防火墙网络组建 源地址通配符

通配符掩码表 

CIDR 子网掩码 反掩码    

/30 255.255.255.252 0.0.0.3   

/29 255.255.255.248 0.0.0.7   

/28 255.255.255.240 0.0.0.15   

/27 255.255.255.224 0.0.0.31   

/26 255.255.255.192 0.0.0.63   

/25 255.255.255.128 0.0.0.127   

/24 255.255.255.0 0.0.0.255   

/23 255.255.254.0 0.0.1.255   

/22 255.255.252.0 0.0.3.255   

/21 255.255.248.0 0.0.7.255   

/20 255.255.240.0 0.0.15.255   

/19 255.255.224.0 0.0.31.255   

/18 255.255.192.0 0.0.63.255   

/17 255.255.128.0 0.0.127.255   

/16 255.255.0.0 0.0.255.255   

/15 255.254.0.0 0.1.255.255   

/14 255.252.0.0 0.3.255.255   

/13 255.248.0.0 0.7.255.255   

/12 255.240.0.0 0.15.255.255   
/11 255.224.0.0 0.31.255.255   

/10 255.192.0.0 0.63.255.255   

/9 255.128.0.0 0.127.255.255

/8 255.0.0.0 0.255.255.255

此应用于防火墙配置 ACL 访问控制列表 配置中使用。

(1)组网需求

一个公司通过SecPath防火墙连接到Internet。公司内部网段为192.168.20.0/24。由ISP分配给防火墙外部接口的地址范围为202.169.10.1～202.169.10.5。其中防火墙的接口GigabitEthernet0/0连接内部网络，地址为192.168.20.1；接口GigabitEthernet0/1连接到Internet，地址为202.169.10.1。WWWServer和FTPServer位于公司网络内部，地址分别为192.168.20.2和192.168.20.3。要求公司内部网络可以通过防火墙的NAT功能访问Internet，并且外部的用户可以访问内部的WWWServer和TelnetServer。

(2)组网图

图1-1NAT配置组网图

(3)配置步骤

第一步：创建允许内部网段访问所有外部资源的基本ACL，以供NAT使用。创建ACL的方法可参见5.2.1ACL配置。

点击“防火墙”目录中的“ACL”，在右边的ACL配置区域中单击<ACL配置信息>按钮。

在“ACL编号”中输入基本ACL的编号2001（基本ACL的编号范围为2000～2999），单击<创建>按钮。在下面的列表中选择此ACL，单击<配置>按钮。

在ACL配置参数区域中，从“操作”下拉框中选择“Permit”，在“源IP地址”栏中输入192.168.20.0，“源地址通配符”中输入0.0.0.255，单击<应用>按钮。

第二步：创建NAT地址池。

在“业务管理”目录下的“NAT”子目录中点击“地址池管理”，在右边的配置区域中单击<创建>按钮。

  在“地址池索引号”栏中输入1，“起始地址”栏中输入202.169.10.1，“结束地址”栏中输入202.169.10.5，单击<应用>按钮。  第三步：配置NAT转换类型。    点击“地址转换管理”，在右边的配置区域中单击<创建>按钮。在“接口名称”下拉框中选择“GigabitEthernet0/1”，选中“ACL编号”复选框并输入已创建好的基本ACL编号2001。在“地址池”下拉框中选择地址池索引号“1”。由于地址池的地址数量有限且内部主机较多，所以在“转换类型”中选择“NAPT”以启用NAT地址复用，单击<应用>按钮。
 第四步：配置NAT内部服务器映射。   点击“内部服务器”，在右边的配置区域中单击<创建>按钮。   在“接口名称”中选择“GigabitEthernet0/1”，“协议类型”选择“TCP”，“外部地址”栏中输入202.169.10.1。   选中“外部起始端口”输入栏选项，输入WWW服务器使用的端口号，这里假设为80端口。    在“内部起始地址”栏中输入内部WWW服务器的IP地址192.168.20.2。    选中“内部端口”输入栏选项，输入内部WWW服务器使用的端口号，这里也假设为80端口，单击<应用>按钮。
  内部Telnet服务器映射的配置方法与此相同。

(1) 
组网需求
 
一个公司通过SecPath防火墙连接到Internet。公司内部网段为192.168.20.0/24。由ISP分配给防火墙外部接口的地址范围为202.169.10.1～202.169.10.5。
其中防火墙的接口GigabitEthernet0/0连接内部网络，地址为192.168.20.1；接口GigabitEthernet0/1连接到Internet，地址为202.169.10.1。
WWW Server和FTP Server位于公司网络内部，地址分别为192.168.20.2和192.168.20.3。要求公司内部网络可以通过防火墙的NAT功能访问Internet，
并且外部的用户可以访问内部的WWW Server和Telnet Server.