• 產品與解決方案
  • 行業解決方案
  • 服務
  • 支持
  • 合作夥伴
  • 關於我們

05-NAT配置指導

目錄

02-NAT66配置

本章節下載 02-NAT66配置  (265.45 KB)

02-NAT66配置


1 NAT66

1.1  NAT66簡介

NPTv6(IPv6-to-IPv6 Network Prefix Translation,IPv6-to-IPv6網絡前綴轉換)是基於IPv6網絡的地址轉換技術,用於將IPv6報文中的IPv6地址前綴轉換為另一個IPv6地址前綴。我們將這種地址轉換方式稱為NAT66。支持NAT66功能的設備稱為NAT66設備,可提供NAT66源地址轉換功能和目的地址轉換功能。

1.1.1  IPv6源地址轉換的前綴映射

NAT66源地址轉換功能主要應用在如下場景中:

·     單個內部網絡和外部網絡。使用NAT66設備連接單個內部網絡和公網,內部網絡中的主機使用僅支持在本地範圍內路由的IPv6地址前綴。當內部網絡中的主機訪問外部網絡時,報文中的源IPv6地址前綴將被NAT66設備轉換為全球單播IPv6地址前綴。

·     冗餘和負載分擔。一個IPv6網絡去往另外一個IPv6網絡的邊緣位置存在多個NAT66設備,通過NAT66設備去往另一個IPv6網絡的路徑形成了等價路由,流量可以在這些NAT66設備上進行負載分擔。這種情況下,可以在這些NAT66設備上配置相同的源地址轉換規則,使得任意一台NAT66設備都可以處理不同站點間的IPv6流量。

·     多宿主。在多宿主的網絡環境中,NAT66設備連接一個內部網絡,同時連接到不同的外部網絡。可以在NAT66設備的各個外網側接口上配置地址轉換,將同一個內網地址轉換成不同的外網地址,實現同一個內部地址到多個外部地址的映射。

1.1.2  IPv6目的地址轉換的前綴映射

NAT66目的地址轉換功能用於內網中的服務器對外部網絡提供服務的場景中,例如給外部網絡提供Web服務,或是FTP服務。通過在NAT66設備外網側接口上配置內部服務器地址和外網地址的映射關係,外部網絡用戶能夠通過指定的外網地址來訪問內網服務器。

1.2  NAT66支持ALG

ALG(Application Level Gateway,應用層網關)主要完成對應用層報文的解析和處理。通常情況下,NAT66隻對報文頭中的IPv6地址和端口信息進行轉換,不對應用層數據載荷中的字段進行分析和處理。然而對於一些應用層協議,它們的報文的數據載荷中可能包含IPv6地址或端口信息,這些載荷信息也必須進行有效的轉換,否則可能導致功能不正常。

例如,FTP(File Transfer Protocol,文件傳輸協議)應用由FTP客戶端與FTP服務器之間建立的數據連接和控製連接共同實現,而數據連接使用的地址和端口由控製連接協商報文中的載荷信息決定,這就需要ALG利用NAT的相關轉換配置完成載荷信息的轉換,以保證後續數據連接的正確建立。

目前,NAT66支持對FTP報文和ICMP差錯報文進行ALG處理。

1.3  NAT66支持HA聯動虛擬地址組網

在HA聯動虛擬地址(虛擬地址也稱為浮動地址)的高可靠性組網中,完成NAT66轉換配置後,HA中的主、備NAT66設備均會向同一局域網內的所有節點通告轉換配置中轉換後的IPv6地址與自身物理接口MAC地址的對應關係。導致與HA直連的上行三層設備可能會將下行報文發送給HA中的沒有業務處理能力的備設備,從而影響業務的正常運行。

為了避免上述情況的發生,僅HA中的主NAT66設備會主動通告轉換後的IPv6地址與MAC地址的對應關係,其中的MAC地址為虛擬地址對應的虛擬MAC地址。

與HA直連的上行三層設備接收到主設備發送的地址解析響應報文後,更新IP地址與MAC地址的映射關係。後續該設備發送目的IP地址為轉換配置中轉換後的IP地址的下行報文時,使用虛擬MAC地址來封裝報文,然後發送到具有業務處理能力的主NAT66設備,從而保證業務的正常運行。

1.4  配置IPv6源地址轉換的前綴映射關係

1. 配置限製和指導

在同一個接口下,一個內網地址前綴和一個外網地址前綴必須是一對一的唯一映射關係。

不同接口下,不同的內網地址前綴不能映射到同一個外網地址前綴。

使用不進行端口轉換的源地址轉換方式時,需要保證轉換前後的源IPv6地址前綴長度一致。

轉換後的源IPv6地址前綴不能與NAT66設備的外網地址前綴以及目的外網地址前綴相同。

可以使用全局NAT策略實現IPv6源地址的前綴映射。關於全局NAT策略實現IPv6源地址前綴映射的詳細介紹,請參見“NAT配置指導”中的“配置NAT”。

不支持對AH和ESP協議的報文進行NAT66源地址轉換。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置IPv6源地址轉換的前綴映射關係。

nat66 prefix source original-ipv6-prefix prefix-length [ vpn-instance original-vpn-instance-name ] translated-ipv6-prefix prefix-length [ vpn-instance translated-vpn-instance-name ] [ pat ]

缺省情況下,未配置IPv6源地址轉換前綴映射關係。

1.5  配置IPv6目的地址轉換的前綴映射關係

1. 配置限製和指導

在同一個接口下,一個內網地址前綴和一個外網地址前綴必須是一對一的唯一映射關係。

不同接口下,同一個外網地址前綴不能映射為不同的內網地址前綴。

內部服務器向外提供服務時對外公布的外網IPv6地址前綴不能與NAT66設備的外網地址前綴以及訪問內部服務器的外網主機地址前綴相同。

可以使用全局NAT策略實現IPv6目的地址的前綴映射。關於全局NAT策略實現IPv6目的地址前綴映射的詳細介紹,請參見“NAT配置指導”中的“配置NAT”。

不支持對AH和ESP協議的報文進行NAT66目的地址轉換。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置IPv6目的地址轉換的前綴映射關係。

nat66 prefix destination [ protocol pro-type ] original-ipv6-prefix prefix-length [ global-port ] [ vpn-instance original-vpn-instance-name ] translated-ipv6-prefix prefix-length [ local-port ] [ vpn-instance translated-vpn-instance-name ]

缺省情況下,未配置IPv6目的地址轉換的前綴映射關係。

1.6  NAT66顯示和維護

表1-1 NAT66顯示和維護

操作

命令

顯示所有的NAT66配置信息

display nat66 all

顯示NAT66會話,即經過NAT66地址轉換處理的會話

display nat66 session [ [ responder ] { source-ip source-ip-start [ source-ip-end ] | destination-ip destination-ip-start [ destination-ip-end ] | source-port source-port | destination-port destination-port | protocol { dccp | icmpv6 | raw-ip | sctp | tcp | udp | udp-lite } | application application-name | state { dccp-closereq | dccp-closing | dccp-open | dccp-partopen | dccp-request | dccp-respond | dccp-timewait | icmpv6-reply | icmpv6-request | rawip-open | rawip-ready | sctp-closed | sctp-cookie-echoed | sctp-cookie-wait | sctp-established | sctp-shutdown-ack-sent | sctp-shutdown-recd | sctp-shutdown-sent | tcp-close | tcp-close-wait | tcp-est | tcp-fin-wait | tcp-last-ack | tcp-syn-recv | tcp-syn-sent | tcp-syn-sent2 | tcp-time-wait | udp-open | udp-ready | udplite-open | udplite-ready } | interface { interface-name | interface-type interface-number } } * [ vpn-instance vpn-instance-name ] [ slot slot-number ] [ verbose ]

顯示NAT66統計信息

display nat66 statistics [ summary ] [ slot slot-number  ]

刪除NAT66會話

reset nat66 session [ slot slot-number ]

 

1.7  NAT66典型配置舉例

1.7.1  IPv6內網用戶通過轉換後的地址前綴訪問外網配置舉例(單個內部網絡和外部網絡)

1. 組網需求

某公司為了隱藏內部網絡,為用戶分配的IPv6地址的前綴為FD01:0203:0405::/48,使用該地址前綴的IPv6地址為唯一本地地址,不可在互聯網上路由。為了使內網網絡用戶能夠訪問互聯網上的FTP服務器,將內網用戶使用的IPv6地址前綴轉換為2001:0DF8:0001::/48。

2. 組網圖

圖1-1 IPv6內網用戶通過轉換後的地址前綴訪問外網配置組網圖

 

3. 配置步驟

(1)     配置接口IPv6地址

# 根據組網圖中規劃的信息,配置各接口的IPv6地址,具體配置步驟如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ipv6 address FD01:0203:0405::10 48

[Device-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址,具體配置步驟略。

(2)     配置靜態路由

本舉例僅以靜態路由方式配置路由信息。實際組網中,請根據具體情況選擇相應的路由配置方式。

# 請根據組網圖中規劃的信息,配置靜態路由,本舉例假設到達FTP服務器所在網絡的下一跳IP地址為2001:0DB8:0001::11,實際使用中請以具體組網情況為準,具體配置步驟如下。

[Device] ipv6 route-static 2001:0DC8:0001::100 48 2001:0DB8:0001::11

(3)     將接口加入安全域

# 請根據組網圖中規劃的信息,將接口加入對應的安全域,具體配置步驟如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置安全策略

# 配置名稱為trust-untrust的安全策略,保證Trust安全域內的Host A和Host B可以訪問Internet中的FTP Server,具體配置步驟如下。

[Device] security-policy ipv6

[Device-security-policy-ipv6] rule 1 name trust-untrust

[Device-security-policy-ipv6-1-trust-untrust] source-zone trust

[Device-security-policy-ipv6-1-trust-untrust] destination-zone untrust

[Device-security-policy-ipv6-1-trust-untrust] source-ip-host FD01:0203:0405::1

[Device-security-policy-ipv6-1-trust-untrust] source-ip-host FD01:0203:0405::2

[Device-security-policy-ipv6-1-trust-untrust] destination-ip-host 2001:0DC8:0001::100

[Device-security-policy-ipv6-1-trust-untrust] action pass

[Device-security-policy-ipv6-1-trust-untrust] quit

[Device-security-policy-ipv6] quit

(5)     配置NAT66前綴轉換功能

# 配置IPv6源地址轉換的前綴映射關係,將IPv6地址前綴FD01:0203:0405::/48轉換為2001:0DF8:0001::/48。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] nat66 prefix source fd01:0203:0405:: 48 2001:0df8:0001:: 48

[Device-GigabitEthernet1/0/2] quit

4. 驗證配置

# 以上配置完成後,內網主機能夠訪問FTP server。通過查看如下顯示信息,可以驗證以上配置成功。

[Device] display nat66 all

NAT66 source information:

  Totally 1 source rules.

  Interface(outbound): GigabitEthernet1/0/2

    Original prefix/prefix-length: FD01:203:405::/48

    Translated prefix/prefix-length: 2001:DF8:1::/48

# 通過以下顯示命令,可以看到內部主機訪問外部FTP server時生成NAT66會話信息。

<Device> display nat66 session verbose

Slot 1:

Initiator:

  Source      IP/port: FD01:203:405::1/56002

  Destination IP/port: 2001:DC8:1::100/21

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Trust

Responder:

  Source      IP/port: 2001:DC8:1::100/21

  Destination IP/port: 2001:DF8:1:D50F::1/56002

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Untrust

State: TCP_ESTABLISHED

Application: FTP

Rule ID: 1

Rule name: 1

Start time: 2018-12-06 14:48:31  TTL: 3597s

Initiator->Responder:            0 packets          0 bytes

Responder->Initiator:            0 packets          0 bytes

 

Total sessions found: 1

1.7.2  IPv6內網用戶通過轉換後的地址前綴訪問外網配置舉例(多宿主)

1. 組網需求

某公司為了隱藏內部網絡,為用戶分配的IPv6地址的前綴為FD01:0203:0405::/48,使用該地址前綴的IPv6地址為唯一本地地址,不可在互聯網上路由。

兩台NAT66設備連接同一個內部網絡,同時連接到不同的外部網絡。分別在兩台NAT66設備的外網側接口上配置地址轉換,將同一個內網地址轉換成不同的外網地址,實現同一個內部地址到多個外部地址的映射。

2. 組網圖

圖1-2 IPv6內網用戶通過轉換後的地址前綴訪問外網配置組網圖(多宿主)

3. 配置Device A

(1)     配置接口IPv6地址

# 根據組網圖中規劃的信息,配置各接口的IPv6地址,具體配置步驟如下。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ipv6 address FD01:0203:0405::10 48

[DeviceA-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址,具體配置步驟略。

(2)     配置路由

本舉例僅以靜態路由方式配置路由信息。實際組網中,請根據具體情況選擇相應的路由配置方式。

# 請根據組網圖中規劃的信息,配置靜態路由,本舉例假設到達FTP服務器所在網絡的下一跳IP地址為2001:0DB8:0001::11,實際使用中請以具體組網情況為準,具體配置步驟如下。

[DeviceA] ipv6 route-static 2001:0DC8:0001::100 48 2001:0DB8:0001::11

(3)     將接口加入安全域

# 請根據組網圖中規劃的信息,將接口加入對應的安全域,具體配置步驟如下。

[DeviceA] security-zone name trust

[DeviceA-security-zone-Trust] import interface gigabitethernet 1/0/1

[DeviceA-security-zone-Trust] quit

[DeviceA] security-zone name untrust

[DeviceA-security-zone-Untrust] import interface gigabitethernet 1/0/2

[DeviceA-security-zone-Untrust] quit

(4)     配置安全策略

# 配置名稱為trust-untrust的安全策略,保證Trust安全域內的Host 可以訪問Internet中的FTP Server,具體配置步驟如下。

[DeviceA] security-policy ipv6

[DeviceA-security-policy-ipv6] rule name trust-untrust

[DeviceA-security-policy-ipv6-1-trust-untrust] source-zone trust

[DeviceA-security-policy-ipv6-1-trust-untrust] destination-zone untrust

[DeviceA-security-policy-ipv6-1-trust-untrust] source-ip-host FD01:0203:0405::1

[DeviceA-security-policy-ipv6-1-trust-untrust] destination-ip-host 2001:0DC8:0001::100

[DeviceA-security-policy-ipv6-1-trust-untrust] action pass

[DeviceA-security-policy-ipv6-1-trust-untrust] quit

[DeviceA-security-policy-ipv6] quit

(5)     配置NAT66前綴轉換功能

# 配置IPv6源地址轉換的前綴映射關係,將IPv6地址前綴FD01:0203:0405::/48轉換為2001:0DF8:0001::/48。

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] nat66 prefix source fd01:0203:0405:: 48 2001:0df8:0001:: 48

[DeviceA-GigabitEthernet1/0/2] quit

4. 配置Device B

(1)     配置接口IPv6地址

# 根據組網圖中規劃的信息,配置各接口的IPv6地址,具體配置步驟如下。

<DeviceB> system-view

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] ipv6 address FD01:0203:0405::20 48

[DeviceB-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址,具體配置步驟略。

(2)     配置靜態路由

本舉例僅以靜態路由方式配置路由信息。實際組網中,請根據具體情況選擇相應的路由配置方式。

# 請根據組網圖中規劃的信息,配置靜態路由,本舉例假設到達FTP服務器所在網絡的下一跳IP地址為2001:0DB8:5555::11,實際使用中請以具體組網情況為準,具體配置步驟如下。

[DeviceB] ipv6 route-static 2001:0DC8:0001::100 48 2001:0DB8:5555::11

(3)     將接口加入安全域

# 請根據組網圖中規劃的信息,將接口加入對應的安全域,具體配置步驟如下。

[DeviceB] security-zone name trust

[DeviceB-security-zone-Trust] import interface gigabitethernet 1/0/1

[DeviceB-security-zone-Trust] quit

[DeviceB] security-zone name untrust

[DeviceB-security-zone-Untrust] import interface gigabitethernet 1/0/2

[DeviceB-security-zone-Untrust] quit

(4)     配置安全策略

# 配置名稱為trust-untrust的安全策略,保證Trust安全域內的Host 可以訪問Internet中的FTP Server,具體配置步驟如下。

[DeviceB] security-policy ipv6

[DeviceB-security-policy-ipv6] rule name trust-untrust

[DeviceB-security-policy-ipv6-1-trust-untrust] source-zone trust

[DeviceB-security-policy-ipv6-1-trust-untrust] destination-zone untrust

[DeviceB-security-policy-ipv6-1-trust-untrust] source-ip-host FD01:0203:0405::1

[DeviceB-security-policy-ipv6-1-trust-untrust] destination-ip-host 2001:0DC8:0001::100

[DeviceB-security-policy-ipv6-1-trust-untrust] action pass

[DeviceB-security-policy-ipv6-1-trust-untrust] quit

[DeviceB-security-policy-ipv6] quit

(5)     配置NAT66前綴轉換功能

# 配置IPv6源地址轉換的前綴映射關係,將IPv6地址前綴FD01:0203:0405::/48轉換為2001:0DE8:0001::/48。

[DeviceB] interface gigabitethernet 1/0/2

[DeviceB-GigabitEthernet1/0/2] nat66 prefix source fd01:0203:0405:: 48 2001:0de8:0001:: 48

[DeviceB-GigabitEthernet1/0/2] quit

5. 驗證配置

以上配置完成後,內網主機能夠通過Device A或Device B訪問FTP server。對於內網主機經由不同的NAT66設備到達FTP服務器的報文,映射後的結果不同。同時,從FTP服務器經由不同的NAT66設備到達內網主機的報文,均會被NAT66設備映射為相同的IPv6地址,該地址即為內網主機的唯一本地地址。

# 在Device A上通過查看如下顯示信息,可以驗證以上配置成功。

[DeviceA] display nat66 all

NAT66 source information:

  Totally 1 source rules.

  Interface(outbound): GigabitEthernet1/0/2

    Original prefix/prefix-length: FD01:203:405::/48

    Translated prefix/prefix-length: 2001:DF8:1::/48

# 在Device B上通過查看如下顯示信息,可以驗證以上配置成功。

[DeviceB] display nat66 all

NAT66 source information:

  Totally 1 source rules.

  Interface(outbound): GigabitEthernet1/0/2

    Original prefix/prefix-length: FD01:203:405::/48

    Translated prefix/prefix-length: 2001:DE8:1::/48

# 在Device A上查看內部主機訪問外部FTP server時生成NAT66會話信息。

[DeviceA] display nat66 session verbose

Slot 1:

Initiator:

  Source      IP/port: FD01:203:405::1/35990

  Destination IP/port: 2001:DC8:1::100/21

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Trust

Responder:

  Source      IP/port: 2001:DC8:1::100/21

  Destination IP/port: 2001:DF8:1:D50F::1/35990

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Trust

State: TCP_ESTABLISHED

Application: FTP

Rule ID: 0

Rule name: aaa

Start time: 2021-10-31 14:47:44  TTL: 3584s

Initiator->Responder:            0 packets          0 bytes

Responder->Initiator:            0 packets          0 bytes

 

Total sessions found: 1

# 在Device B上查看內部主機訪問外部FTP server時生成NAT66會話信息。

[DeviceB] display nat66 session verbose

Slot 1:

Initiator:

  Source      IP/port: FD01:203:405::1/35992

  Destination IP/port: 2001:DC8:1::100/21

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Trust

Responder:

  Source      IP/port: 2001:DC8:1::100/21

  Destination IP/port: 2001:DE8:1:D51F::1/35992

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Trust

State: TCP_ESTABLISHED

Application: FTP

Rule ID: 0

Rule name: aaa

Start time: 2021-10-31 14:50:03  TTL: 3594s

Initiator->Responder:            0 packets          0 bytes

Responder->Initiator:            0 packets          0 bytes

 

Total sessions found: 1

 

1.7.3  IPv6外網用戶通過轉換後的地址前綴訪問內網服務器配置舉例

1. 組網需求

某公司內部對外提供FTP服務。公司內部使用的IPv6地址前綴為FD01:0203:0405::/48。其中,內部FTP服務器地址為FD01:0203:0405::100/48。需要實現如下功能:

·     外部的主機可以訪問內部的FTP服務器。

·     使用2001: AB01:0001::1作為公司對外提供服務的IPv6地址。

2. 組網圖

圖1-3 IPv6外網用戶通過轉換後的地址前綴訪問內網服務器配置組網圖

 

3. 配置步驟

(1)     配置接口IPv6地址

# 根據組網圖中規劃的信息,配置各接口的IPv6地址,具體配置步驟如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ipv6 address FD01:0203:0405::10 48

[Device-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址,具體配置步驟略。

(2)     將接口加入安全域

# 請根據組網圖中規劃的信息,將接口加入對應的安全域,具體配置步驟如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(3)     配置安全策略

# 配置名稱為untrust-trust的安全策略,保證Internet中的主機可以訪問Trust安全域內的FTP Server,具體配置步驟如下。

[Device] security-policy ipv6

[Device-security-policy-ipv6] rule 1 name untrust-trust

[Device-security-policy-ipv6-1-untrust-trust] source-zone untrust

[Device-security-policy-ipv6-1-untrust-trust] destination-zone trust

[Device-security-policy-ipv6-1-untrust-trust] destination-ip-host FD01:0203:0405::100

[Device-security-policy-ipv6-1-untrust-trust] action pass

[Device-security-policy-ipv6-1-untrust-trust] quit

[Device-security-policy-ipv6] quit

(4)     配置NAT66前綴轉換功能

# 配置IPv6目的地址轉換的前綴映射關係,將IPv6地址前綴2001:AB01:0001::1/128轉換為FD01:0203:0405::100/128。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] nat66 prefix destination 2001:ab01:1::1 128 fd01:203:405::100 128

[Device-GigabitEthernet1/0/2] quit

4. 驗證配置

# 以上配置完成後,外部主機能夠訪問FTP server。通過查看如下顯示信息,可以驗證以上配置成功。

[Device] display nat66 all

NAT66 destination information:

  Totally 1 destination rules.

  Interface(inbound): GigabitEthernet1/0/2

    Original prefix/prefix-length: 2001:AB01:1::1/128

    Translated prefix/prefix-length: FD01:203:405::100/128

# 通過以下顯示命令,可以看到外部主機訪問內部FTP server時生成NAT會話信息。

[Device] display nat66 session verbose

Slot 1:

Initiator:

  Source      IP/port: 2001:DC8:1::100/9025

  Destination IP/port: 2001:AB01:1::1/21

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Untrust

Responder:

  Source      IP/port: FD01:203:405::100/21

  Destination IP/port: 2001:DC8:1::100/9025

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Trust

State: TCP_ESTABLISHED

Application: FTP

Rule ID: 1

Rule name: 1

Start time: 2018-12-06 14:56:03  TTL: 3579s

Initiator->Responder:            0 packets          0 bytes

Responder->Initiator:            0 packets          0 bytes

 

Total sessions found: 1

 

不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!

BOB登陆
官網
聯係我們