外网用户通过公网IP如何访问FTP服务器，华为防火

在日常工作中，有时候需要把公司内部的某些服务向外提供服务，例如FTP服务、WEB服务等等，像这种需求，应该怎样解决呢？下面通过一个简单的案例来讲解

拓扑图

企业内网用户和FTP服务器均在同一网段192.168.10.0/24，并且均在Trust安全区域。企业采用上行接入Internet(固定IP方式)，IP地址向ISP申请获得。内网用户和外网用户均通过公网地址202.102.20.1和端口为2121访问FTP服务器。

步骤1：配置接口

[USG6000V1]interface GigabitEthernet 1/0/0

[USG6000V1-GigabitEthernet1/0/0]ip address 192.168.10.254 24

[USG6000V1]interface GigabitEthernet 1/0/1

[USG6000V1-GigabitEthernet1/0/1]ip address 202.102.20.1 24

步骤2：把接口加入到对应的安全区域

[USG6000V1-zone-trust]add interface GigabitEthernet 1/0/0

[USG6000V1]firewall zone trust

[USG6000V1]firewall zone untrust 

[USG6000V1-zone-untrust]add interface GigabitEthernet 1/0/1

步骤3：配置安全策略

华为防火墙配置安全策略，建议使用web界面配置，这样相对简单理解。

步骤4：新建NAT地址池

步骤5：新建源NAT

步骤6：配置服务器映射关系

完成以上操作即可在外网通过202.102.20.3和端口2121访问内网的FTP服务器。下面一起来验证一下啦

在防火墙上通过会话表也可以验证。

通过本次案例主要的目的是介绍华为USG防火墙的配置NAT方法，在工作中，建议在配置安全策略是最好使用web配置，由于WEB界面友好提示，方便明了。