Настройка nat на роутере huawei

Обновлено: 19.09.2024

Нажмите Применить , чтобы настройки вступили в силу.

Процедуры

Выберите Настройки > Безопасность > Виртуальный сервер .

Нажмите Добавить и задайте параметры.

Нажмите OK для сохранения настроек.

Изменить : для изменения пункта.

Удалить : для удаления пункта.

Нажмите Применить , чтобы настройки вступили в силу.

Конфигурация FTP сервера

Чтобы разрешить клиенту с IP-адресом 192.168.8.101 предоставлять услуги FTP и возможность подключиться к нему внешним пользователям, сделайте следующее:

Сконфигурируйте виртуальный сервер.

IP-адрес LAN

Выберите Настройки > Система > Информация об устройстве , посмотрите глобальный IP-адрес Huawei B315s-22 . Например, 10.2.1.123.

В браузере внешнего пользователя, введите адрес FTP сервера ( ftp://10.2.1.123 ) и подключитесь к FTP услугам, предоставляемым клиентом с IP-адресом 192.168.8.101.

По умолчанию, порт для услуг FTP - 21. Если этот порт изменен (например, на 8021), то внешний пользователь должен ввести ftp://10.2.1.123:8021 для подключения к FTP серверу.

Конфигурирование специальных приложений
Mobile Broadband поддерживает функцию для использования специальных приложений для конфигурирования передачи динамического порта. Определенные приложения в локальной сети должны использовать специальные порты брандмауэра для подключения к удаленным приложениям. Для настройки соединения TCP/UDP между приложением локальной сети и удаленным приложением, брандмауэр использует функцию передачи динамического порта для открытия требуемого порта.

Mobile Broadband поддерживает функцию для использования специальных приложений для конфигурирования передачи динамического порта. Определенные приложения в локальной сети должны использовать специальные порты брандмауэра для подключения к удаленным приложениям. Для настройки соединения TCP/UDP между приложением локальной сети и удаленным приложением, брандмауэр использует функцию передачи динамического порта для открытия требуемого порта.

Процедуры

Выберите Настройки > Безопасность > Специальные приложения .

Нажмите Добавить и задайте параметры.

Нажмите OK для сохранения настроек.

Изменить : для изменения пункта.

Удалить : для удаления пункта.

Нажмите Применить , чтобы настройки вступили в силу.

Пример конфигурирования специального приложения

Клиент LAN использует TCP для подключения к игровому серверу MSN через порт 47624. Когда игра началась, игровой сервер использует TCP и порт 2400 для установки соединения с клиентом пытающимся подключиться к серверу. В этом случае вы должны сконфигурировать передачу динамического порта, поскольку игра конфликтует со следующими правилами брандмауэра:

Брандмауэр блокирует вход внешних данных.

Игровой сервер может послать запрос на соединение к внешнему IP-адресу Huawei B315s-22 , но не может послать запрос клиенту LAN, который пытается подключиться к игровому серверу, поскольку IP-адрес клиента закрыт для внешних устройств.

Для решения проблемы надо определить набор правил для передачи. Когда клиент в LAN посылает данные на TCP порт 47624, правила разрешают ввод данных с TCP порта 2400. После чего данные от игрового сервера могут приниматься и передаваться клиенту LAN, посылающего данные на TCP порт 47624.

Продолжая просмотр сайта и(или) нажимая X , я соглашаюсь с использованием файлов cookie владельцем сайта в соответствии с Политикой в отношении файлов cookie в том числе на передачу данных, указанных в Политике, третьим лицам (статистическим службам сети Интернет), в соответствии с Пользовательским соглашением >X

Your browser version is too early. Some functions of the website may be unavailable. To obtain better user experience, upgrade the browser to the latest version.

Продукты, решения и услуги для организаций

Чтобы помочь вам лучше понять содержимое этого документа, компания Huawei перевела его на разные языки, используя машинный перевод, отредактированный людьми. Примечание: даже самые передовые программы машинного перевода не могут обеспечить качество на уровне перевода, выполненного профессиональным переводчиком. Компания Huawei не несет ответственность за точность перевода и рекомендует ознакомиться с документом на английском языке (по ссылке, которая была предоставлена ранее).

Пример настройки прохождения NAT (NAT-T) между AC и AP

Требования к службе

Пользователи предприятия могут получить доступ к сети через WLAN, что является основным требованием мобильного офиса. Кроме того, службы пользователей не затрагиваются во время роуминга в зоне покрытия.

АР находятся в филиале предприятия, а АС - в головном офисе. Администраторы требуют единого управления AP с помощью AC. Таким образом, NAT-T настраивается между AC и AP для сохранения общедоступных IP-адресов предприятия.

Требования к сети

Режим сети AC: NAT-T между AC в головном офисе и точками доступа (AP) в филиале
Режим развертывания DHCP: Router_1 функционирует как DHCP-сервер, чтобы назначить IP-адреса для AP и STA.
Режим переадресации сервисных данных: прямая переадресация

Рис. 3-20 Сеть для настройки прохождения NAT (NAT-T) между AC и AP

План данных

Управляющая VLAN для AP

Сервисная VLAN для STA

Router_1 функционирует как DHCP-сервер, чтобы назначить IP-адреса для AP и STA.

Пул IP-адресов для AP

Пул IP-адресов для STA

Адрес исходного интерфейса AC

VLANIF 200: 10.23.200.1/24

Ссылочные профили: Профиль VAP wlan-net и профиль регулятивного домена default

Профиль регулятивного домена

Имя SSID: wlan-net

Политика безопасности: WPA-WPA2+PSK+AES

Режим переадресации: прямая переадресация

Сервисная VLAN: VLAN 101

Ссылочные профили: Профиль SSID wlan-net и профиль безопасности wlan-net

Router_1: переводит частные IP-адреса в сегменте сети 10.23.100.0/24 на общедоступные IP-адреса в сегменте сети 2.2.2.1.

Router_2: переводит частные IP-адреса в сегменте сети 10.23.200.1 на общедоступные IP-адреса в сегменте сети 3.3.3.3.

Схема настройки

Настройте сетевое взаимодействие AC, AP и других сетевых устройств.
Настройте NAT для преобразования адресов.
Настройте AP для входа в сеть.
1. Создайте группу AP и добавьте AP, для которых требуется единообразная конфигурация группы для унифицированной конфигурации.
2. Настройте системные параметры AC, включая код страны и исходный интерфейс, используемые AC для связи с AP.
3. Настройте режим аутентификации AP и импортируйте AP в автономном режиме, чтобы позволить AP входить в сеть.
Примечания по конфигурации
- В режиме прямой переадресации рекомендуется настроить подавление многоадресных пакетов на интерфейсах коммутатора, подключенных к точкам доступа (AP).
- В режиме туннельной переадресации рекомендуется настроить подавление многоадресных пакетов в профилях трафика AC.
Настройте изоляцию портов на интерфейсах устройства, напрямую подключенного к точкам доступа. Если изоляция порта не настроена и используется прямая переадресация, в VLAN может быть создано большое количество ненужных широковещательных пакетов, блокирующих сеть и ухудшающих работу пользователя.

В режиме туннельной переадресации управляющая VLAN и сервисная VLAN не могут быть одинаковыми. Только пакеты из управляющей VLAN передаются между AC и AP. Пакеты из сервисной VLAN не допускаются между AC и AP.

Процедура
- В сценариях пула адресов интерфейса запустите команду dhcp server dns-listip-address &<1-8> в виде интерфейса VLANIF.
- В сценариях пула глобального адреса запустите команду dns-listip-address &<1-8> в виде пула IP-адресов.
Режим аутентификации AP по умолчанию - это аутентификация MAC-адреса. Если настройки по умолчанию сохранены, не нужно запускать команду ap auth-mode mac-auth .

В этом примере используется AP5030DN и имеет два Radio: Radio 0 и Radio 1. Radio 0 и Radio 1 работают соответственно на частоте 2.4 ГГц и 5 ГГц.

AC автоматически доставляет конфигурацию службы WLAN в AP. После завершения настройки запустите команду display vap ssid wlan-net . Если поле Status отображается как ON , VAP успешно созданы на AP Radio.

Подключите STA к WLAN с помощью SSID wlan-net и введите пароль a1234567 . Запустите команду display station ssid wlan-net на AC. Вывод команды показывает, что STA подключены к WLAN wlan-net .

Подробная информация о стратегии и настройке NAT межсетевого экрана Huawei

Использование человечеством компьютерных сетей распространилось на различные области, и разработчики компьютерных сетей не могли представить, что Интернет может иметь такие масштабы, в которых он находится сегодня. Любой компьютер, мобильный телефон и смарт-телевизор, подключенные к Интернету, должны иметь юридический IP-адрес, чтобы пользоваться Интернетом. Когда-то считалось, что IP-адреса достаточно для размещения компьютеров мира, но сегодня кажется, что он сильно истощен. Появление IPV6 должно решить проблему недостаточного количества адресов, но прежде, чем IPV6 станет популярным, необходимо перейти на технологию NAT. Появление NAT решает проблему недостаточного количества адресов: он позволяет более 60 000 пользователей в одной локальной сети использовать юридический IP-адрес для одновременного доступа в Интернет. Что касается технологии NAT в оборудовании Cisco, друг, который не совсем понимает, рекомендует эту запись в блоге:Технология трансляции сетевых адресов-NAT Сегодня мы в основном представляем технологию NAT оборудования Huawei.

На границе внутренней и внешней сетей трафик имеет два направления: исходящее и входящее, поэтому технология NAT включает в себя два типа трансляции исходного адреса и трансляции адреса назначения. В общем, преобразование исходного адреса в основном используется для решения сценария доступа компьютеров внутренней локальной сети к Интернету; а преобразование целевого адреса в основном используется для решения сценария доступа пользователей Интернета к серверам локальной сети. Преобразование целевого адреса обычно называется сопоставлением адресов сервера.

Технологией трансляции целевого адреса оборудования Huawei в основном является NAT-сервер, который может быть основан на трансляции IP-адресов или «IP + порт + протокол».

При настройке трансляции Huawei NAT часто настраиваетсяМаршрутизация черной дырыЧтобы решить петлю маршрутизации и большое количество недопустимых пакетов ARP, как его сгенерировать, возможно, в некоторых методах преобразования NAT, чтобы решить проблему подключения внутренней сети к Интернету, отображается общедоступный IP, и общедоступный IP-адрес отображается через сопоставленный общедоступный IP-адрес для доступа в Интернет. Затем, если в это время кто-то обращается к сопоставленному общедоступному IP-адресу через Интернет, возникает петля маршрутизации и большое количество недопустимых пакетов ARP. Уточнение, это очень хлопотно, но решить эти две проблемы очень просто, то есть конфигурацияМаршрутизация черной дыры(Укажите трафик адреса, отображаемого Интернетом для активного доступа к пустому интерфейсу null 0). Таким образом не образуются петли маршрутизации и большое количество пакетов ARP.

Несколько распространенных методов преобразования NAT, которые необходимо настроить маршрутизацией черной дыры, как показано на рисунке:
- NAT-сервер (широкий):Это прямое сопоставление внутреннего сетевого адреса с общедоступным сетевым адресом;
- NAT-сервер (нормально):Он предназначен для сопоставления порта внутреннего сетевого адреса с портом общедоступного сетевого адреса;
1. Решите проблему передачи данных FTP через таблицу Server-map

Брандмауэр Huawei пересылает пакеты данных на основе состояния и строго обеспечивает проверку политики для первого пакета.После разрешения политики будет создана таблица сеанса, и последующие пакеты и отчеты о возврате того же сеанса будут проходить через брандмауэр напрямую, потому что они могут соответствуют таблице сеансов., Никакой дополнительной проверки политики не требуется, что повышает эффективность пересылки. Однако в некоторых случаях только таблица отложенного сеанса не может пересылать трафик определенных специальных приложений. Например: FTP-сервис, схема его работы в активном режиме выглядит следующим образом:

Видно, что когда клиент запрашивает активное соединение с FTP-сервером, проблем не возникает; но когда FTP-сервер инициирует запрос, FTP-соединение не работает. Брандмауэр Huawei решает аналогичные проблемы с помощью таблицы Server-map. Таблица Server-map записывает ключевую информацию уровня приложения, включая целевой адрес, целевой порт и мощность протокола.Как и в таблице сеанса, поток данных, соответствующий таблице Server-map, также может проходить через брандмауэр напрямую, так как показано на рисунке:

Это может решить проблему сбоя подключения к службе FTP, когда FTP-сервер инициирует запрос.

2. Роль таблицы Server-map в NAT.

В дополнение к решению проблем, аналогичных службам FTP, в технологии NAT также используются таблицы Server-map. Когда определенные типы NAT настроены на брандмауэре, на брандмауэре будет сгенерирована таблица карты серверов, и по умолчанию будут созданы две записи карты серверов, а именно прямая запись и обратная запись (обратная), как показано на рисунке:
- Прямая запись: переносит информацию о портах и используется для того, чтобы пользователи Интернета могли напрямую выполнять преобразование целевого адреса через таблицу server-map при доступе к серверам в интрасети.
- Обратный ввод (Reverse): не передает информацию о порте, а целевой адрес является произвольным, используется для обеспечения доступа сервера к Интернету;
резюме:
- Карта серверов, сгенерированная методом NAT NO-PAT, является динамической, что означает, что таблица карты серверов будет автоматически генерироваться при прохождении трафика;
- Карта серверов, генерируемая NAT-сервером, является статической, что означает, что содержимое записей таблицы существует в течение длительного времени;
- В режиме NAT NAPT и исходящем интерфейсе записи Server-map не будут создаваться;
- Обратите внимание, что не все методы преобразования NAT будут генерировать таблицы Server-map;
Интерфейс межсетевого экрана должен пройти через серию процедур обработки от получения изоляции до ее окончательной отправки, и NAT является лишь одной из задач. На конфигурацию NAT влияет маршрутизация, то есть политика безопасности, поэтому понимание потока обработки пакетов NAT очень полезно для настройки NAT. Блок-схема обработки пакетов NAT выглядит следующим образом:

Примечание:Поскольку брандмауэр обрабатывает пакеты в порядке трансляции адреса назначения → политика безопасности → трансляция исходного адреса, в среде NAT исходный адрес политики безопасности должен быть адресом до преобразования исходного адреса, а адрес назначения должен быть адресом после трансляции адреса назначения.

1. Метод настройки NAT NO-PAT

1) Топология эксперимента

2) Экспериментальные требования

ПК1 связывается с ПК2 через адрес 202.106.0.20

21!
Рекомендация: Старайтесь не использовать интерфейс брандмауэра G0 / 0/0 в экспериментальной среде.Этот интерфейс является интерфейсом управления по умолчанию и имеет большое количество конфигураций по умолчанию.

3) Реализация корпуса

(1) Сетевые параметры конфигурации и маршрутизация межсетевого экрана.

(2) Стратегия безопасности конфигурации межсетевого экрана.

(3) Настройте группу адресов NAT.

(4) Настройте стратегию NAT.

Примечание:Стратегия NAT отличается от стратегии безопасности.Стратегия безопасности заключается в проверке правил прохождения потока данных: совпадающие пакеты данных либо пересылаются, либо отбрасываются. Стратегия безопасности определяет, может ли поток проходить через брандмауэр; в то время как стратегия NAT проверяет проходящий поток данных., Соответствующий пакет данных является либо трансляцией адресов, либо без трансляции адресов. Политика NAT определяет, какой трафик нуждается в трансляции NAT.

(5) Настройте маршрутизацию черной дыры для преобразованного глобального адреса.

(6) Настройте IP-адрес маршрутизатора и маршрутизацию.

(7) Настройте IP-адрес и шлюз ПК самостоятельно и проверьте конфигурацию NAT.

ПК для проверки:

Межсетевой экран проверен:

2. Метод настройки NAPT.

Топология эксперимента такая же, как NAT NO-PAT! (На основе NAT тоже возможен NO-PAT), чтобы новички разобрались, я переделываю сетевое оборудование!

1) Экспериментальные требования

ПК1 связывается с ПК2 через адрес 202.106.0.100!

2) Реализация корпуса

ПК1 выполняет проверку:

Межсетевой экран проверен:

3. Метод настройки Easy-IP

Топология эксперимента такая же, как NAT NO-PAT! (Также может быть на основе NAPT), чтобы новички понимали, я переделываю сетевое оборудование!

1) Экспериментальные требования

ПК1 связывается с ПК2 через адрес интерфейса межсетевого экрана!

2) Реализация корпуса

ПК1 выполняет проверку:

Межсетевой экран проверен:

4. Метод настройки NAT-сервера.

1) Топология эксперимента

2) Экспериментальные требования

Пользователи Интернета получают доступ к FTP-серверу в зоне DMZ через 202.106.0.20.

3) Реализация корпуса

Убедитесь сами! Эффект можно увидеть в таблице сеансов межсетевого экрана!

Иногда требуется пробросить порт (иногда говорят открыть, но это не правильно) на Huawei HG8245H-256M. Собственно опытные сисадмины с этим легко справляются, но я всё же раскажу об этом. Сразу добавлю, что если вы не выкупили стаческий (белый IP) открытие порта вам ничего не даст. Диапазон IP 100.xxx.xxx.xxx выдаваемый ByFly обычным пользователям не маршрутизитуется в интернете.

Для тех кто не хочет тратить своё дорогое время на изучение данного мануала предлагаем нашу платную помощь.

Инструкция подходит и для: Huawei HG8245H5, HG8245Hv5, HG8245H

Проброс одного порта TCP или диапазона.

Логин root пароль admin если никто не поменял конечно.

Далее идём Forward Rules/Port Mapping Configuration:

Нажимаем кнопочку Add для добавления диапазона портов.

Указываем сам диапазон портов. Для Web сервера например:

P.S. Если протокол не очень надёжен (RDP), лучше менять внешний порт (External port namber) на нестандартный больший 10 000.

Не знаете на каком порту висит ваш сервис? Для тех кому интересно на каких портах вешают протоколы.

Проброс всех портов (крайний случай). Добавление серевера в DMZ.

Иногда проброс портов не работает, хотя всё вроди правильно. Тогда остаётся лишь добавить ваш сервер в DMZ, что не очень безопасно. Возможно он имеет уязвимые сервисы и протоколы (RDP например), которые сразу же рекомендуется отключить или зафаерволить на строне сервера.

Forward Rules/DMZ Configuration

Ставим галочку Enable DMZ и пишем IP вашего сервера:

Проброс порта выполнен. Для тех кто не смог настроить предлагаем нашу платную помощь.

Тоже самое в одном видео:

Операция проброса портов, как и прочие настройки маршрутизатора, совершается через веб-утилиту конфигурации. Открывается она следующим образом:
Дальнейшие действия зависят от производителя маршрутизатора – рассмотрим на примере самых популярных моделей.

Необходимо отметить, что у присутствующих на рынке сетевых устройств от тайваньской корпорации есть два типа веб-интерфейсов: старый вариант и новый, известный также как ASUSWRT. Они отличаются в первую очередь внешним видом и наличием/отсутствием некоторых параметров, но в целом почти идентичны. В качестве примера будем использовать новейшую версию интерфейса.

Для корректной работы функции на маршрутизаторах АСУС нужно задать компьютеру статический IP. Следуйте инструкции ниже.
Подождите, пока роутер перезагрузится, и приступайте непосредственно к пробросу портов. Происходит это следующим образом:
При надобности проброса нескольких портов повторите вышеописанную процедуру с каждым.

Huawei

Процедура открытия портов на роутерах производителя Huawei происходит по такому алгоритму:
Готово – порт/диапазон портов открыты на маршрутизаторе Huawei.

Tenda

Проброс портов на роутере Tenda представляет собой очень простую операцию. Проделайте следующее:
Как видим, операция действительно несложная.

Netis

Маршрутизаторы Netis во многом похожи на устройства ASUS, потому начинать процедуру открытия портов для этих роутеров тоже следует с установки статического IP.
Теперь переходим к пробросу портов.
После перезагрузки роутера в список виртуальных серверов будет добавлено новое правило, что означает удачное открытие портов.

TP-Link

Процедура открытия портов на роутерах TP-Link тоже имеет свои особенности. Один из наших авторов уже подробно осветил их в отдельной статье, потому мы, чтобы не повторяться, просто приведём ссылку на неё.

D-Link

Открывать порты на маршрутизаторах D-Link тоже не слишком сложно. У нас на сайте уже есть материал, который детально освещает эту манипуляцию – более подробно о ней вы можете узнать из инструкции далее.

Ростелеком

Провайдер Ростелеком предоставляет пользователям собственные брендированные роутеры с фирменной прошивкой. На таких устройствах тоже можно открыть порты, причём едва ли не легче, чем на подобных маршрутизаторах. Соответствующая процедура описана в отдельном руководстве, с которым и рекомендуем ознакомиться.

Проверка открытых портов

Проверить, удачно ли прошел проброс, можно самыми разными средствами. Один из наиболее простых – онлайн-сервис 2IP, которым мы и воспользуемся.
С другими сервисами по проверке портов вы можете ознакомиться по ссылке далее.

Заключение

Мы рады, что смогли помочь Вам в решении проблемы.

Отблагодарите автора, поделитесь статьей в социальных сетях.

Опишите, что у вас не получилось. Наши специалисты постараются ответить максимально быстро.

Читайте также: