华为排障

时间：2018-07-17 16:39:49 阅读：249 评论：0 收藏：0 [点我收藏+]

公司希望实现以下功能:
生产部
1 (PC1)和品质部(PC2)?可以访问DMZ区域的Web服务器(ping?通即可).
2 生产部(PC1)?和品质部(PC2)?可以访问互联网上的服务器Serv3?(ping?通即可).
3 互联网客户端PC3可以通过地址202?96.1?50访问公司DMZ区域的Web服务器。
拓扑图技术分享图片

先ping一下发现ping不通，再使用tracert跟踪路径看一下发现前面的是通的
技术分享图片

技术分享图片

R4有问题呢，display cu 命令查看问题再看一下路由表还有防火墙的路由表

[R4]rip 1 #进入rip
[R4-rip-1]import-route bgp permit-ibgp #注入bgp
再ping一下，发现通了可以！（注意华为模拟器防火墙不能ping通）

技术分享图片
上一个需求可以了看看下一个

回应超时，这边来抓一个包看看

发现只有请求没回应报文

配置回程路由，直接使用默认路由简答搞定
[R5]ip route-static 0.0.0.0 0.0.0.0 202.96.1.10

p3ping不通web应该是防火墙的问题检查防火墙
技术分享图片
把要去的地址改成trust，直接从接口拿ip
[FW-policy-nat]rule name natpolicy #起名
[FW-policy-nat-rule-natpolicy]destination-zone untrust #目的
[FW-policy-nat-rule-natpolicy]un destination-address 202.96.1.0 24

这里我们要添加untrust到dmz
[FW]security-policy
[FW-policy-security]rule name untrust_dmz #名字
[FW-policy-security-rule-untrust_dmz]source-zone trust #起始
[FW-policy-security-rule-untrust_dmz]destination-zone dmz #目标
[FW-policy-security-rule-untrust_dmz]service http #http服务
[FW-policy-security-rule-untrust_dmz]action permit #允许
[FW]nat server http protocol tcp global 202.96.1.50 21 inside 172.16.1.100 21 #把去1.100的转换成50.21