1 配置需求或說(shuō)明
1.1 適用的產(chǎn)品系列
本案例適用于軟件平臺(tái)為Comware V7系列防火墻：F100-X-G2、F1000-X-G2、F100-WiNet、F1000-AK、F10X0等
注：本案例是在F100-C-G2的Version 7.1.064, Release 9510P08版本上進(jìn)行配置和驗(yàn)證的。
1.2 配置需求及實(shí)現(xiàn)的效果
防火墻部署在互聯(lián)網(wǎng)出口，內(nèi)網(wǎng)有一臺(tái)OA服務(wù)器192.168.1.88通過(guò)防火墻發(fā)布了8081端口，并且外網(wǎng)用戶訪問(wèn)對(duì)應(yīng)服務(wù)正常,目前需要實(shí)現(xiàn)內(nèi)網(wǎng)用戶也能通過(guò)公網(wǎng)地址去訪問(wèn)內(nèi)部服務(wù)器的需求。
2 組網(wǎng)圖
3 配置步驟
3.1 配置內(nèi)部服務(wù)器映射（端口映射）
#在外網(wǎng)口填寫運(yùn)營(yíng)商提供的公網(wǎng)地址，掩碼，配置映射，映射端口8081，服務(wù)器地址192.168.1.88
<H3C> system-view
[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1]ip add 202.1.1.100 255.255.255.248
[H3C-GigabitEthernet1/0/1]nat server protocol tcp global 202.1.1.100 8081 inside 192.168.1.88 8081
[H3C-GigabitEthernet1/0/1]quit
#在內(nèi)網(wǎng)口配置映射,填寫內(nèi)網(wǎng)網(wǎng)關(guān)地址以及配置Nat Hairpin
[H3C]interface GigabitEthernet1/0/4
[H3C-GigabitEthernet1/0/4]ip add 172.16.100.1 255.255.255.0
[H3C-GigabitEthernet1/0/4]nat hairpin enable
[H3C-GigabitEthernet1/0/4]quit
Nat Hairpin功能簡(jiǎn)介：通過(guò)在內(nèi)網(wǎng)側(cè)接口上使能NAT hairpin功能，可以實(shí)現(xiàn)內(nèi)網(wǎng)用戶使用NAT地址訪問(wèn)內(nèi)網(wǎng)服務(wù)器或內(nèi)網(wǎng)其它用戶。NAT hairpin功能需要與內(nèi)部服務(wù)器（nat server）、出方向動(dòng)態(tài)地址轉(zhuǎn)換（nat outbound）或出方向靜態(tài)地址轉(zhuǎn)換（nat static outbound）配合工作，且這些配置所在的接口必須在同一個(gè)接口板，否則NAT hairpin功能無(wú)法正常工作。
3.2 配置策略
#創(chuàng)建地址對(duì)象組，地址對(duì)象組名稱為OA服務(wù)器
[H3C]object-group ip address OA服務(wù)器
[H3C-obj-grp-ip-OA服務(wù)器]network host address 192.168.1.88
[H3C-obj-grp-ip-OA服務(wù)器]quit
#創(chuàng)建服務(wù)對(duì)象組，服務(wù)對(duì)象組名稱為8081端口，目的端口8081
[H3C]object-group service 8081端口
[H3C-obj-grp-service-8081端口]service tcp destination eq 8081
[H3C-obj-grp-service-8081端口]quit
#創(chuàng)建IPv4對(duì)象策略，策略名稱為OA服務(wù)器，放通目的地址為192.168.1.88的8081端口
[H3C]object-policy ip OA服務(wù)器
[H3C-object-policy-ip-OA服務(wù)器]rule 0 pass destination-ip OA服務(wù)器 service
8081端口
#創(chuàng)建安全策略，源安全域?yàn)閁ntrust目的安全域?yàn)門rust，應(yīng)用創(chuàng)建的IPv4對(duì)象策略
[H3C]zone-pair security source Untrust destination Trust
[H3C-zone-pair-security-Untrust-Trust]object-policy Apply ip OA服務(wù)器
[H3C-zone-pair-security-Untrust-Trust]quit
#創(chuàng)建IPv4對(duì)象策略，策略名稱為互通,規(guī)則為允許
[H3C]object-policy ip 互通
[H3C-zone-pair-security-互通]rule pass
[H3C-zone-pair-security-互通]quit
#創(chuàng)建安全策略，源安全域?yàn)門rust目的安全域?yàn)門rust，放通內(nèi)網(wǎng)到內(nèi)部服務(wù)器的訪問(wèn)數(shù)據(jù)
[H3C]zone-pair security source Trust destination Trust
[H3C-zone-pair-security-Trust-Trust]object-policy apply ip 互通
[H3C-zone-pair-security-Trust-Trust]quit
3.3 保存配置
[H3C]save force
