码迷,mamicode.com
首页 > 其他好文 > 详细

防火墙USG做NAT产生路由环路及解决方法

时间:2018-06-01 21:11:24      阅读:515      评论:0      收藏:0      [点我收藏+]

标签:USG   路由环路   NAT   easy-ip   黑洞路由   

技术分享图片
1、 根据拓扑连接设备,配置pc和服务器地址
2、 防火墙基本配置

接口地址
interface GigabitEthernet0/0/0
alias GE0/MGMT
ip address 192.168.1.254 255.255.255.0

interface GigabitEthernet0/0/1
ip address 192.168.2.254 255.255.255.0

interface GigabitEthernet0/0/2
ip address 200.1.1.1 255.255.255.0

接口加入到区域
firewall zone trust
add interface GigabitEthernet0/0/0

firewall zone untrust
add interface GigabitEthernet0/0/2

firewall zone dmz
add interface GigabitEthernet0/0/1

要求三
先放行出去在ICMP流量
policy interzone trust untrust outbound
policy 1
action permit
policy service service-set icmp
创建地址池,
[SRG]nat address-group 0 pool1 200.100.100.1 200.100.100.10
创建NAT策略
[SRG]nat-policy interzone trust untrust outbound
[SRG-nat-policy-interzone-trust-untrust-outbound]policy 1
[SRG-nat-policy-interzone-trust-untrust-outbound-1]
policy source any

[SRG-nat-policy-interzone-trust-untrust-outbound-1]policy destination any
[SRG-nat-policy-interzone-trust-untrust-outbound-1]action source-nat
[SRG-nat-policy-interzone-trust-untrust-outbound-1]address-group pool1 [SRG-nat-policy-interzone-trust-untrust-outbound-1]q
[SRG ]ip roue-static 0.0.0.0 0.0.0.0 200.1.1.2

在防火墙接口开启抓包功能
用路由器去ping –c 1 200.100.100.1
看到抓包效果
技术分享图片
说明路由形成路由环路,

地址池路由汇总
200.100.100.00000001
200.100.100.00001010
200.100.100.0/28

在防火墙上做黑洞路由
ip route-static 100.1.1.0 28 NULL 0
在防火墙接口开启抓包功能
用路由器去ping –c 1 200.100.100.1
技术分享图片
(图片上的目标地址应该是200.100.100.1,我实验用的是100.1.1.1)
环路消除

Easy-ip 配置
[SRG-nat-policy-interzone-trust-untrust-outbound-1]undo address-group
[SRG-nat-policy-interzone-trust-untrust-outbound-1]easy-ip g0/0/2
先ping 流量出去再看会话状态
[SRG]display firewall session table
技术分享图片
可以看到都映射200.1.1.1出接口


我的课程首页http://edu.51cto.com/lecturer/1025688.html
加群学习讨论:32307012

防火墙USG做NAT产生路由环路及解决方法

标签:USG   路由环路   NAT   easy-ip   黑洞路由   

原文地址:http://blog.51cto.com/ronning/2123309

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!