Configuring From terminal, memory, or network [terminal]? Enter configuration commands, one per line. End with CNTL/Z. Router(config)#ho R3（命名为R3） R3(config)#no ip domain-lo（关闭域名查询，在实验环境中，敲入错误的命令，它将进行域名查询，故关闭他） R3(config)#line c 0（进入线路CONSOLE接口0下） R3(config-line)#logg syn（启用光标跟随，防止日志信息冲断命令显示的位置）R3(config-line)#exec-t 0 0（防止超时，0 0为永不超时） R3(config-line)#exit R3(config)#int e0（进入以太网接口下） R3(config-if)#ip add 192.168.1.1 255.255.255.0（设置IP地址） R3(config-if)#ip nat inside（设置为内部接口） R3(config-if)#no shut R3(config-if)#exit R3(config)#int ser1 （进入串口下） R3(config-if)#ip add 100.0.0.1 255.255.255.0 R3(config-if)#no shut R3(config-if)#ip nat outside（设置为外部接口） R3(config-if)#exit R3(config)#ip nat inside source static 191.168.1.1 100.0.0.1（设置静态转换，其中ip nat inside source为NAT转换关键字，这里是静态，故为STATIC）R3(config)#ip classless R3(config)#ip route 0.0.0.0 0.0.0.0 s0(这里是出口或者下一跳地址) R3(config)#exit

实验手册：静态NAT和动态NAT

实验目的： 1、掌握静态NAT的配置 2、掌握动态NAT的配置实验拓扑： PC1：IP：192.168.1.1 /24 GW:192.168.1.254 PC2：IP：192.168.1.2 /24 GW:192.168.1.254 PC3：IP：202.1.1.0 /24 PC3不要配置网关， IP地址的基本配置 R1(config)#int f1/0 R1(config-if)#ip add 192.168.1.254 255.255.255.0 R1(config-if)#no shut R1(config)#int f0/0 R1(config-if)#ip add 202.1.1.10 255.255.255.0 R1(config-if)#no shut 静态NAT的配置 1、设置对内和对外接口 R1(config)#int f1/0 R1(config-if)#ip nat inside F1/0是连接外网的 R1(config-if)#int f0/0 R1(config-if)#ip nat outside F0/0是连接外网的 R1(config)#ip nat inside source static 192.168.1.1 202.1.1.100 R1(config)#ip nat inside source static 192.168.1.2 202.1.1.101 这时PC1和PC2去ping外网地址202.1.1.10可以ping通。外网的真实PC可以ping不通内网的地址，但是可以ping通202.1.1.100和202.1.1.101地址。因为ARP缓存表中有该地址对应的MAC。 2、动态NAT的配置 R1(config)#int f1/0

天清汉马防火墙系列_Trunk配置指南_V4.0

天清汉马USG防火墙Trunk配置指南 (V 4.0) 北京启明星辰信息安全技术有限公司 Beijing Venustech Cybervision Co.,Ltd. 二零一一年十一月

版权声明启明星辰公司版权所有，并保留对本手册及本声明的最终解释权和修改权。本手册的版权归启明星辰公司所有。未得到启明星辰公司书面许可，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其部分或全部用于商业用途。免责声明本手册依据现有信息制作，其内容如有更改，恕不另行通知。启明星辰公司在编写该手册的时候已尽最大努力保证其内容准确可靠，但启明星辰公司不对本手册中的遗漏、不准确或错误导致的损失和损害承担责任。 User’s Manual Copyright and Disclaimer Copyright Copyright Venus Info Tech Inc. All rights reserved. The copyright of this document is owned by Venus Info Tech Inc. Without the prior written permission obtained from Venus Info Tech Inc., this document shall not be reproduced and excerpted in any form or by any means, stored in a retrieval system, modified, distributed and translated into other languages, applied for a commercial purpose in whole or in part. Disclaimer This document and the information contained herein is provided on an “AS IS”basis. Venus Info Tech Inc. may make improvement or changes in this document, at any time and without notice and as it sees fit. The information in this document was prepared by Venus Info Tech Inc. with reasonable care and is believed to be accurate. However, Venus Info Tech Inc. shall not assume responsibility for losses or damages resulting from any omissions, inaccuracies, or errors contained herein.

NAT配置实验实验报告

网络工程实验四 NAT和PAT配置一、实验环境一台装有Boson NetSim for CCNP 和Boson Network Designer 软件的PC 机。二、实验目的本实验的目的是通过配置静态地址传输，动态地址传输，对NAT的工作原理有初步的熟悉，把握NAT在路由器上的配置方法，对NAT在网络上的应用有更深的了解。三、实验步骤 1、通过Boson Network Designer 画出实验拓扑图。 2、配置静态NAT查看配置并用Ping命令检验 3、配置动态NAT同样查看配置并检验 4、配置动态PAT 四、实验过程 Stepl :在BOSOn NetWOrk DeSigner 画出实验拓扑图如图3-1所示。

图 4-1HoSt 1IP 地址图 4-2HoSt 1IP 地址图 4-3HoSt 1IP 地址清冈厨踣 h p://WVWW.vi p tn. c om 图3-1实验拓扑图 Step2:配置各个路由器端口的IP 地址，并在ROuterB 和ROuterC 上配置到 202.116.78.0 网段的静态路由。而在 ROUterA 上分别为ROUterB 和ROUterC 配置一条到达内部全局地址的静态路由。如图 4-1，4-2 ，4-3，4-4，4-5，4-6所示。 EO 202 11664 1 20? 116 64. 2 192 IBS. 1. 1 HDST -2 1$2. l&a. 1. 2 转按成 202. 116.67.x S02- 11S. 78. 1 HJ$T_1 302.11& 70. 2 所有掩码为24位 ID. 0. 1. i HDSTJS 10. 0. 1. 2 nou

静态NAT动态NAT、NAPT配置实验

实验一静态NAT

Router(config)#ipnat inside source static 192.168.1.1 200.1.1.10 Router(config)#interface f0/0 Router(config-if)#ipnat inside Router(config-if)#ex Router(config)#interface f0/1 Router(config-if)#ipnat outside 验证从外网ping内网的主机看回包实验二、动态NAT 1、建立地址池 Router(config)#ipnat pool p1 200.1.1.20 200.1.1.21 netmask 255.255.255.0 2、控制内部网络 Router(config)#access-list 10 permit 192.168.1.0 0.0.0.255 3、建立控制列表和地址池关系 Router(config)#ipnat inside source list 10 pool p1 4、定义接口类型 Router(config)#interface f0/0 Router(config-if)#ipnat inside Router(config)#interface f0/1 Router(config-if)#ipnat outside

验证实验结果，从外部向内部ping 实验三、基于动态NAT的ＮＡＰＴ修改第三步 Router(config)#ipnat inside source list 10 pool p1 overload 验证实验结果，所有主机使用一条IP访问外网

天清汉马USG防火墙(T系列)快速安装指南-v3

天清汉马USG防火墙－快速安装指南天清汉马USG防火墙（T系列）快速安装指南北京启明星辰信息安全技术有限公司 Beijing Venus Information Security Inc. 二零一六年11月

天清汉马USG防火墙快速安装指南手册版本V1.0 产品版本V2.0 资料状态发行版权声明启明星辰公司版权所有，并保留对本手册及本声明的最终解释权和修改权。本手册的版权归启明星辰公司所有。未得到启明星辰公司书面许可，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其部分或全部用于商业用途。免责声明本手册依据现有信息制作，其内容如有更改，恕不另行通知。启明星辰公司在编写该手册的时候已尽最大努力保证其内容准确可靠，但启明星辰公司不对本手册中的遗漏、不准确或错误导致的损失和损害承担责任。 User’s Manual Copyright and Disclaimer Copyright Copyright Venus networks Co.Ltd All rights reserved. The copyright of this document is owned by Venus networks Co.Ltd. Without the prior written permission obtained from Venus networks Co.Ltd., this document shall not be reproduced and excerpted in any form or by any means, stored in a retrieval system, modified, distributed and translated into other languages, applied for a commercial purpose in whole or in part. Disclaimer This document and the information contained herein is provided on an “AS IS”basis. Venus networks Co.Ltd may make improvement or changes in this document, at any time and without notice and as it sees fit. The information in this document was prepared Venus networks Co.Ltd with reasonable care and is believed to be accurate. However, Venus networks Co.Ltd shall not assume responsibility for losses or damages resulting from any omissions, inaccuracies, or errors contained herein.

实验33 静态路由-网络地址转换(静态-网段NAT)

实验三十三：静态路由-网络地址转换一、实验介绍： 1、实验名称： 2、实验目的： 3、实验设备： 4、实验时间：30 实验步骤：二、多网段的NAT 地址转换 1、路由器 R2600 >enable ！进入全局模式 # configure terminal ！进入特权模式 (config)# interface fastethernet 0 ！进入路由器B 的以太网接口 (config-if)# ip address 192.168.19.18 255.255.255.0 ！定义路由器以太网接口IP 地址 (config-if)# no shutdown ！开启以太网接口 (config-if)# exit ！退出以太网口，返回到特权模式 (config)# interface S 2 ！进入广域网口WAN0配置模式 (config-if)# ip address 10.20.30.2 255.255.255.0 ！定义DCE 的W AN0口IP 地址 (config-if)# no shutdown ！开启DCE 的WAN0口 (config-if)# exit ！退出W AN0口，返回到特权模式 (config)# ip route 0.0.0.0 0.0.0.0 192.168.19.100 (config)# ip route 172.16.0.0 255.255.0.0 10.20.30.1 PC1 IP:172.16.1.2/24 GW:172.16.1.1 PC2 IP:172.16.2.2/24 GW:172.16.2.1 PC3 IP:172.16.3.2/24 GW:172.16.3.1

项目12 静态NAT配置实验报告

实验报告项目12 静态NAT配置 1 任务概述静态NAT是设置内部IP和外部IP一对一的转换，将某个私有IP地址固定的映射成为一个合法的公有IP。如下图配置计算机和路由器，设置RouterA的IP地址：s0/0: 60.1.1.1/24 ，f0/0: 10.65.1.1/16 ，将接口f0/0设置为内部接口，接口s0/0设置为外部接口，静态映射私有IP为公网IP，映射规则如下：私有IP ——> 公网IP 10.65.1.2 60.1.1.33 10.65.1.3 60.1.1.34 10.65.1.4 60.1.1.35 2 方案设计 2.1需求分析网络地址转换(NA T，Network Address Translation)被广泛应用于各种类型Internet 接入方式和各种类型的网络中。原因很简单，NAT 不仅完美地解决了lP 地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。NAT 的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat 和端口多路复用OverLoad。 2.2 方案设计示意图（可以用Office的Visio软件画图）： 2.3设备清单搭建如上图所示的网络环境，需要如下的设备及材料：（1）Cisco2621路由器（2台）；（2）PC机2台；（3）双绞线（若干根）； 2.4 规划路由器各接口IP地址、子网掩码如下表所示：路由器名称接口IP地址子网掩码描述 Router A F0/0 10.65.1.1/16 255.255.0.0 连接内网 Router A F0/1 60.1.1.1/30 255.255.255.252 连接外网 Router B F0/0 60.1.1.2/16 255.255.0.0 连接外网 Router B F0/1 133.0.0.2/24 255.255.255.0 连接外网 2.5 规划各计算机的IP地址、子网掩码和网关如下表所示：计算机IP地址子网掩码网关

第一代网络安全

1. （一）防火墙根据美国国家安全局制定的《信息保障技术框架》，防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。目前，有很多厂商提供各种类型的防火墙平台，对它们有几种常用的分类方法：1）按照产品形式可分为硬件防火墙和软件防火墙两大类; 2）按照性能可以分为百兆级和千兆级两类防火墙； 3）按照操作模式可分为透明模式、路由模式和NA T（网络地址转换）三类； 4）按照部署位置可分为边界防火墙和主机/个人防火墙两类； 5）按照OSI模型层次划分可分为包过滤防火墙、状态检测防火墙和应用代理防火墙对防火墙的配置和使用应该坚持四个基本原则：对防火墙环境设计来讲，首要的就是越简单越好。设计越简单，越不容易出错，防火墙的简单安全功能越容易得到保证，管理也越可靠和简便。每种产品在开发前都会有其主要功能定位，比如防火墙产品的初衷就是实现网络之间的安物用其长全控制，入侵检测产品主要针对网络非法行为进行监控。单一的防御措施是难以保障系统的安全的，只有采用全面的、多层次的深层防御战略体系深层防御才能实现系统的真正安全。防火墙的一个特点是防外不防内，对内部威胁要采取其它安全措施，比如入侵检测、主机关注内部威胁防护、漏洞扫描、病毒查杀。（二）网络入侵检测网络入侵检测主要采用两种技术：误用检测技术和异常检测技术。而这也是入侵检测系统的分类标准之一。误用检测通过对比已知攻击手段及系统漏洞的签名特征来判断系统中是否有入侵行为发生。根据使用者的行为或资源使用状况来判断是否入侵，而不依赖于具体行为是否出现来检异常检测测，所以也被称为基于行为的检测。异常检测利用统计或特征分析的方法来检测。（三）网络脆弱性分析脆弱性分析技术，也被通俗地称为漏洞扫描技术，该技术是检测远程或本地系统安全脆弱性的一种安全技术。通过与目标主机TCP/IP端口建立连接并请求某些服务，记录目标主机的应答，搜集目标主机相关信息，从而发现目标主机某些内在的安全弱点。与入侵检测之类的网络监控技术相比，漏洞扫描技术是一种预防性的措施。一般情况下，它们定期工作，检查系统中可能被人利用的网络漏洞，评估和衡量安全保护基础设施的有效性。系统管理员利用网络漏洞扫描技术对局域网络、Web站点、主机操作系统、系统服务以及防火墙系统的安全漏洞进行扫描，可以了解在运行的网络系统中存在的不安全的网络服务，在操作系统上存在的可能导致黑客攻击的安全漏洞，还可以检测主机系统中是否被安装了窃听程序以及防火墙系统是否存在安全漏洞和配置错误，等等。网络漏洞扫描技术通过远程检测目标主机TCP/IP不同端口的服务，记录目标主机给予的回答。此外，通过模拟黑客的进攻手法对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等，也是扫描模块的实现方法之一。如果模拟攻击成功，则视为漏洞存在。

项目13 动态NAT配置实验报告

实验报告项目13 动态NAT配置 1 任务概述动态NAT一般用于局域网中多个私有IP在出口时，从公有IP地址池中提取合法的公有IP对外访问。设内部局域网使用10.65.0.0/16网络，公网IP地址133.1.1.33~133.1.1.62为一个地址池，当内部网络要访问外网时，从地址池中提取公有IP。 2 方案设计 2.1需求分析网络地址转换(NA T，Network Address Translation)被广泛应用于各种类型Internet 接入方式和各种类型的网络中。原因很简单，NAT 不仅完美地解决了lP 地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。NAT 的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat 和端口多路复用OverLoad。 2.2 方案设计示意图（可以用Office的Visio软件画图）： 2.3设备清单搭建如上图所示的网络环境，需要如下的设备及材料：（1）Cisco2621路由器（2台）；（2）PC机3台；（3）串行电缆1根；（4）Cisco2960交换机1台；（5）双绞线（若干根）；（6）直连线（若干根）。 2.4 规划路由器各接口IP地址、子网掩码如下表所示：路由器名称接口IP地址子网掩码描述 Router A F0/0 10.65.1.1/16 255.255.0.0 连接内网 Router A S0/0 133.1.1.1/30 255.255.255.252 连接外网 Router B S0/0 133.1.1.2/24 255.255.255.0 外网 Router B S0/1 133.0.0.2/24 255.255.255.0 外网

实验七：防火墙配置与NAT配置

大连理工大学实验报告学院（系）：专业：班级：姓名：学号：组：__ 实验时间：实验室：实验台：指导教师签字：成绩：实验七：防火墙配置与NAT配置一、实验目的学习在路由器上配置包过滤防火墙和网络地址转换（NAT）二、实验原理和内容 1、路由器的基本工作原理 2、配置路由器的方法和命令 3、防火墙的基本原理及配置 4、NAT的基本原理及配置三、实验环境以及设备 2台路由器、1台交换机、4台Pc机、双绞线若干四、实验步骤（操作方法及思考题） {警告：路由器高速同异步串口（即S口）连接电缆时，无论插拔操作，必须在路由器电源关闭情况下进行；严禁在路由器开机状态下插拔同/异步串口电缆，否则容易引起设备及端口的损坏。} 1、请在用户视图下使用“reset saved-configuration”命令和“reboot”命令分别将两台路由器的配置清空，以免以前实验留下的配置对本实验产生影响。2、在确保路由器电源关闭情况下，按图1联线组建实验环境。配置IP地址，以

及配置PC A 和B 的缺省网关为 202.0.0.1，PC C 的缺省网关为 202.0.1.1，PC D 的缺省网关为 202.0.2.1。 202.0.0.2/24 202.0.1.2/24 192.0.0.1/24192.0.0.2/24 202.0.0.1/24 202.0.1.1/24S0 S0 E0E0 202.0.0.3/24 202.0.2.2/24 E1 202.0.2.1/24AR18-12 AR28-11 交叉线交叉线 A B C D 图 1 3、在两台路由器上都启动RIP ，目标是使所有PC 机之间能够ping 通。请将为达到此目标而在两台路由器上执行的启动RIP 的命令写到实验报告中。（5分）答：（本组四台路由器均为AR-28） PC A 上命令： [H3C]interface ethernet 0/0 [H3C-Ethernet0/0]ip address 202.0.0.1 255.255.255.0 [H3C-Ethernet0/0]interface serial 2/0 [H3C-Serial2/0]ip address 192.0.0.1 255.255.255.0 [H3C-Serial2/0]shutdown [H3C-Serial2/0]undo shutdown [H3C]rip [H3C-rip]network 0.0.0.0 PC C 上命令： [H3C]interface ethernet 0/0 [H3C-Ethernet0/0]ip address 202.0.1.1 255.255.255.0 [H3C-Ethernet0/0]interface ethernet 0/1 [H3C-Ethernet0/1]ip address 202.0.2.1 255.255.255.0 [H3C-Ethernet0/1]interface serial 0/1 [H3C-Serial0/1]ip address 192.0.0.2 255.255.255.0 [H3C-Serial0/1]shutdown [H3C-Serial0/1]undo shutdown [H3C]rip [H3C-rip]network 0.0.0.0 4、在AR18和/或AR28上完成防火墙配置，使满足下述要求：（1）只有PC 机A 和B 、A 和C 、B 和D 之间能通信，其他PC 机彼此之间都不能通信。（注：对于不能通信，要求只要能禁止其中一个方向就可以了。）