（已解决！）H3C MSR3020 sub地址NAT疑问？

xy-coordinate

（拓扑图）左侧为本单位，右侧为第三方

MSR3020配置：
acl number 2002
  rule 5 permit source 165.40.18.74 0

interface GigabitEthernet0/1
port link-mode route
nat outbound 2002
ip address 100.11.0.50 255.255.255.0

防火墙设置：
第三方A（内）        192.168.13.74
第三方A（外）        165.40.18.74
第三方A（主机）        100.11.0.5

双向地址转换
192.168.0.0/24 发起访问 100.11.0.5
源地址转换成165.40.18.74
目的地址转换成 192.168.13.74

源地址然后再由MSR3020 NAT 100.11.0.50
（见地址转换图）

在192.168.0.2上ping 192.168.13.74 正常


现在同一第三方新增1业务B，地址200.11.0.1
MSR3020 G0/1 配置
acl number 2002
  rule 5 permit source 165.40.18.74 0
  rule 10 permit source 165.40.18.75 0

interface GigabitEthernet0/1
port link-mode route
nat outbound 2002
ip address 100.11.0.50 255.255.255.0
ip address 200.11.0.50 255.255.255.0 sub

防火墙设置：
第三方B（内）        192.168.13.75
第三方B（外）        165.40.18.75
第三方B（主机）        200.11.0.1

双向地址转换
192.168.0.0/24 发起访问 200.11.0.1
源地址转换成165.40.18.75
目的地址转换成 192.168.13.75

在192.168.0.2上ping 192.168.13.74 正常
Ping 192.168.13.75 不通

xy-coordinate

将单位到第三方MSTP网络末端网线，通过HUB一根变成两根，分别连接到两台MSR3020的GE口上
MSR3020 G0/1 配置
acl number 2002
  rule 5 permit source 165.40.18.74 0

interface GigabitEthernet0/1
port link-mode route
nat outbound 2002
ip address 100.11.0.50 255.255.255.0

第二台MSR3020 G0/1 配置
acl number 2002
  rule 5 permit source 165.40.18.75 0

interface GigabitEthernet0/1
port link-mode route
nat outbound 2002
ip address 200.11.0.50 255.255.255.0

防火墙再按照上面配置，并增加相应的路由

单位PC 192.168.0.2 ping 第三方虚地址 192.168.13.74和192.168.13.75 都正常！

问题解决！！！

此方法虽能解决问题，但是有弊端：
1、使用hub，增加网络节点故障风险点
2、要有第二台MSR3020或增加以太网口，增加组网成本

meiyuhan

很好，谢谢你啊，辛苦了~~

xy-coordinate

解决方法二：
只用原来的1台MSR3020

1、去掉acl number 2002

2、静态NAT
nat static 165.40.18.74 100.11.0.51
nat static 165.40.18.75 200.11.0.51
注意：不能与接口地址冲突（IP最后一位，一个是51，一个是50）

3、接口
interface GigabitEthernet0/1
port link-mode route
nat outbound static
ip address 100.11.0.50 255.255.255.0
ip address 200.11.0.50 255.255.255.0 sub


试验：
192.168.0.2上ping 192.168.13.74 和 192.168.13.75 都OK！！！

xy-coordinate

因为单位网络统一规划，必须将内部网络192.168.0.0/24 转换成 165.40.18.0/24网段，互联单位只能看到165.40.18.0网段。
由于本例中的第三方单位，只允许100.11.0.50-55访问100.11.0.5（后来又新增200.11.0.50-55访问200.11.0.1），所以165.40.18.74-75需要再由MSR3020路由器NAT成100.11.0.50和200.11.0.50，
即防火墙做了一次NAT，路由器又做了一次NAT，而且第三方是2个不同的网段100、200，MSR3020使用动态NAT不行，只能转换1个，改成静态NAT，问题解决！