华为防火墙如何做公网IP对内网服务器的端口映射？

1、端口映射是华为防火墙中的一个常用功能，举个例子就是你内网有一台服务器，想让外网的访问者能够直接访问到这台服务器。但你的内网服务器配置的是内网地址在公网是找不到的，怎么办？这时既可以把一个公网IP地址映射到这个内网地址上，可以单独映射一个端口，也可以做全映射。今天主要说的就是服务器的端口映射。

2、端口映射在防火墙内属于一个策略。所以我们登录到防火墙后找到策略、NAT策略、服务器映射。

3、在服务器映射列表中，我们看到有一个新建选项。做端口映射需要新建一个映射策略。

4、名称随意填写，类型一般填写为“静态映射”，安全区域根据自己的网络结构进行配置。公网地址填写需要映射的公网地址，私网地址填写服务器的地址。允许端口转换如果为全映射不需要都选，如果为单独端口映射需要勾选。

5、当让图形界面看着比较容易 *** 作，如果想用命令配置界面的也可以。只需要输入natserver来画SSH2protocoltcpglobal公网IP2222inside私网IP22no-reverse

6、设置完之后，我们也可以做一个简单的验证，打开windows的cmd窗口。在里边输入Telnet+公网IP+端口看看是否连同。

NAT隐藏了内部网络的结构，具有“屏蔽”内部主机的作用，但是在实际应用中，可能需要给外部网络提供一个访问内网主机的机会，如给外部网络提供一台Web服务器，或是一台FTP 服务器。

NAT设备提供的内部服务器功能，即是通过静态配置“公网IP地址＋端口号”与“私网IP地址＋端口号”间的映射关系，实现公网IP地址到私网IP地址的“反向”转换。

如上图所示，外部网络用户访问内部网络服务器的数据报文经过NAT设备时，NAT设备根据报文的目的地址查找地址转换表项，将访问内部服务器的请求报文的目的IP地址和端口号转换成内部服务器的私有IP地址和端口号。当内部服务器回应该报文时，NAT设备再根据已有的地址映射关系将回应报文的'源IP地址和端口号转换成公网IP地址和端口号。

配置思路：

1、使能NAT ALG功能，保证特定的应用层协议能够正常穿越NAT。

2、进入连接外网的接口。

3、配置NAT Server，使得设备能够根据公网信息查询到对应的服务器私网信息。

真实配置视频实录

当内部网络有大量用户需要访问外部网络时，可以通过配置访问控制列表和地址池（或接口地址）的关联，由“具有某些特征的IP报文”挑选使用“地址池中地址（或接口地址）”，从而建立动态地址映射关系。这种情况下，关联中指定的地址池资源由内网报文按需从中选择使用，访问外网的会话结束之后该资源便释放给其它用户。

配置思路

1、配置控制地址转换范围的ACL规则

2、配置ACL规则与公网地址关联。分为地址池方式与接口地址方式（该方式称之为Easy IP功能）。

地址池方式

a 配置公网地址池

b 进入接口视图

c 配置ACL规则与地址池的关联

Easy IP方式

a 进入接口视图

b 配置接口地址

c 配置ACL规则与接口地址的关联

#
acl number 2000 //配置允许进行NAT转换的内网地址段
rule 5 permit source 19216810 000255
#
interface GigabitEthernet3/0/0 //外网口
ip address 18381181116 2552552550
nat outbound 2000 address-group 1 //在出接口上配置NAT Outbound
#
nat address-group 1 18381181116 18381181116 //配置NAT地址池
#
ip route-static 0000 0000 XXXX //配置默认路由 下一跳。

---