防火墙F1080版本R9323P21双向NAT问题
- 0关注
- 0收藏，184浏览
问题描述：
请问这样的NAT需求能够实现吗？如果能实现怎么配置？测试了下配完一个方向后，再配另一个方向的NAT会因为地址池冲突实际上无法生效
untrust到Trust方向：192.168.1.59访问18.102.1.1源地址转换为10.3.169.4，目的地址转换为10.1.218.20
trust到Untrust方向：10.1.218.20访问10.3.169.4源地址转换为18.102.1.1，目的地址转换为192.168.1.59
- 2026-10-09提问
- 举报
-
(0)
可以啊
上配置看下
- 2026-10-09回答
- 评论(1)
- 举报
-
(0)
请问这样的NAT需求能够实现吗？如果能实现怎么配置？测试了下配完一个方向后，再配另一个方向的NAT会因为地址池冲突实际上无法生效 untrust到Trust方向：192.168.1.59访问18.102.1.1源地址转换为10.3.169.4，目的地址转换为10.1.218.20 trust到Untrust方向：10.1.218.20访问10.3.169.4源地址转换为18.102.1.1，目的地址转换为192.168.1.59 配置如下： FW： acl 2000 rule 10 permit source 192.168.1.59 0 //用于匹配Untrust 方向进来的流量匹配 # nat address-group 1 address 10.3.169.4 10.3.169.4 // 用于匹配Untrust 方向进来的流量匹配做源地址转换 # int g1/0/2(连接Trust) ip address 1.1.1.1 255.255.255.252 # int g1/0/3（连接Untrust） ip address 2.2.2.1 255.255.255.252 nat inbound 2000 address-group 1 //Untrust 方向进来的流量做静态源地址转换 nat server global 18.102.1.1 inside 10.1.218.254 //将Untrust访问的目的地址做地址转换 # ip route-static 10.1.218.0 24 1.1.1.2 //去往trust 方向服务器的路由 ip route-static 10.3.169.4 32 GigabitEthernet1/0/3 2.2.2.2 //FW本身不存在Untrust Nat后的源地址路由，需要加一条 # sw2（trust方向代替） interface LoopBack0 ip address 10.1.218.254 255.255.255.255 interface LoopBack1 ip address 10.1.218.20 255.255.255.255 interface LoopBack2 ip address 10.1.218.21 255.255.255.255 # int g1/0/2 ip address 1.1.1.2 255.255.255.252 # sw3（Untrust方向代替） interface LoopBack0 ip address 192.168.1.59 255.255.255.255 # int g1/0/3 ip address 2.2.2.2 255.255.255.252 # ip route-static 0.0.0.0 0 2.2.2.1 ########### 截止到此处配置为Untrust到trust 方向的单向源目地址转换正常 但是希望达到Trust主动访问Untrust时也能够做源目地址转换，配置后无法实现。 FW： acl 2001 rule 10 permit source 10.1.218.0 0.0.0.255 # nat address-group 2 address 18.102.1.1 18.102.1.1 # inter g1/0/3 nat outbound 2001 address-group 2
请问这样的NAT需求能够实现吗？如果能实现怎么配置？测试了下配完一个方向后，再配另一个方向的NAT会因为地址池冲突实际上无法生效
untrust到Trust方向：192.168.1.59访问18.102.1.1源地址转换为10.3.169.4，目的地址转换为10.1.218.20
trust到Untrust方向：10.1.218.20访问10.3.169.4源地址转换为18.102.1.1，目的地址转换为192.168.1.59
配置如下：
FW：
acl 2000
rule 10 permit source 192.168.1.59 0 //用于匹配Untrust 方向进来的流量匹配
#
nat address-group 1
address 10.3.169.4 10.3.169.4 // 用于匹配Untrust 方向进来的流量匹配做源地址转换
#
int g1/0/2(连接Trust)
ip address 1.1.1.1 255.255.255.252
#
int g1/0/3（连接Untrust）
ip address 2.2.2.1 255.255.255.252
nat inbound 2000 address-group 1 //Untrust 方向进来的流量做静态源地址转换
nat server global 18.102.1.1 inside 10.1.218.254 //将Untrust访问的目的地址做地址转换
#
ip route-static 10.1.218.0 24 1.1.1.2 //去往trust 方向服务器的路由
ip route-static 10.3.169.4 32 GigabitEthernet1/0/3 2.2.2.2 //FW本身不存在Untrust Nat后的源地址路由，需要加一条
#
sw2（trust方向代替）
interface LoopBack0
ip address 10.1.218.254 255.255.255.255
interface LoopBack1
ip address 10.1.218.20 255.255.255.255
interface LoopBack2
ip address 10.1.218.21 255.255.255.255
#
int g1/0/2
ip address 1.1.1.2 255.255.255.252
#
sw3（Untrust方向代替）
interface LoopBack0
ip address 192.168.1.59 255.255.255.255
#
int g1/0/3
ip address 2.2.2.2 255.255.255.252
#
ip route-static 0.0.0.0 0 2.2.2.1
###########
截止到此处配置为Untrust到trust 方向的单向源目地址转换正常
但是希望达到Trust主动访问Untrust时也能够做源目地址转换，配置后无法实现。
FW：
acl 2001
rule 10 permit source 10.1.218.0 0.0.0.255
#
nat address-group 2
address 18.102.1.1 18.102.1.1
#
inter g1/0/3
nat outbound 2001 address-group 2
- 2026-10-10回答
- 评论(0)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
请问这样的NAT需求能够实现吗？如果能实现怎么配置？测试了下配完一个方向后，再配另一个方向的NAT会因为地址池冲突实际上无法生效 untrust到Trust方向：192.168.1.59访问18.102.1.1源地址转换为10.3.169.4，目的地址转换为10.1.218.20 trust到Untrust方向：10.1.218.20访问10.3.169.4源地址转换为18.102.1.1，目的地址转换为192.168.1.59 配置如下： FW： acl 2000 rule 10 permit source 192.168.1.59 0 //用于匹配Untrust 方向进来的流量匹配 # nat address-group 1 address 10.3.169.4 10.3.169.4 // 用于匹配Untrust 方向进来的流量匹配做源地址转换 # int g1/0/2(连接Trust) ip address 1.1.1.1 255.255.255.252 # int g1/0/3（连接Untrust） ip address 2.2.2.1 255.255.255.252 nat inbound 2000 address-group 1 //Untrust 方向进来的流量做静态源地址转换 nat server global 18.102.1.1 inside 10.1.218.254 //将Untrust访问的目的地址做地址转换 # ip route-static 10.1.218.0 24 1.1.1.2 //去往trust 方向服务器的路由 ip route-static 10.3.169.4 32 GigabitEthernet1/0/3 2.2.2.2 //FW本身不存在Untrust Nat后的源地址路由，需要加一条 # sw2（trust方向代替） interface LoopBack0 ip address 10.1.218.254 255.255.255.255 interface LoopBack1 ip address 10.1.218.20 255.255.255.255 interface LoopBack2 ip address 10.1.218.21 255.255.255.255 # int g1/0/2 ip address 1.1.1.2 255.255.255.252 # sw3（Untrust方向代替） interface LoopBack0 ip address 192.168.1.59 255.255.255.255 # int g1/0/3 ip address 2.2.2.2 255.255.255.252 # ip route-static 0.0.0.0 0 2.2.2.1 ########### 截止到此处配置为Untrust到trust 方向的单向源目地址转换正常 但是希望达到Trust主动访问Untrust时也能够做源目地址转换，配置后无法实现。 FW： acl 2001 rule 10 permit source 10.1.218.0 0.0.0.255 # nat address-group 2 address 18.102.1.1 18.102.1.1 # inter g1/0/3 nat outbound 2001 address-group 2