[Sysname] interface gigabitethernet1/0/1[Sysname—GigabitEthernet1/0/1］ port link—mode route
[Sysname—GigabitEthernet1/0/1] ip address 10。110。10。10 255。255。255。0
[Sysname—GigabitEthernet1/0/1] quit ［Sysname］ interface gigabitethernet1/0/2
［Sysname-GigabitEthernet1/0/2］ port link-mode route
［Sysname—GigabitEthernet1/0/2］ ip address 202.38.1.1 255.255.255.0
［Sysname-GigabitEthernet1/0/2］ quit
＃ 创建安全域,并将不同的接口加入不同的安全域. ［Sysname]security-zone name Trust
[Sysname-security—zone-Trust]import interface gigabitethernet1/0/1 [Sysname-security—zone-Trust］quit [Sysname]security-zone name Untrust
[Sysname—security-zone-Untrust]import interface gigabitethernet1/0/2 [Sysname—security—zone—Untrust］quit
＃ 配置访问控制列表 2001，仅允许内部网络中 10。110.10.0/24 网段的用户可以访问 Internet. [Sysname] acl number 2001
［Sysname-acl-basic—2001］ rule permit source 10.110.10.0 0。0。0。255
[Sysname—acl-basic—2001] rule deny ［Sysname—acl—basic-2001］ quit
# 配置域间策略,应用 ACL 2001 进行报文过滤。 ［Sysname] zone-pair security source Trust destination Untrust ［Sysname-zone-pair-security—Trust—Untrust]packet-filter 2001 ［Sysname-zone-pair-security-Trust-Untrust］quit
# 配置 IP 地址池 1,包括两个公网地址 202。38.1。2 和 202.38。1.3。 ［Sysname] nat address—group 1
［Sysname-address-group—1］ address 202.38。1。2 202。38。1.3
[Sysname—address-group—1] quit
# 在出接口 GigabitEthernet1/0/2 上配置 ACL 2001 与 IP 地址池 1 相关联.
NO—PAT 方式：进行源地址转换，不转换源端口 ［Sysname］ interface gigabitethernet 1/0/2
[Sysname—GigabitEthernet1/0/2] nat outbound 2001 address-group 1 no-pat
［Sysname—GigabitEthernet1/0/2］ quit PAT 方式：进行源地址转换,同时转换源端口 ［Sysname］ interface gigabitethernet 1/0/2
[Sysname-GigabitEthernet1/0/2] nat outbound 2001 address—group 1 [Sysname] interface gigabitethernet 1/0/2 PAT 方式:进行源地址转换，但不转换源端口
［Sysname-GigabitEthernet1/0/2] nat outbound 2001 address—group 1 port—preserved
［Sysname—GigabitEthernet1/0/2] quit 6。3 验证配置
（1） 上述配置完成后，内网主机可以访问服务器。通过查看如下显示信息，可以验证上述配置 成功，以 PAT 方式为例。 [Sysname] display nat all
［Sysname］ display nat session verbose display current—configuration 2．如果不行的话,需要如下配置ip route—static 0.0。0。0 0。0.0。0 10。110.10。10
［H3C］security—zone intra-zone default permit //配置同一安全域内接口间报文处理的缺省动作为permit
［H3C］object—policy ip Trust—Untrust //创建Trust到Untrst的地址对象策略
[H3C—object—policy-ip—Trust—Untrust］ rule 0 pass //规则为允许 [H3C-object—policy-ip-Trust-Untrust]quit
[H3C]zone—pair security source Trust destination Untrust //放通Turst到Untrust的域间策略
［H3C—zone-pair-security—Trust-Untrust］object—policy apply ip Trust—Untrust //引用Trust到Untrst的地址对象策略 [H3C-object-policy-ip—Trust—Untrust]quit
G1/0/2 192.168.123.254/23 G1/0/1 192.168.88.88/24
1。 Firewall的配置
(1)指定GigabitEthernet1/0/1端口的电口被激活，使用双绞线连接 system-view
interface gigabitethernet 1/0/1 combo enable copper quit
(2)按照组网图配置各接口的 IP 地址。 system—view
interface gigabitethernet1/0/1 port link—mode route
ip address 192。168。88。88 255.255。255。0 quit
interface gigabitethernet1/0/2 port link-mode route
ip address 192。168。123。254 255.255.255。0 quit
(3）＃ 创建安全域，并将不同的接口加入不同的安全域.
security-zone name Trust
import interface gigabitethernet1/0/2 quit
security—zone name Untrust import interface gigabitethernet1/0/1 quit
(4)＃ 配置访问控制列表 2001，仅允许内部网络中 192。168.123。0/23 网段的用户可以访问 Internet。 acl number 2001
rule permit source 192。168.123.0 0。0。0.127 quit
（5)＃ 配置域间策略，应用 ACL 2001 进行报文过滤。 zone—pair security source Trust destination Untrust packet—filter 2001 quit
（6)# 配置 IP 地址池 1，包括两个公网地址192。168。88.88 和 192。168..
nat address—group 1
address 192.168.88.88 192.168.88. quit
(7）# 在出接口 GigabitEthernet1/0/2 上配置 ACL 2001 与 IP 地址池 1 相关联.
PAT 方式：进行源地址转换，同时转换源端口 interface gigabitethernet 1/0/1
nat outbound 2001 address-group 1 port-preserved quit
6。3 验证配置
（1) 上述配置完成后,内网主机可以访问服务器。通过查看如下显示信息，可以验证上述配置 成功,以 PAT 方式为例。 ［Sysname] display nat all
[Sysname] display nat session verbose 〈Sysname〉 display current—configuration
