华为5500防火墙做NAT实验

ENSP实验图：

实验要求：
1、server1可以访问直接的网关
2、PC1可以访问server1
3、PC1可以通过NATping通untrust区域PC2、PC3设备，动态NAT范围200.200.10.128-200.200.10.254,需要在AR1上面添加一条静态路由200.200.10.0/24下一跳200.200.1.1
4、通过一对一静态NAT的方式,把DMZ区的Server1的172.16.0.2映射到untrust,
映射后的IP地址为200.200.10.10,使PC2能ping通200.200.10.10,但PC3不能ping通

一、基本配置

PC1：192.168.1.1/24 网关 192.168.1.254

PC2：222.176.1.2/30 网关 222.176.1.1 

PC3：222.178.1.2/30  网关 222.178.1.1

Server1：172.16.0.2/30

AR1：接口1：222.176.1.1/30 ，接口2：222.178.1.1/30 ，接口3：200.200.1.2/30

FW1：接口0：200.200.1.1/30  untrust，接口2：192.168.1.254/24  trust，接口3：172.16.0.1/30 dmz

二、防火墙接口分区域指令

[FW1]firewall zone [ trust / untrust / dmz ]

三、Server1能访问自己的网关

// 该指令明确了策略适用的流量方向，即从本地到dmz的流量。
[FW1]policy interzone local dmz inbound 
[FW1-policy-interzone-local-dmz-inbound]policy 1  // 创建区域策略1
[FW1-policy-interzone-local-dmz-inbound-1]action  permit  // 允许dmz区域设备通过
[FW1-policy-interzone-local-dmz-inbound-1]policy  source 172.16.0.2 mask 30 // 限定设备源IP，当前实验可以不用写

四、PC1可以访问server1

[FW1]policy interzone trust dmz outbound  // 策略在trust区域到dmz区域的出方向
[FW1-policy-interzone-trust-dmz-outbound]policy 1  // 建策