网张实验操作-防火墙+NAT
实验目的
了解防火墙（ENSP中的USG5500）域间转发策略配置、NAT（与路由器NAT配置命令不同）配置。
网络拓扑
两个防火墙连接分别连接一个内网，中间通过路由器连接。配置NAT之后，内网PC可以ping公网，client可以获取server提供的服务（ftp和http）。服务器在dmz域，PC和client在trust域。
配置内容
右侧交换机配置vlan区分业务。交换机和防火墙的连接应该可以使用链路聚合实现，但我没有配置成功，干脆直接用一条链路。
域间安全策略
左侧防火墙配置：
# 接口配置
interface GigabitEthernet0/0/0alias GE0/MGMTip address 192.168.55.254 255.255.255.0
#
interface GigabitEthernet0/0/1ip address 22.22.22.22 255.255.255.0
# 接口加入安全域
firewall zone trustadd interface GigabitEthernet0/0/0
#
firewall zone untrustadd interface GigabitEthernet0/0/1#
policy interzone trust untrust outboundpolicy 10action permitpolicy source 192.168.55.0 0.0.0.255
右侧防火墙配置：
# 接口配置
interface GigabitEthernet0/0/0alias GE0/MGMTip address 33.33.33.3 255.255.255.0
#
interface GigabitEthernet0/0/1
# 子接口配置对应的vlan
interface GigabitEthernet0/0/1.10vlan-type dot1q 10alias GigabitEthernet0/0/1.10ip address 192.168.9.254 255.255.255.0
#
interface GigabitEthernet0/0/1.20vlan-type dot1q 20alias GigabitEthernet0/0/1.20ip address 192.168.8.254 255.255.255.0
# 接口加入安全域
firewall zone trustset priority 85add interface GigabitEthernet0/0/1.10
#
firewall zone untrustset priority 5add interface GigabitEthernet0/0/0
#
firewall zone dmzset priority 50add interface GigabitEthernet0/0/1.20# 域间安全策略# 访问公网
policy interzone trust untrust outboundpolicy 10action permitpolicy source 192.168.9.0 0.0.0.255
# 公网访问内网提供的服务
policy interzone dmz untrust inboundpolicy 10action permitpolicy service service-set ftppolicy service service-set httppolicy destination 192.168.8.0 0.0.0.255
ospf
路由器ospf配置：
# 通告直连IP和静态路由
ospf 1 router-id 2.2.2.2 import-route staticarea 0.0.0.0 network 22.22.22.0 0.0.0.255 network 33.33.33.0 0.0.0.255
# 到左侧nat地址池的路由
ip route-static 220.220.220.0 255.255.255.0 22.22.22.22
由于nat地址池与左侧防火墙的外网接口不在同一网段，需要通告一条静态路由。
nat配置
左侧防火墙：
- 源nat
#nat address-group 1 220.220.220.220 220.220.220.230
#
nat-policy interzone trust untrust outboundpolicy 10action source-natpolicy source 192.168.55.0 0.0.0.255address-group 1 no-pat
基于域间安全策略配置，再配置源nat后，左侧PC可以ping通在左侧防火墙路由表内的公网IP。
右侧防火墙：
- easyip
#
nat-policy interzone trust untrust outboundpolicy 1action source-natpolicy source 192.168.9.0 0.0.0.255easy-ip GigabitEthernet0/0/0
基于上面的配置，再配置easyip后，右侧PC可以ping通在右侧防火墙路由表内的公网IP。
- natserver
#nat server 0 protocol tcp global 33.33.33.3 ftp inside 192.168.8.111 ftpnat server 1 protocol tcp global 33.33.33.3 www inside 192.168.8.111 www
基于上面的配置，再配置natserver后，左侧client可以获取在右侧服务器的http服务。
- aspf
#
firewall interzone dmz untrustdetect ftp
aspf与nat alg实现功能类似，使防火墙支持多端口协议服务
基于上面的配置，再配置natserver后，左侧client可以获取在右侧服务器的ftp服务。
实验效果
ping公网
左侧主机ping通：
PC>ping 33.33.33.33Ping 33.33.33.33: 32 data bytes, Press Ctrl_C to break
From 33.33.33.33: bytes=32 seq=1 ttl=254 time=78 ms
From 33.33.33.33: bytes=32 seq=2 ttl=254 time=47 ms
From 33.33.33.33: bytes=32 seq=3 ttl=254 time=63 ms
From 33.33.33.33: bytes=32 seq=4 ttl=254 time=47 ms
From 33.33.33.33: bytes=32 seq=5 ttl=254 time=47 ms--- 33.33.33.33 ping statistics ---5 packet(s) transmitted5 packet(s) received0.00% packet lossround-trip min/avg/max = 47/56/78 ms
防火墙会话表：
[F1]display firewall session table
19:53:05 2025/05/10Current Total Sessions : 5icmp VPN:public --> public 192.168.55.2:3390[220.220.220.220:3390]-->33.33.33
.33:2048icmp VPN:public --> public 192.168.55.2:3646[220.220.220.220:3646]-->33.33.33
.33:2048icmp VPN:public --> public 192.168.55.2:3902[220.220.220.220:3902]-->33.33.33
.33:2048icmp VPN:public --> public 192.168.55.2:4158[220.220.220.220:4158]-->33.33.33
.33:2048icmp VPN:public --> public 192.168.55.2:4414[220.220.220.220:4414]-->33.33.33
.33:2048右侧主机ping通：
PC>ping 22.22.22.2Ping 22.22.22.2: 32 data bytes, Press Ctrl_C to break
From 22.22.22.2: bytes=32 seq=1 ttl=254 time=46 ms
From 22.22.22.2: bytes=32 seq=2 ttl=254 time=47 ms
From 22.22.22.2: bytes=32 seq=3 ttl=254 time=32 ms
From 22.22.22.2: bytes=32 seq=4 ttl=254 time=31 ms
From 22.22.22.2: bytes=32 seq=5 ttl=254 time=31 ms--- 22.22.22.2 ping statistics ---5 packet(s) transmitted5 packet(s) received0.00% packet lossround-trip min/avg/max = 31/37/47 ms
右侧防火墙会话表：
[F2]display firewall session table
19:56:13 2025/05/10Current Total Sessions : 5icmp VPN:public --> public 192.168.9.2:52542[33.33.33.3:2053]-->22.22.22.2:20
48icmp VPN:public --> public 192.168.9.2:52798[33.33.33.3:2054]-->22.22.22.2:20
48icmp VPN:public --> public 192.168.9.2:53054[33.33.33.3:2055]-->22.22.22.2:20
48icmp VPN:public --> public 192.168.9.2:53310[33.33.33.3:2056]-->22.22.22.2:20
48icmp VPN:public --> public 192.168.9.2:53566[33.33.33.3:2057]-->22.22.22.2:20
48
ftp服务
左侧防火墙会话表：
[F1]display firewall session table
20:01:20 2025/05/10Current Total Sessions : 3ftp VPN:public --> public 192.168.55.10:2057[220.220.220.221:2057]-->33.33.33
.3:21ftp VPN:public --> public 192.168.55.10:2059[220.220.220.221:2059]-->33.33.33
.3:21tcp VPN:public --> public 192.168.55.10:2060[220.220.220.221:2060]-->33.33.33
.3:2053
右侧防火墙会话表：
[F2]display firewall session table
20:02:01 2025/05/10Current Total Sessions : 4ftp VPN:public --> public 220.220.220.221:2057+->33.33.33.3:21[192.168.8.111:
21]ftp VPN:public --> public 220.220.220.221:2059+->33.33.33.3:21[192.168.8.111:
21]ftp VPN:public --> public 220.220.220.221:2061+->33.33.33.3:21[192.168.8.111:
21]ftp-data VPN:public --> public 220.220.220.221:2062-->33.33.33.3:2054[192.168
.8.111:2054]相关文章：
网张实验操作-防火墙+NAT
实验目的 了解防火墙（ENSP中的USG5500）域间转发策略配置、NAT（与路由器NAT配置命令不同）配置。 网络拓扑 两个防火墙连接分别连接一个内网，中间通过路由器连接。配置NAT之后，内网PC可以ping公网…...
Spring 中常见的属性注入方式（XML配置文件）
在 Spring 中，XML 配置属性注入。 以下是几种常见的属性注入方式及其对应的简单示例代码。 1. 构造器注入 构造器注入是指通过类的构造函数来设置依赖项。 示例类： public class MyService {private final MyRepository myRepository;public MyService(MyRepository myRe…...
让 - 艾里克・德布尔与斯普林格出版公司：科技变革下的出版业探索
在数字化浪潮席卷全球的当下，传统出版行业面临着前所未有的挑战与机遇。《对话 CTO，驾驭高科技浪潮》的第 10 章聚焦于让 - 艾里克・德布尔（Jean - Eric Debeure）及其所在的斯普林格出版公司（Springer Publishing Comp…...
【技巧】离线安装docker镜像的方法
回到目录 【技巧】离线安装docker镜像的方法 0. 为什么需要离线安装？ 第一、 由于docker hub被墙，所以 拉取镜像需要配置国内镜像源 第二、有一些特殊行业服务器无法接入互联网，需要手工安装镜像 1. 可以正常拉取镜像服务器操作 服务器…...
05 web 自动化之 selenium 下拉鼠标键盘文件上传
文章目录 一、下拉框操作二、键盘操作三、鼠标操作四、日期控件五、滚动条操作六、文件上传七、定位windows窗口及窗口的元素总结：页面及元素常用操作 一、下拉框操作 from selenium.webdriver.support.select import Select import time from selenium.webdriver.…...
《Python星球日记》 第73天：情感分析与主题建模
名人说：路漫漫其修远兮，吾将上下而求索。—— 屈原《离骚》 创作者：Code_流苏(CSDN)（一个喜欢古诗词和编程的Coder😊） 目录 一、情感分析基础1. 情感分析的应用场景2. 基于规则的方法3. 基于深度学习的方法3.1 使用LSTM进行情感分析3.2 基于BERT的情感分析二、主题建模…...
数学复习笔记 10
前言 我觉得数学的高分乃至满分属于那些，聪明，坚韧，勇敢，细致的人。我非常惭愧自己不是这样的人，我在生活中发现了这样的同学，和他们交流的时候我常常感到汗流浃背，因为他们非常扎实的基础知识…...
07 web 自动化之 Unittest 应用：测试报告装饰器断言
文章目录 一、常见的第三方库结合 unittest 生产 html 格式测试报告1、HtmlTestRunner2、BeatifulReport 二、装饰器 unittest.skip 强制跳过&条件跳过三、unittest的常用断言方法 一、常见的第三方库结合 unittest 生产 html 格式测试报告 1、HtmlTestRunner 官网下载 …...
Spring Cloud探索之旅：从零搭建微服务雏形 (Eureka, LoadBalancer 与 OpenFeign实战)
引言 大家好！近期，我踏上了一段深入学习Spring Cloud构建微服务应用的旅程。我从项目初始化开始，逐步搭建了一个具备服务注册与发现、客户端负载均衡以及声明式服务调用功能的基础微服务系统。本文旨在记录这一阶段的核心学习内容与实践成果…...
9.2.高并发系统
目录 一、高并发系统设计原则 核心设计哲学 • CAP权衡：一致性、可用性、分区容错性的场景化选择 • BASE理论：最终一致性与柔性事务的落地策略 性能与扩展性准则 • 水平扩展 vs 垂直扩展：无状态服务与有状态服务的扩展策略 • 异步化设计…...
Apollo学习——planning模块（3）之planning_base
planning_component、planning_base、on_lane_planning 和 navi_planning 的关系 1. 模块关系总览 继承层次 PlanningComponent：Cyber RT 框架中的 入口组件，负责调度规划模块的输入输出和管理生命周期。PlanningBase：规划算法的 抽象基类&…...
当 AI 邂逅丝路：揭秘「丝路智旅」，用 RAG 重塑中阿文化旅游体验
目录 系统命名：丝路智旅 (Silk Road Intelligent Travel)系统概述系统架构设计系统功能模块技术选型：为何是它们？系统优势与特点未来展望与扩展总结在数字浪潮席卷全球的今天，古老的丝绸之路正在以一种全新的方式焕发生机。当深厚的文化底蕴遇上尖端的人工智能技术，会碰撞…...
18.Excel数据透视表：第1部分创建数据透视表
一 什么是数据透视表 通过万花筒可以用不同的方式査看里面画面图像，在excel中可以将数据透视表看作是对准数据的万花筒，用不同角度去观察数据，也可以旋转数据，对数据进行重新排列，对大量的数据可以快速的汇总和建立交叉…...
CSS AI 通义灵码 VSCode插件安装与功能详解
简介 在前端开发领域，页面调试一直是个繁琐的过程，而传统开发中美工与前端的对接也常常出现问题。如今，阿里云技术团队推出的通义灵码智能编码助手，为前端开发者带来了新的解决方案，让开发者可以像指挥者一样…...
)
每日c/c++题 备战蓝桥杯(P1002 [NOIP 2002 普及组] 过河卒)
洛谷P1002 [NOIP 2002 普及组] 过河卒 题解 题目描述 过河卒是一道经典的动态规划题目。题目大意是：一个卒子从棋盘左上角(0,0)出发，要走到右下角(n,m)，棋盘上有一个马在(x,y)位置，卒子不能经过马所在位置及其周围8个位置。求卒…...
【Linux网络】TCP全连接队列
TCP 相关实验 理解 listen 的第二个参数 基于刚才封装的 TcpSocket 实现以下测试代码对于服务器, listen 的第二个参数设置为 1, 并且不调用 accept测试代码链接 test_server.cc #include "tcp_socket.hpp"int main(int argc, char* argv[]) {if (argc ! 3) {pri…...
HTML 颜色全解析：从命名规则到 RGBA/HSL 值，附透明度设置与场景应用指南
一、HTML 颜色系统详解 HTML 中的颜色可以通过多种方式定义，包括颜色名称、RGB 值、十六进制值、HSL 值等，同时支持透明度调整。以下是详细分类及应用场景： 1. 颜色名称（预定义关键字） HTML 预定义了 140 个标准颜色名…...
蓝桥杯12届国B 完全日期
题目描述。 如果一个日期中年月日的各位数字之和是完全平方数，则称为一个完全日期。 例如：2021 年 6 月 5 日的各位数字之和为 20216516，而 16 是一个完全平方数，它是 4 的平方。所以 2021 年 6 月 5 日是一个完全日期。 例如&…...
深度剖析多模态大模型中的视频编码器算法
写在前面 随着多模态大型语言模型（MLLM）的兴起，AI 理解世界的能力从静态的文本和图像，进一步拓展到了动态的、包含丰富时空信息的视频。视频作为一种承载了动作、交互、场景变化和声音（虽然本文主要聚焦视觉部分）的复杂数据形式，为 MLLM 提供了理解真实世界动态和因果关…...
游戏引擎学习第282天:Z轴移动与摄像机运动
运行游戏，展示目前进展 我们目前正在进行一个游戏开发项目。昨天，我们实现了基于房间的角色移动系统，并且加入了摄像机的跟随滚动功能。这是我们首次进入“游戏逻辑设计”阶段，也就是说，我们开始构建游戏本身的行为和…...
C++中的std::allocator
C中的std::allocator 文章目录 C中的std::allocator1.std::allocator1.1C中的placement new 和operator new1.2一个custom allocator的实现1.3使用std::allocator_traits实现allocator 1.std::allocator C中的std::allocator默默工作在CSTL中的所有容器的内存分配上࿰…...
Git/GitLab日常使用的命令指南来了！
在 GitLab 中拉取并合并代码的常见流程是通过 Git 命令来完成的。以下是一个标准的 Git 工作流，适用于从远程仓库（如 GitLab）拉取代码、切换分支、合并更新等操作。 🌐 一、基础命令：拉取最新代码 # 拉取远程仓库的所…...
aws 实践创建policy + Role
今天Cyber 通过image 来创建EC2 的时候，要添加policy, 虽然是administrator 的role, 参考Cyber 提供的link: Imageshttps://docs.cyberark.com/pam-self-hosted/14.2/en/content/pas%20cloud/images.htm#Bring 1 Step1:...
[Java实战]Spring Boot 解决跨域问题（十四）
[Java实战]Spring Boot 解决跨域问题（十四） 一、CORS 问题背景 什么是跨域问题？ 当浏览器通过 JavaScript 发起跨域请求（不同协议、域名、端口）时，会触发同源策略限制，导致请求被拦截。 示例场…...
【HarmonyOS 5】鸿蒙星闪NearLink详解
【HarmonyOS 5】鸿蒙星闪NearLink详解 一、前言 鸿蒙星闪NearLink Kit 是 HarmonyOS 提供的短距离通信服务，支持星闪设备间的连接、数据交互。例如，手机可作为中心设备与外围设备（如鼠标、手写笔、智能家电、车钥匙等）通过星闪进…...
Python高级进阶：Vim与Vi使用指南
李升伟 整理 在 Python 高级进阶中，使用 Vim 或 Vi 作为代码编辑器可以显著提升开发效率，尤其是在远程服务器开发或快速脚本编辑时。以下是关于它们在 Python 开发中的高级应用详解： 1. Vim/Vi 简介 Vi：经典的 Unix 文本编辑器…...
【Python】对象生命周期全解析
Python对象生命周期全解析 在Python中，一个对象从创建到销毁会经历一系列过程，理解这些过程对于编写高效、可靠的Python代码非常重要。下面我将详细讲解Python对象的完整生命周期。 1. 对象创建阶段 (1) 内存分配 当使用类实例化时(obj MyClass())&…...
自然语言处理（NLP）在影评情感分析中的处理流程示例
自然语言处理（NLP）在影评情感分析中的处理流程示例 以影评情感分析为例，为你详细介绍自然语言处理的处理流程。在这个例子中，我们将使用 Python 和一些常用的 NLP 库，如nltk（自然语言工具包）和…...
WF24 wifi/蓝牙模块串口与手机蓝牙通信
usb-ttl ch340接线 打开串口工具SSCOM，端口号选择ch340接的那个口，波特率改成115200 DX-SMART_2.0.5.apk下载 手机打开DX-SMART软件 点击透传-搜索BLE-连接WF24-BLE 连接成功串口会收到消息 [14:37:10.591]收←◆ BLE_CONNECT_SUCCESS发送命令ATBLUFI…...
互联网大厂Java求职面试：优惠券服务架构设计与AI增强实践-3
互联网大厂Java求职面试：优惠券服务架构设计与AI增强实践-3 场景背景 面试场景设定在一家大型互联网公司，面试官为拥有10年以上经验的技术总监，专注于高并发、高可用系统的架构设计。候选人郑薪苦是一名技术潜力十足的程序员，擅…...