共计 1358 个字符，预计需要花费 4 分钟才能阅读完成。
背景：
在内网部署好应用服务器提供给外网用户访问，而且也只能是被动的接收外网访问（例如web服务器，ftp服务器），服务器本身是不能访问互联网。
简单拓扑：
一、IP分布
1、内网服务器IP：192.168.37.205
内网服务器提供的端口：22
2、防火墙版本
HRP_M<HSX-FW-2.PT.HB_ZXCN2_E1000-3>display version
19:36:34 2018/03/21
Huawei Versatile Routing Platform Software
Software Version: Eudemon 1000E V100R002C01SPC200 (VRP (R) Software, Version 3.30)
Copyright (C) 2008-2010 Huawei Technologies Co., Ltd.
Quidway Eudemon1000E-U6 uptime is 326 weeks, 0 day, 19 hours, 24 minutes
Patch: V100R002C01SPH201
RPU's Version Information:
2048M bytes SDRAM
64M bytes FLASH
128K bytes NVRAM
PCB Version : VER.B
RPE Logic Version : 005B
Small BootROM Version : 026 Apr 22 2010
Big BootROM Version : 042 Oct 14 2010
Slot1: 2GE (PCB)VER.A (Software)000 (Logic)000 (Board)SUP1E2GE
Slot2: 2GE (PCB)VER.A (Software)000 (Logic)000 (Board)SUP1E2GE3、防火墙NAT，这里使用公网IP：x.x.x.x3322端口映射<> 192.168.37.205 22，这样当你访问公网IP的3322端口时其实就是访问内网IP的22端口
nat server protocol tcp global x.x.x.x 3322 inside 192.168.37.205 224、设置好NAT之后还需设置进入规则，默认是拒绝所有访问的。所以从公网到内网的inbound方向规则，这里使用ACL 3001过滤源和目标地址
firewall interzone trust untrust
packet-filter 3001 inbound5、高级ACL 3001设置，source 后面的IP地址是用户的公网IP地址，跟配置在防火墙的地址是不一致的。
acl number 3001
rule 1 permit tcp source xx.xx.xx.xx 0 destination 192.168.37.205 0 destination-port eq 226、查看
HRP_M<HSX-FW-2.PT.HB_ZXCN2_E1000-3>dis cu | in 192.168.37.205
19:21:54 2018/03/21
acl number 3001
rule 1 permit tcp source xx.xx.xx.xx 0 destination 192.168.37.205 0 destination-port eq ssh
nat server protocol tcp global x.x.x.x 3322 inside 192.168.37.205 22正文完
掃描進入電報群 https://t.me/+R_Tv2n6ReZCjk10G
感谢
