组网说明：本案例采用H3C HCL模拟器来模拟实现双向NAT的组网，由于模拟器和本物理机的局限性，因此采用模拟器的S5820交换机开启WEB功能模拟成为WEB服务器。在该网络拓扑图中，内网和外网已经有了明确的标识，某局点申请了202.1.100.2-202.1.100.3这两个公网IP地址，其中202.1.100.2用于与外网互联，202.1.100.3用于给内网WEB服务器的转换并对外网提供WEB服务，同时内网机子能通过使用外网IP地址来访问WEB服务器，因此在不使用NAT回流的前提下，采用双向NAT来实现此需求。配置步骤1、按照网络拓扑图正确配置IP地址2、SW1开启WEB功能，并创建相应账户及赋予权限3、SW1配置默认路由指向R14、R1配置默认路由指向外网，并配置静态路由指向SW15、R1配置NAT，允许内网主机访问外网6、R1配置双向NAT，实现内网主机通过使用外网地址来访问WEB服务配置关键点SW1：sys[H3C]sysname SW1[SW1]vlan 200[SW1-vlan200]quit[SW1]int vlan 200[SW1-Vlan-interface200]ip address 192.168.200.254 24[SW1-Vlan-interface200]quit[SW1]int gi 1/0/1[SW1-GigabitEthernet1/0/1]port link-type access[SW1-GigabitEthernet1/0/1]port access vlan 200[SW1-GigabitEthernet1/0/1]quit[SW1]int gi 1/0/2[SW1-GigabitEthernet1/0/2]port link-mode route[SW1-GigabitEthernet1/0/2]description [SW1-GigabitEthernet1/0/2]ip address 10.0.0.1 30[SW1-GigabitEthernet1/0/2]quit[SW1]ip route-static 0.0.0.0 0.0.0.0 10.0.0.2[SW1]ip http enable[SW1]ip https enable[SW1]local-user adminNew local user added.[SW1-luser-manage-admin]password simple admin[SW1-luser-manage-admin]service-type http https[SW1-luser-manage-admin]authorization-attribute user-role network-admin[SW1-luser-manage-admin]quit[SW1]R1：sys[H3C]sysname R1[R1]int gi 0/0[R1-GigabitEthernet0/0]description [R1-GigabitEthernet0/0]ip address 10.0.0.2 30[R1-GigabitEthernet0/0]quit[R1]ip route-static 192.168.200.0 255.255.255.0 10.0.0.1[R1]int gi 0/1[R1-GigabitEthernet0/1]description [R1-GigabitEthernet0/1]ip address 202.1.100.2 28[R1-GigabitEthernet0/1]quit[R1]ip route-static 0.0.0.0 0.0.0.0 202.1.100.1NAT关键配置点：[R1]acl basic 2000[R1-acl-ipv4-basic-2000]rule 0 permit source any[R1-acl-ipv4-basic-2000]quit[R1]int gi 0/1[R1-GigabitEthernet0/1]nat outbound 2000[R1-GigabitEthernet0/1]nat server protocol tcp global 202.1.100.3 80 inside 10.0.0.1 80[R1-GigabitEthernet0/1]nat server protocol tcp global 202.1.100.3 443 inside 10.0.0.1 443[R1-GigabitEthernet0/1]quit[R1]acl basic 2001[R1-acl-ipv4-basic-2001]rule 0 permit source 192.168.200.0 0.0.0.255[R1-acl-ipv4-basic-2001]rule 1 deny source any[R1]int gi 0/0[R1-GigabitEthernet0/0]nat server protocol tcp global 202.1.100.3 443 inside 10.0.0.1[R1-GigabitEthernet0/0]nat outbound 2001[R1-GigabitEthernet0/0]quitWAN：sys[H3C]sysname WAN[WAN]int gi 0/0[WAN-GigabitEthernet0/0]description [WAN-GigabitEthernet0/0]ip address 202.1.100.1 28[WAN-GigabitEthernet0/0]quit[WAN]int gi 0/1[WAN-GigabitEthernet0/1]ip address 202.103.224.254 24[WAN-GigabitEthernet0/1]quit[WAN]测试：内网终端填写IP地址：外网终端填写IP地址：内网终端能PING通外网终端：外网终端无法PING通内网终端：内网终端打开浏览器，分别使用：https://192.168.200.254和https://202.1.100.3访问SW1的WEB服务注意：192.168.200.254是内网地址、202.1.100.3是外网地址1、使用192.168.200.254访问2、使用外网地址202.1.100.3访问由上面俩图可以看出，内网终端可以分别使用内网地址和外网地址访问SW1的WEB服务！至此，双向NAT典型组网配置案例1已完成！

查看万兆端口模块收发光：display transceiver interface XGigabitEthernet 1/0/0 verbose目录一、单交换机VLAN划分… 1二、配置交换机支持TELNET. 1三、跨交换机VLAN的通讯… 1四、路由的配置命令… 2五、三层交换机配置VLAN-VLAN通讯… 3六、动态路由RIP. 4七、IP访问列表… 4八、命令的标准访问IP列表(三层交换机）: 5九、允许A机器访问B机器的FTP但不允许访问WWW，C机器没有任何限制。… 6十、NAT地址转换（单一静态一对一地址转换）… 6十一、NAT内部整网段地址转换… 7AR18-22-8配置命令… 8一、vlan配置… 81、vlan划分方案… 82、显示vlan信息的命令… 93、配置物理端口… 94、配置虚拟端口… 10二、DHCP服务器配置… 101、检测DHCP服务器… 102、具体配置… 11三、NAT配置… 11一、单交换机VLAN划分命令 命令解释system 进入系统视图system-view 进入系统视图quit 退到系统视图undo vlan 20 删除vlan 20sysname 交换机命名disp vlan 显示vlanvlan 20 创建vlan(也可进入vlan 20)port e1/0/1 to e1/0/5 把端口1-5放入VLAN 20 中disp vlan 20 显示vlan里的端口20int e1/0/24 进入端口24port access vlan 20 把当前端口放入vlan 20undo port e1/0/10 表示删除当前VLAN端口10disp curr 显示当前配置二、配置交换机支持TELNETsystem 进入系统视图sysname 交换机命名int vlan 1 进入VLAN 1ip address 192.168.3.100 255.255.255.0 配置IP地址user-int vty 0 4 进入虚拟终端authentication-mode password (aut password) 设置口令模式set authentication password simple 222 (set aut pass sim 222) 设置口令user privilege level 3(use priv lev 3) 配置用户级别disp current-configuration （disp cur) 查看当前配置disp ip int 查看交换机VLAN IP配置删除配置必须退到用户模式reset saved-configuration(reset saved) 删除配置reboot 重启交换机三、跨交换机VLAN的通讯在sw1上：vlan 10 建立VLAN 10int e1/0/5 进入端口5port access vlan 10 把端口5加入vlan 10vlan 20 建立VLAN 20int e1/0/15 进入端口15port access vlan 20 把端口15加入VLAN 20int e1/0/24 进入端口24port link-type trunk 把24端口设为TRUNK端口port trunk permit vlan all 同上在SW2上:vlan 10 建立VLAN 10int e1/0/20 进入端口20port access vlan 10 把端口20放入VLAN 10int e1/0/24 进入端口24port link-type trunk 把24端口设为TRUNK端口port trunk permit vlan all (port trunk permit vlan 10 只能为vlan 10使用)24端口为所有VLAN使用disp int e1/0/24 查看端口24是否为TRUNKundo port trunk permit vlan all 删除该句四、路由的配置命令system 进入系统模式sysname 命名int e1/0 进入端口ip address 192.168.3.100 255.255.255.0 设置IPundo shutdown 打开端口disp ip int e1/0 查看IP接口情况disp ip int brief 查看IP接口情况user-int vty 0 4 进入口令模式authentication-mode password(auth pass) 进入口令模式set authentication password simple 222 37 设置口令user privilege level 3 进入3级特权save 保存配置reset saved-configuration 删除配置（用户模式下运行）undo shutdown 配置远程登陆密码int e1/4ip route 192.168.3.0(目标网段） 255.255.255.0 192.168.12.1（下一跳：下一路由器的接口） 静态路由ip route 0.0.0.0 0.0.0.0 192.168.12.1 默认路由disp ip rout 显示路由列表华3C AR-18E1/0（lan1-lan4)E2/0(wan0)E3/0(WAN1)路由器连接使用直通线。wan0接wan0或wan1接wan1计算机的网关应设为路由器的接口地址。五、三层交换机配置VLAN-VLAN通讯sw1(三层交换机）:system 进入视图sysname 命名vlan 10 建立VLAN 10vlan 20 建立VLAN 20int e1/0/20 进入端口20port access vlan 10 把端口20放入VLAN 10int e1/0/24 进入24端口port link-type trunk 把24端口设为TRUNK端口port trunk permit vlan all (port trunk permit vlan 10 只能为vlan 10使用)24端口为所有VLAN使用sw2:vlan 10int e1/0/5port access vlan 10int e1/0/24port link-type trunk 把24端口设为TRUNK端口port trunk permit vlan all (port trunk permit vlan 10 只能为vlan 10使用)24端口为所有VLAN使用sw1(三层交换机）:int vlan 10 创建虚拟接口VLAN 10ip address 192.168.10.254 255.255.255.0 设置虚拟接口VLAN 10的地址int vlan 20 创建虚拟接口VLAN 20ip address 192.168.20.254 255.255.255.0 设置虚拟接口IP VLAN 20的地址注意：vlan 10里的计算机的网关设为 192.168.10.254vlan 20里的计算机的网关设为 192.168.20.254六、动态路由RIPR1:int e1/0 进入e1/0端口ip address 192.168.3.1 255.255.255.0 设置IPint e2/0 进入e2/0端口ip adress 192.168.5.1 255.255.255.0 设置IPrip 设置动态路由network 192.168.5.0 定义IPnetwork 192.168.3.0 定义IPdisp ip rout 查看路由接口R2:int e1/0 进入e1/0端口ip address 192.168.4.1 255.255.255.0 设置IPint e2/0 进入e2/0端口ip adress 192.168.5.2 255.255.255.0 设置IPrip 设置动态路由network 192.168.5.0 定义IPnetwork 192.168.4.0 定义IPdisp ip rout 查看路由接口（注意：两台PC机的网关设置PC1 IP：192.168.3.1 PC2 IP：192.168.4.1）七、IP访问列表int e1/0ip address 192.168.3.1 255.255.255.0int e2/0ip address 192.168.1.1 255.255.255.0int e3/0ip address 192.168.2.1 255.255.255.0acl number 2001 （2001-2999属于基本的访问列表）rule 1 deny source 192.168.1.0 0.0.0.255 (拒绝地址192.168.1.0网段的数据通过)rule 2 permit source 192.168.3.0 0.0.0.255(允许地址192.168.3.0网段的数据通过)以下是把访问控制列表在接口下应用：firewall enablefirewall default permitint e3/0firewall packet-filter 2001 outbounddisp acl 2001 显示信息undo acl number 2001 删除2001控制列表扩展访问控制列表acl number 3001rule deny tcp source 192.168.3.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 destination-port eq ftp必须在r-acl-adv-3001下才能执行rule permit ip source an destination any (rule permit ip)int e3/0firewall enable 开启防火墙firewall packet-filter 3001 inbound必须在端口E3/0下才能执行八、命令的标准访问IP列表(三层交换机）:允许A组机器访问服务器内资料，不允许访问B组机器（服务器没有限制）sysvlan 10name servervlan 20name teachervlan 30name studentint e1/0/5port access vlan 10int e1/0/10port access vlan 20int e1/0/15port access vlan 30int vlan 10ip address 192.168.10.1 255.255.255.0undo shint vlan 20ip address 192.168.20.1 255.255.255.0int vlan 30ip address 192.168.30.1 255.255.255.0acl number 2001rule 1 deny source 192.168.30.0 0.0.0.255rule 2 permit source anydisp acl 2001 查看2001列表int e1/0/10port access vlan 20packet-filter outbound ip-group 2001 rule 1出口九、允许A机器访问B机器的FTP但不允许访问WWW，C机器没有任何限制。vlan 10vlan 20vlan 30int e1/0/5port access vlan 10int e1/0/10port access vlan 20int e1/0/15port access vlan 30int vlan 10ip address 192.168.10.1 255.255.255.0undo shint vlan 20ip address 192.168.20.1 255.255.255.0int vlan 30ip address 192.168.30.1 255.255.255.0acl number 3001rule 1 deny tcp source 192.168.30.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 destination-port eq wwwint e1/0/15packet-filter inbound ip-group 3001 rule 1进口十、NAT地址转换（单一静态一对一地址转换）R1:syssysname R1int e1/0ip address 192.168.3.1 255.255.255.0int e2/0ip address 192.1.1.1 255.255.255.0R2:syssysname R2int e2/0ip address 192.1.1.2 255.255.255.0int e1/0ip address 10.80.1.1 255.255.255.0回到R1：nat static 192.168.3.1 192.1.1.1int e2/0nat outbound staticip route 0.0.0.0 0.0.0.0 192.1.1.2十一、NAT内部整网段地址转换R1:syssysname R1int e1/0ip address 192.168.3.1 255.255.255.0int e2/0ip address 192.1.1.1 255.255.255.0acl number 2008rule 0 permit source 192.168.3.0 0.0.0.255rule 1 denyquitint e2/0nat outbound 2008quitip route-static 0.0.0.0 0.0.0.0 192.1.1.2 preference 60下一个路由接口地址R2:syssysname R2int e2/0ip address 192.1.1.2 255.255.255.0int e1/0ip address 10.80.1.1 255.255.255.0NAT地址池配置：R1:syssysname R1int e1/0ip address 192.168.3.1 255.255.255.0int e2/0ip address 192.1.1.1 255.255.255.0nat address-group 1 192.1.1.1 192.1.1.5 配置地址池undo address-group 1 删除地址池acl number 2001 创建访问列表rule permit source 192.168.1.0 0.0.0.255允许192.168.1.0/24网段地址转换(ethernet2/0指路由器wan口)：int e2/0nat outbound 2001 address-group 1 启用协议ip route 0.0.0.0 0.0.0.0 192.1.1.2 默认路由R2:syssysname R2int e1/0ip address 10.80.1.1 255.255.255.0int e2/0ip address 192.1.1.2 255.255.255.0AR18-22-8配置命令一、vlan配置1、vlan划分方案
部门
vlan名
ip地址
端口分配
J室
vlan10
192.168.10.1/24
ethernet 3/1
K室
vlan20
192.168.20.1/24
ethernet 3/2
C室
vlan30
192.168.30.1/24
ethernet 3/3
Server
vlan40
192.168.0.1/24
ethernet 3/{4,5,6}
2、显示vlan信息的命令显示指定VLAN 的相关信息。display vlan vid显示指定VLAN 配置的最大处理报文数目。display vlan max-packet-process vid显式指定VLAN 的报文统计信息，包括接收和发送的报文数目。display vlan statistics vid vid显示某个接口的VLAN 配置信息。display vlan interface interface-type interface-num清除指定VLAN 的报文统计信息。reset vlan statistics vid vid3、配置物理端口配置路由器，进入Ethernet 端口视图，指定端口的链路类型，把端口加入到指定vlan中，注意access端口加入的vlan不能是vlan1。# 配置Ethernet3/1 system-viewH3C interface ethernet 3/1 进入端口1H3C-Ethernet3/1 port link-type access 设置端口类型为accessH3C-Ethernet3/1 port access vlan 10 把该端口加到vlan10中H3C-Ethernet3/1 quit# 配置Ethernet3/2H3C interface ethernet 3/2H3C-Ethernet3/2 port link-type accessH3C-Ethernet3/2 port access vlan 20H3C-Ethernet3/2 quit# 配置Ethernet3/3H3C interface ethernet 3/3H3C-Ethernet3/3 port link-type accessH3C-Ethernet3/3 port access vlan 30H3C-Ethernet3/3 quit# 配置Ethernet3/4H3C interface ethernet 3/4H3C-Ethernet3/4 port link-type accessH3C-Ethernet3/4 port access vlan 40H3C-Ethernet3/4 quit# 配置Ethernet3/5H3C interface ethernet 3/5H3C-Ethernet3/5 port link-type accessH3C-Ethernet3/5 port access vlan 40H3C-Ethernet3/5 quit# 配置Ethernet3/6H3C interface ethernet 3/6H3C-Ethernet3/6 port link-type accessH3C-Ethernet3/6 port access vlan 40H3C-Ethernet3/6 quit4、配置虚拟端口VLAN之间要实现互通，需要配置相应的以太网子接口，即VLAN 对应的路由接口，创建并进入相应的子接口视图，为其配置相应的封装协议和关联的VLAN ID，及IP 地址和掩码，ethernet 3/0 是三层虚拟端口。# 配置Ethernet 3/0.1H3C interface ethernet 3/0.1 创建并进入子接口H3C-Ethernet3/0.1 vlan-type dot1q vid 10 设置以太网子接口的封装类型以及相关联的VLAN IDH3C-Ethernet3/0.1 ip address 192.168.10.1 255.255.255.0H3C-Ethernet3/0.1 quit# 配置Ethernet 3/0.2H3C interface ethernet 3/0.2H3C-Ethernet3/0.2 vlan-type dot1q vid 20H3C-Ethernet3/0.2 ip address 192.168.20.1 255.255.255.0H3C-Ethernet3/0.2 quit# 配置Ethernet 3/0.3H3C interface ethernet 3/0.3H3C-Ethernet3/0.3 vlan-type dot1q vid 30H3C-Ethernet3/0.3 ip address 192.168.30.1 255.255.255.0H3C-Ethernet3/0.3 quit# 配置Ethernet 3/0.4H3C interface ethernet 3/0.4H3C-Ethernet3/0.4 vlan-type dot1q vid 40H3C-Ethernet3/0.4 ip address 192.168.0.1 255.255.255.0H3C-Ethernet3/0.4 quit二、DHCP服务器配置1、检测DHCP服务器display dhcp server ip-in-use 查看地址池动态地址绑定信息display dhcp server conflict 查看DHCP地址冲突的统计信息display dhcp server statistics 查看DHCP服务器的统计信息display dhcp servertree 查看DHCP地址池结构2、具体配置#公共配置（server和relay都适用） system-view 进入系统视图H3C dhcp enable 使能DHCP服务H3C dhcp server detect 使能伪DHCP服务器检测功能#全局地址池配置H3C dhcp select global interface ethernet 3/0.1 to ethernet 3/0.4 配置接口工作在DHCP Server模式，从全局地址池分配地址H3C dhcp server ip-pool vlan10 创建全局地址池vlan10(最多支持128个全局地址池/路由器)H3C-ip-pool network 192.168.10.0 mask 255.255.255.0 配置动态分配的IP地址范围(只可配置1个/地址池)H3C-ip-pool expired day 7 hour 23 minute 59 配置租约H3C-ip-pool domain-name pearl.cn 配置域名H3C-ip-pool dns-list ip-address 192.168.0.6 202.106.0.20 202.106.196.115 配置DNS(最多8个/地址池)H3C-ip-pool gateway-list ip-address 192.168.10.1 配置默认网关(最多8个/地址池)H3C dhcp server forbidden-ip 192.168.10.1 192.168.10.10 配置保留IP地址范围(可配置多个/地址池)H3C dhcp server relay information enable 使能DHCP Server支持option 82#接口地址池配置H3C dhcp select interface interface ethernet 3/0.1 to ethernet 3/0.4 （指虚拟接口还是指物理接口？？？）配置多个接口工作在DHCP Server模式，从接口地址池分配地址，同时自动创建“接口地址池”H3C dhcp server expired day 7 hour 23 minute 59 interface ethernet 3/0.1 to ethernet 3/0.4H3C dhcp server domain-name pearl.cn interface ethernet 3/0.1 to ethernet 3/0.4H3C dhcp server dns-list ip-address 192.168.0.6 202.106.0.20 202.106.196.115 interface ethernet 3/0.1 to ethernet 3/0.4H3C interface ethernet 3/0.1H3C-interface gateway-list ip-address 192.168.10.1H3C dhcp server forbidden-ip 192.168.10.1 192.168.10.10 （是否接口模式下配？？）H3C dhcp server relay information enable三、NAT配置#配置地址池和访问控制列表：H3C nat address-group 1 222.128.28.172 222.128.28.174H3C acl number 2001H3C-acl-basic-2001rule permit source 192.168.0.0 0.0.0.255#允许192.168.0.0/24网段地址转换(ethernet3/0指路由器wan口)：H3C interface ethernet3/0H3C-ethernet3/0 nat outbound 2001 address-group 1#设置内部FTP服务器：H3C-ethernet3/0 nat server protocol tcp global 222.128.28.171 inside 192.168.0.8 ftp#设置内部www服务器1：H3C-ethernet3/0 nat server protocol tcp global 222.128.28.171 inside 192.168.0.9 www#设置内部www服务器2：H3C-ethernet3/0 nat server protocol tcp global 222.128.28.171 8080 inside 192.168.0.10 www版权声明：本文为CSDN博主「须天逸」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。