- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
01-H3C無線控製器內網用戶通過NAT地址訪問外網典型配置舉例
本章節下載： 01-H3C無線控製器內網用戶通過NAT地址訪問外網典型配置舉例 (315.98 KB)
H3C無線控製器內網用戶通過NAT地址訪問外網典型配置舉例
Copyright © 2023 bobty下载软件 版權所有，保留一切權利。
非經本公司書麵許可，任何單位和個人不得擅自摘抄、複製本文檔內容的部分或全部，並不得以任何形式傳播。
除bobty下载软件 的商標外，本手冊中出現的其它公司的商標、產品標識及商品名稱，由各自權利人擁有。
本文檔中的信息可能變動，恕不另行通知。
目 錄
本文檔介紹內網用戶通過NAT地址訪問外網的典型配置舉例。
本文檔適用於使用Comware軟件版本的無線控製器和接入點產品，不嚴格與具體硬件版本對應，如果使用過程中與產品實際情況有差異，請參考相關產品手冊，或以設備實際情況為準。
本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。
本文檔假設您已了解NAT和WLAN接入特性。
如圖1所示，AP和Client通過DHCP服務器獲取IP地址，用於地址轉換的兩個公網地址為202.38.1.2、202.38.1.3。具體要求如下：
· 隻允許192.168.1.0/24網段的用戶訪問Internet，其它網段的用戶不能訪問Internet。
· 在AC出接口配置動態地址轉換。
圖1 內網用戶通過NAT訪問外網組網圖
· VLAN接口下應用NAT時，建議采用地址組（nat address-group）的形式進行動態地址轉換。
· 地址組（nat address-group）中不要添加VLAN接口自己的公網IP地址。
· 如果整個AC隻有VLAN接口一個公網IP地進行動態地址轉換，則需要通過port-range命令配置合理的起始端口號和結束端口號，建議使用10000~65535，確保AC的業務端口號不被用於NAT轉發。
需要保證各設備間路由可達，本例路由配置略。
(1) 配置AC的接口
# 創建VLAN 100及其對應的VLAN接口，並為該接口配置IP地址。AP將獲取該IP地址與AC建立CAPWAP隧道。
<AC> system-view
[AC] vlan 100
[AC-vlan100] quit
[AC] interface vlan-interface 100
[AC-Vlan-interface100] ip address 192.168.0.1 24
[AC-Vlan-interface100] quit
# 創建VLAN 200及其對應的VLAN接口，並為該接口配置IP地址。Client將使用該VLAN接入無線網絡。
[AC] vlan 200
[AC-vlan200] quit
[AC] interface vlan-interface 200
[AC-Vlan-interface200] ip address 192.168.1.1 24
[AC-Vlan-interface200] quit
# 創建VLAN 300及其對應的VLAN接口，並為該接口配置IP地址。AC將使用該VLAN進行動態地址轉換。
[AC] vlan 300
[AC-vlan300] quit
[AC] interface vlan-interface 300
[AC-Vlan-interface300] ip address 202.38.1.1 24
[AC-Vlan-interface300] quit
# 配置AC與Switch相連的GigabitEthernet1/0/1接口的屬性為Trunk，允許VLAN 100和VLAN 200通過。
[AC] interface gigabitethernet 1/0/1
[AC-GigabitEthernet1/0/1] port link-type trunk
[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200
[AC-GigabitEthernet1/0/1] quit
# 配置AC與Internet相連的GigabitEthernet1/0/2接口的屬性為Access，允許VLAN300通過。
[AC] interface gigabitethernet 1/0/2
[AC-GigabitEthernet1/0/2] port access vlan 300
[AC-GigabitEthernet1/0/2] quit
(2) 配置無線服務
# 創建無線服務模板1，並進入無線服務模板視圖。
[AC] wlan service-template 1
# 配置SSID為service。
[AC-wlan-st-1] ssid service
# 配置身份認證與密鑰管理模式為PSK模式，配置PSK密鑰為明文字符串12345678。
[AC-wlan-st-1] akm mode psk
[AC-wlan-st-1] preshared-key pass-phrase simple 12345678
# 配置加密套件為CCMP，安全信息元素為RSN。
[AC-wlan-st-1] cipher-suite ccmp
[AC-wlan-st-1] security-ie rsn
# 配置無線客戶端的數據報文轉發位置在AC上。（如果客戶端數據報文的缺省轉發位置與本配置相同，請跳過此步驟）
[AC-wlan-st-1] client forwarding-location ac
# 開啟無線服務模板。
[AC-wlan-st-1] service-template enable
[AC-wlan-st-1] quit
(3) 配置AP
在大規模組網時，推薦在AP組內進行配置。
# 創建AP，配置AP名稱為officeap，型號名稱選擇WA6320，並配置序列號219801A28N819CE0002T。
[AC] wlan ap officeap model WA6320
[AC-wlan-ap-officeap] serial-id 219801A28N819CE0002T
# 創建AP組group1，並配置AP名稱入組規則。
[AC] wlan ap-group group1
[AC-wlan-ap-group-group1] ap officeap
# 將無線服務模板1綁定到AP組group1下的Radio 2上。
[AC-wlan-ap-group-group1] ap-model WA6320
[AC-wlan-ap-group-group1-ap-model-WA6320] radio 2
[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] service-template 1 vlan 200
# 開啟Radio 2的射頻功能。
[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] radio enable
[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] quit
[AC-wlan-ap-group-group1-ap-model-WA6320] quit
[AC-wlan-ap-group-group1] quit
(4) 配置動態地址轉換
# 配置地址組0，包含兩個外網地址202.38.1.2和202.38.1.3。
[AC] nat address-group 0
[AC-address-group-1] address 202.38.1.2 202.38.1.3
[AC-address-group-1] quit
# 配置ACL 2000，僅允許對內部網絡中192.168.1.0/24網段的用戶報文進行地址轉換。
[AC] acl basic 2000
[AC-acl-ipv4-adv-2000] rule permit source 192.168.1.0 0.0.0.255
[AC-acl-ipv4-adv-3000] quit
# 在接口Vlan-interface300上配置出方向動態地址轉換，允許使用地址組0中的地址對匹配ACL 2000的報文進行源地址轉換，並在轉換過程中使用端口信息。
[AC] interface vlan-interface 300
[AC-Vlan-interface300] nat outbound 2000 address-group 0
[AC-Vlan-interface300] quit
# 創建VLAN 100，用於轉發AC和AP間CAPWAP隧道內的流量。
<Switch> system-view
[Switch] vlan 100
[Switch-vlan100] quit
# 創建VLAN 200，用於轉發Client無線報文。
[Switch] vlan 200
[Switch-vlan200] quit
# 配置Switch與AC相連的GigabitEthernet1/0/1接口的屬性為Trunk，允許VLAN 100和VLAN 200通過。
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type trunk
[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200
[Switch-GigabitEthernet1/0/1] quit
# 配置Switch與AP相連的GigabitEthernet1/0/2接口屬性為Access，並允許VLAN 100通過。
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type access
[Switch-GigabitEthernet1/0/2] port access vlan 100
# 使能PoE功能。
[Switch-GigabitEthernet1/0/2] poe enable
[Switch-GigabitEthernet1/0/2] quit
上述配置完成後，當192.168.1.0/24網段的用戶訪問Internet時，會進行動態NAT轉換。在AC上使用 display nat session verbose命令，可以看到客戶端訪問外網時生成的NAT會話信息。
[AC] display nat session verbose
Slot 1:
Initiator:
Source IP/port: 192.168.1.2/1628
Destination IP/port: 202.38.1.100/21
DS-Lite tunnel peer: -
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: Vlan-interface200
Responder:
Source IP/port: 202.38.1.100/21
Destination IP/port: 202.38.1.2/1024
DS-Lite tunnel peer: -
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: Vlan-interface300
State: TCP_ESTABLISHED
Application: FTP
Start time: 2015-11-28 16:54:35 TTL: 2699s
Initiator->Responder: 1 packets 84 bytes
Responder->Initiator: 1 packets 84 bytes
Total sessions found: 1 s
· AC：
#
vlan 100
#
vlan 200
#
vlan 300
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 100 200
#
interface GigabitEthernet1/0/2
port access vlan 300
#
wlan service-template 1
ssid service
client forwarding-location ac
akm mode psk
preshared-key pass-phrase cipher $c$3$N//5BVbsOqdBTxi+7MJZKT6Zqh5MAmYs2ZzM
cipher-suite ccmp
security-ie rsn
service-template enable
#
interface Vlan-interface100
ip address 192.168.0.1 255.255.255.0
#
interface Vlan-interface200
ip address 192.168.1.1 255.255.255.0
#
interface Vlan-interface300
ip address 202.38.1.1 255.255.255.0
nat outbound 2000 address-group 1
#
acl basic 2000
rule 0 permit source 192.168.1.0 0.0.0.255
#
nat address-group 0
address 202.38.1.2 202.38.1.3
#
wlan ap-group group1
ap officeap
ap-model WA6320
radio 2
service-template 1 vlan 200
radio enable
#
wlan ap officeap model WA6320
serial-id 219801A28N819CE0002T
#
· Switch：
#
vlan 100
#
vlan 200
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 100 200
#
interface GigabitEthernet1/0/2
port link-type access
port access vlan 100
poe enable
· 《H3C 無線控製器產品 配置指導》中的“網絡互通配置指導”。
· 《H3C 無線控製器產品 命令參考》中的“網絡互通命令參考”。
· 《H3C 無線控製器產品 配置指導》中的“WLAN接入配置指導”。
· 《H3C 無線控製器產品 命令參考》中的“WLAN接入命令參考”。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
