华为2600路由器配置

qgxrpfqynr

以前从未接触过网络设备配置，这一次也仅仅只是为现实需求，在网上查了些资料，再结合实践应用，将这一点点的经验作个备忘。
 
eth0内网接口，eth1公网接口，公网ip：123.123.123.123
 
1、端口映射

int eth1
nat server global 123.123.123.123 www inside 192.168.1.4 www tcp
此时外网用户已可以通过公网IP访问，但内网用户只能用内网IP访问。貌似华为中低档路由都有这个问题。
 
 
2、分时段限制可访问端口

acl 3000
rule special deny tcp source any destination any destination-port greater-than 1024
rule special deny udp source any destination any destination-port greater-than 1024
quit
int eth1
firewall packet-filter 3000 outbound
quit
settr 08:00 11:30 14:00 17:30
timerange enable
firewall enable
实现了出口包过滤，禁止在上班时间访问1024以上端口。这里总结实现过滤的三要素：a、定义了acl规则。b、绑定了规则。c、开启了防火墙。
 
 
3、normal和special不同时生效
当我开启timerange enable后，发现内网用户不能上网了，后来注意到eth1中有

nat outbound 2001 address-group MYPOOL
查看acl 2001
 

rule normal permit source 10.100.10.0 0.0.0.255
　　
当采用分时段过滤时，normal在非时间区域生效，special在时间区域生效，两者不会同时有效。所以增加
 

rule special permit source 10.100.10.0 0.0.0.255
　　
 
 
4、出口限制的影响
当我在eth1的出口方向禁止访问1024以上端口后，发出外部用户无法访问内部web服务了。
当外部用户234.234.234.234访问时，路由器eth1出口方向有如下记录：
source 192.168.1.4 source-port 80 destination 234.234.234.234 destination-port 1592
当然destination-port很可能不是1592，但一定是大于1024的，所以据前面的规则，路由器会将返回给外部用户234.234.234.234的数据丢弃。
解决这个问题只需在acl 3000增加
 

rule special permit tcp source 192.168.1.4 0.0.0.0 destination any