宁夏电信C网融合防火墙实施配置v1.0答辩.docxVIP

宁夏电信C网融合防火墙实施配置方案 PAGE   PAGE ２ 宁夏电信C网络融合防火墙实施配置方案 宁夏电信CDMA IP承载 NAT防火墙实施配置方案 华为技术服务有限公司  TIME \@ EEEE年O月 二〇一四年三月 修订记录 日期修订版本描述作者2014-3-12V1.0文档新建敬虎云 中国电信CDMA IP承载防火墙实施配置规范 PAGE   PAGE 20  TOC \o 1-3 \h \z \u  HYPERLINK \l _Toc375775635 第1章 防火墙配置  PAGEREF _Toc375775635 \h 2  HYPERLINK \l _Toc375775636 1.1 背景介绍  PAGEREF _Toc375775636 \h 2  HYPERLINK \l _Toc375775637 1.2 配置需求  PAGEREF _Toc375775637 \h 3  HYPERLINK \l _Toc375775638 1.3 组网分析：  PAGEREF _Toc375775638 \h 5  HYPERLINK \l _Toc375775639 1.3.1 NAT的设置方式  PAGEREF _Toc375775639 \h 5  HYPERLINK \l _Toc375775640 1.3.2省内组网方式  PAGEREF _Toc375775640 \h 7  HYPERLINK \l _Toc375775641 1.4 华为设备配置模板  PAGEREF _Toc375775641 \h 8  HYPERLINK \l _Toc375775642 1.4.1防火墙基本配置  PAGEREF _Toc375775642 \h 9  HYPERLINK \l _Toc375775643 1.4.2防火墙域zone配置  PAGEREF _Toc375775643 \h 12  HYPERLINK \l _Toc375775644 1.4.3防火墙端口配置  PAGEREF _Toc375775644 \h 15  HYPERLINK \l _Toc375775645 1.4.4防火墙HA高可靠性配置  PAGEREF _Toc375775645 \h 17  HYPERLINK \l _Toc375775646 1.4.5防火墙与CE路由配置  PAGEREF _Toc375775646 \h 18  HYPERLINK \l _Toc375775647 1.4.6防火墙NAT配置要求  PAGEREF _Toc375775647 \h 26  防火墙配置 背景介绍 中国电信原有3G移动互联网业务发展迅猛，出现过CTWAP、CTNET业务IPv4的地址池不够用的情况。在IPv6尚未普及商用的时期，宁夏电信通过采用融合网元防火墙做NAT的方式来缓解IP地址不足的压力。 在CDMA网络中,业务实现分为以下几个场景： 场景一： 【业务需求】： ctwap终端通过WAP GW做代理访问电信彩信、WAP业务等电信增值业务以及WAP GW允许的WAP站点、HTTP站点等。该场景中终端与本省WAP GW互通，不存在地址冲突的问题，不需要做地址转换。 【实现方式】： 通过路由调整实现ctwap终端与WAP GW的直接互访，该流量不经NAT转换。 场景二： 【业务需求】： 3G的Qchat/VT业务在CDMA网络中存在。对于ctbb业务由于ctbb平台功能所限，现阶段还不支持NAT转换之后用户的注册以及呼叫，该场景中不能进行NAT转换。 【实现方式】： 这部分业务需要终端新建ctbb的APN隧道从PDSN来获取省内PI1的地址。 场景三： 【业务需求】： ctwap终端直接访问Brew等电信增值业务平台，不需要经过WAP GW做代理；终端需要与集团平台或者外省进行跨省互访，存在地址冲突的问题，该场景必须进行NAT转换。 【实现方式】： 用户终端从PDSN获取PI3地址，通过目的地址路由到融合网元防火墙做NAT地址转换成省内PI1地址来实现跨省互访。 场景四： 【业务需求】： ctwap终端直接通过融合防火墙做NAT转换上公网。 【实现方式】： 用户终端从PDSN获取PI3地址，通过目的地址路由到融