實驗拓撲

PC1是IPv4網(wǎng)絡的一個節(jié)點，處于Trust安全域；

PC2是IPv6網(wǎng)絡的一個節(jié)點，處于Untrust安全域。

實驗需求

完成防火墻IPv4、IPv6接口的配置，并將接口添加到相應的安全域；

在防火墻上配置NAT64的IPv6前綴3001::/64；

配置NAT64地址池，并配置NAT64策略；

配置域間包過濾策略，使得PC2能夠訪問PC1。

實驗步驟及配置

FW的配置如下：

配置IPv4接口：

?

[FW]?interface?GE0/0/1
[FW-GigabitEthernet0/0/1]?ip?address?10.1.1.254
[FW]?firewall?zone?trust
[FW-zone-trust]?add?interface?GigabitEthernet0/0/1

?

配置IPv6接口：

?

[FW]?interface?GE0/0/2
[FW-GigabitEthernet0/0/2]?ipv6?enable
[FW-GigabitEthernet0/0/2]?ipv6?address?2001::FFFF?64
[FW]?firewall?zone?untrust
[FW-zone-untrust]?add?interface?GigabitEthernet0/0/2

?

配置NAT64的IPv6前綴：

?

[FW]?nat64?prefix?3001::?96

?

配置NAT64地址池及nat64地址轉換策略：

?

[FW]?nat64?address-group?1?20.1.1.1?20.1.1.20
[FW]?nat64-policy?interzone?trust?untrust?inbound
[FW-nat64-policy-interzone-trust-?untrust?-inbound]?policy?10
[FW-nat64-policy-interzone-trust-?untrust?-inbound-10]?action?nat64
[FW-nat64-policy-interzone-trust-?untrust?-inbound-10]?address-group?1

?

配置IPv6域間包過濾規(guī)則：

?

[FW]?policy?ipv6?interzone?trust?untrust?inbound
[FW-policy-interzone-trust-untrust-inbound]?policy?10
[FW-policy-interzone-trust-untrust-inbound-10]?policy?source?2001::?64
[FW-policy-interzone-trust-untrust-inbound-10]?action?permit

?

完成配置后，PC2即可訪問PC1，但是問題是，PC2用什么目的地址來訪問PC1？

PC2使用3001:0101這個地址來訪問PC1，但是為什么是這個地址？3001::/96這個前綴是我們在配置的時候指定的NAT64地址前綴，而這個目的地址的最后32bits，也就是0A01:0101，換算成10進制就是10.1.1.1，因此當防火墻收到目的地址為3001:0101的IPv6數(shù)據(jù)包時，根據(jù)該地址的最后32bits計算得到IPv4地址， 這就是協(xié)議轉換后的IPv4目的地址，而IPv4源地址則從NAT64地址池中挑一個。

?

?display?firewall?ipv6?session?table
Current?Total?IPv6?Sessions:?1
---------------------------------------------------------------------
Source?Address?:?2001::1
Destination?Address?:?3001:101
Source?Port?:?44064
Destination?Port?:?2048
Protocol?:?ICMP6
SessType?:?NAT64

?display?nat64?session?table

Current?Total?Sessions:?1
--------------------------------------------------------------------
IPv6?Source?Address?:?2001::1
IPv6?Destination?Address?:?3001:101
IPv6?Source?Port?:?44066
IPv6?Destination?Port?:?2048
IPv4?Source?Address?:?20.1.1.2
IPv4?Destination?Address?:?10.1.1.1
IPv4?Source?Port?:?2010
IPv4?Destination?Port?:?2048
Protocol?:?ICMPv6
TTL?:?0020
Left?Time?:?0018

?

　　審核編輯：湯梓紅