二级ip 互联方案验证 - Hillstone Networks.PDF

二级 ip 互联方案验证 Hillstone Networks Inc. 2015 年 11 月 23 日 1 / 6 内容提交人 审核人 更新内容 日期 安辉 陈天骄 V1 2015/ 11/23 目录 1 方案背景3 2 防火墙部署需求分析3 3 山石解决方案3 4 实现方式4 4.1 验证环境:4 4.2 配置4 4.3 验证结果5 5 建设效果6 2 / 6 1 方案背景 在现实的应用环境中，很多客户的网络都是使用二级 ip 互联的方法，一般都是用接口 ip 做互联，但是必须使用二级 ip 做业务。 2 防火墙部署需求分析 针对上述环境需求，防火墙需要在出口接口上配置二级 ip ，并使用二级ip 地址作为业 务 ip ，本验证方案重点是二级 ip 互联的典型部署环境，进行实际验证。 3 山石解决方案 pc1 地址：0 Pc2 地址：00 3 / 6 4 实现方式 4.1 验证环境: 设备型号 SG-6000-M2105 StoneOS 版本 SG6000-M-5.0R4P7.bin 下一代防火墙上配置互联 ip 以及二级 IP 地址，使用二级 ip 作为业务地址做 snat 和 dnatt。 4.2 配置 1. 配置接口 IP 地址： interface ethernet0/0 zone trust ip address /* 内网网段 manage ssh manage telnet manage ping manage snmp manage http manage https no reverse-route exit interface ethernet0/1 zone untrust ip address /*互联ip ip address secondary /*业务ip manage telnet manage ssh manage ping manage http manage https no reverse-route exit 4 / 6 2. 配置路由 ip route /0 指向互联ip 的吓一跳 3. 配置 nat snatrule id 1 from Any to Any service Any eif ethernet0/1 trans-to mode dynamicport log dnatrule id 1 from Any to service 3389 trans-to 0 port 3389 log 4. 配置策略