# eNSP｜USG5500 防火墙 域间策略 + 地址池源 NAT 实验

实验目的

1. 掌握 USG5500（V2 版本）安全区域配置，将接口加入 trust、untrust 安全区域
2. 理解 V2 版本域间包过滤策略，基于源网段、服务、域间方向控制流量
3. 掌握地址池方式源 NAT 配置，理解 PAT 端口复用原理
4. 理解状态检测防火墙会话表机制，对比传统包过滤防火墙差异
5. 通过内外网接口抓包，观察 NAT 转换前后源 IP 变化，验证实验效果

⚠️ 重点说明：USG5500 为 V2 版本防火墙，没有 security-policy、nat-policy 独立视图 ，使用 policy interzone 域间包过滤、nat-policy interzone 域间 NAT，命令和新版 USG6000V（V5）不通用，这也是本次实验最容易踩坑的地方。

实验拓扑说明

• PC1：内网终端，网段 192.168.1.0/24
• FW1（USG5500）：防火墙，G1/0/1 内网口，G1/0/0 外网口
• AR1：外网路由器，模拟公网环境
• Server：外网服务器，IP 201.1.1.1

流量走向：PC1 → FW1（trust）→ FW1（untrust）→ AR1 → Server

实验思路

1. 规划并配置 IP 地址：PC、防火墙接口、路由器、服务器配置 IP，保证底层直连连通
2. 划分安全区域：内网接口加入 trust 信任区，外网接口加入 untrust 非信任区；防火墙依靠安全区域区分可信与不可信网络
3. 配置静态路由：防火墙配置默认路由，保证外网流量路由可达；外网路由器配置 NAT 地址池回程路由
4. 配置域间包过滤策略：放行 trust→untrust outbound 方向，指定内网网段的 ICMP ping 流量
5. 配置域间 NAT 策略：配置 NAT 地址池，内网私网 IP 访问外网时转换为公网地址池 IP
6. 检查验证：PC ping 外网服务器，在防火墙内外接口抓包对比 IP，查看会话表、策略表

具体实施

1. 规划并配置 IP

PC1

IP：192.168.1.10，掩码：255.255.255.0，网关：192.168.1.254

FW1（USG5500）

huawei

[FW1]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip address 192.168.1.254 24
[FW1-GigabitEthernet1/0/1]quit
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip address 200.1.1.1 24
[FW1-GigabitEthernet1/0/0]quit

AR1（外网路由器）

huawei

[AR1]int g0/0/1
[AR1-GigabitEthernet0/0/1]ip address 201.1.1.254 24
[AR1-GigabitEthernet0/0/1]quit
[AR1]int g0/0/0
[AR1-GigabitEthernet0/0/0]ip address 200.1.1.2 24
[AR1-GigabitEthernet0/0/0]quit
# 回程路由：去往 NAT 转换后的公网地址，下一跳交给防火墙外网口
[AR1]ip route-static 200.1.1.10 255.255.255.255 200.1.1.1

Server

IP：201.1.1.1，掩码：255.255.255.0，网关：201.1.1.254

---

2. 划分安全区域（FW1）

huawei

[FW1]firewall zone trust
[FW1-zone-trust]add interface g1/0/1
[FW1-zone-trust]quit
[FW1]firewall zone untrust
[FW1-zone-untrust]add interface g1/0/0
[FW1-zone-untrust]quit

说明：

• trust：信任区域，内网终端，可信度高
• untrust：非信任区域，模拟互联网，风险高
• 接口必须加入安全区域，域间策略、NAT 策略才能对该接口流量生效

---

3. 配置默认路由 + 域间包过滤策略（FW1）

huawei

# 默认路由：所有未知网段流量转发给 AR1
[FW1]ip route-static 0.0.0.0 0.0.0.0 200.1.1.2
域间策略：trust 访问 untrust outbound（内网→外网方向）
[FW1]policy interzone trust untrust outbound
[FW1-policy-interzone-trust-untrust-outbound]policy 1
[FW1-policy-interzone-trust-untrust-outbound-1]policy source 192.168.1.0 0.0.0.255
[FW1-policy-interzone-trust-untrust-outbound-1]policy service service-set icmp
[FW1-policy-interzone-trust-untrust-outbound-1]action permit

说明：

1. USG5500 V2 版本，域间策略源地址使用反掩码 ，不能写前缀 24；匹配服务必须带关键字 service-set
2. 域间默认拒绝所有跨域流量，需要手动放行；本条策略仅放行 ICMP ping，TCP、UDP 业务默认阻断
3. outbound：trust 主动访问 untrust；inbound 代表 untrust 主动访问 trust

---

4. 配置地址池源 NAT（FW1，USG5500 格式）

huawei

# V2 版本：地址池一行完整配置，不能进入子视图用 section
[FW1]nat address-group 1 200.1.1.10 200.1.1.10
域间 NAT 策略，同样 trust→untrust outbound 方向
[FW1]nat-policy interzone trust untrust outbound
[FW1-nat-policy-interzone-trust-untrust-outbound]policy 1
[FW1-nat-policy-interzone-trust-untrust-outbound-1]policy source 192.168.1.0 0.0.0.255
[FW1-nat-policy-interzone-trust-untrust-outbound-1]action source-nat
[FW1-nat-policy-interzone-trust-untrust-outbound-1]address-group 1

原理说明：内网 PC 报文源 IP 为私网 192.168.1.x，从 untrust 侧发出时，源 IP 替换为地址池内 200.1.1.10；依靠端口号区分不同内网主机，也就是 PAT 端口复用。

---

5. 连通性检查 & 抓包分析

PC1 ping Server

plaintext

PC>ping 201.1.1.1
Ping 201.1.1.1: 32 data bytes, Press Ctrl_C to break
From 201.1.1.1: bytes=32 seq=1 ttl=253 time=16 ms
From 201.1.1.1: bytes=32 seq=2 ttl=253 time=16 ms
From 201.1.1.1: bytes=32 seq=3 ttl=253 time=16 ms
From 201.1.1.1: bytes=32 seq=4 ttl=253 time=16 ms
From 201.1.1.1: bytes=32 seq=5 ttl=253 time<1 ms
--- 201.1.1.1 ping statistics ---
5 packet(s) transmitted
5 packet(s) received
0.00% packet loss
round-trip min/avg/max = 0/12/16 ms

✅ 结果：连通正常，域间策略与 NAT 同时生效。

抓包分析

• G1/0/1（trust 内网口）抓包 ：ICMP 源 IP 192.168.1.10，目的 IP 201.1.1.1
• G1/0/0（untrust 外网口）抓包 ：ICMP 源 IP 转换为地址池公网 IP 200.1.1.10，目的 IP 不变

抓包对比直观验证源 NAT 转换效果。

USG5500 验证查看命令

huawei

<FW1>display zone                          # 查看安全区域绑定接口
<FW1>display ip routing-table              # 查看路由表
<FW1>display policy interzone              # 查看域间包过滤策略
<FW1>display nat address-group             # 查看 NAT 地址池
<FW1>display nat-policy interzone          # 查看域间 NAT 策略
<FW1>display firewall session table        # 查看防火墙会话表（状态检测核心）

实验总结

防火墙的核心作用是隔离不同安全等级的网络区域，基于安全区域 + 域间策略实现流量管控，保护内网不被外网非法访问。本实验使用的 USG5500 属于状态检测防火墙，和传统包过滤防火墙存在明显区别：

1. 传统包过滤防火墙：基于 ACL 逐包检查，每一个数据包都重复匹配规则，无连接状态感知，转发效率低，防护能力弱；
2. 状态检测防火墙：以会话为单位处理流量。首包匹配域间策略，放行后生成会话表；后续同一条流的报文直接匹配会话表转发，转发效率更高、安全性更强。会话依靠五元组（源 IP、目的 IP、源端口、目的端口、协议）唯一标识，会话超时后防火墙自动删除。

本次实验实现地址池方式源 NAT，解决私网地址无法在公网路由、公网 IP 资源不足的问题。对比 easy-ip（复用外网接口 IP），地址池 NAT 可以独立指定转换 IP，部署更灵活。

重要区分：域间包过滤策略控制流量能不能通行，NAT 策略控制 IP 是否转换，二者相互独立，必须同时配置才能内网访问外网。

踩坑记录

1. 版本大坑：USG5500（V2）不支持 security-policy、nat-policy、section；USG6000V（V5）才是这套命令，两个版本命令不能混用
2. 地址池配置：V2 版本必须一行写完，不能先进入地址池视图再敲 section
3. 源地址掩码：域间策略里必须使用反掩码 0.0.0.255，不能写 /24
4. 服务匹配：V2 版本需要写 policy service service-set icmp，不能直接写 policy service icmp
5. 回程路由：AR1 必须配置去往 NAT 地址池 IP 的静态路由，否则服务器回包无法送达防火墙
6. 仅放行 ICMP 时，只能 ping，网页、TCP 类业务无法访问