【正文】 本例中僅給出了四條靜態(tài)路由的配置。 配置USG各接口的IP地址。ISP1分配給學(xué)校的IP地址～，掩碼24位。 圖1 出口網(wǎng)關(guān)雙鏈路接入不同運(yùn)營(yíng)商舉例二組網(wǎng)圖項(xiàng)目數(shù)據(jù)說明（1）接口號(hào)：GigabitEthernet 0/0/0IP地址：安全區(qū)域：Trust接口（1）是連接內(nèi)網(wǎng)匯聚交換機(jī)的接口。 為了實(shí)現(xiàn)去往不同運(yùn)營(yíng)商的流量由對(duì)應(yīng)接口轉(zhuǎn)發(fā)，需要收集ISP1和ISP2所屬網(wǎng)段的信息，并配置到這些網(wǎng)段的靜態(tài)路由。[USG] nat addressgroup 1 配置應(yīng)用于Trust—ISP2域間的NAT地址池2。 在校園網(wǎng)內(nèi)的一臺(tái)主機(jī)上，訪問ISP1所屬網(wǎng)段的一臺(tái)服務(wù)器（），通過執(zhí)行命令display firewall session table，可以看到私網(wǎng)IP地址轉(zhuǎn)換成了ISP1的公網(wǎng)IP地址。[USG] firewall interzone trust isp1[USGinterzonetrustisp1] detect ftp[USGinterzonetrustisp1] detect qq[USGinterzonetrustisp1] detect msn[USGinterzonetrustisp1] quit[USG] firewall interzone trust isp2[USGinterzonetrustisp2] detect ftp[USGinterzonetrustisp2] detect qq[USGinterzonetrustisp2] detect msn[USGinterzonetrustisp2] quit3. 配置NAT outbound，使內(nèi)網(wǎng)用戶通過轉(zhuǎn)換后的公網(wǎng)IP地址訪問Internet。即創(chuàng)建兩個(gè)安全區(qū)域ISP1和ISP2（安全優(yōu)先級(jí)低于DMZ區(qū)域），并分別在Trust—ISP1域間、Trust—ISP2域間配置NAT outbound。 ～，～，掩碼均為24位。ISP2分配給學(xué)校的IP地址～，掩碼24位。[USG] firewall zone name isp1[USGzoneisp1] set priority 15[USGzoneisp1] add interface GigabitEthernet 0/0/2[USGzoneisp1] quit 創(chuàng)建安全區(qū)域ISP2，并將GigabitEthernet 5/0/0接口加入ISP2。[USG] ip routestatic GigabitEthernet 0/0/2 [USG] ip routestatic GigabitEthernet 5/0/0 5. 配置攻擊防范功能，保護(hù)校園網(wǎng)絡(luò)。注意： 實(shí)際場(chǎng)景中，可能需指定多條靜態(tài)路由，為特定目的IP地址配置明細(xì)路由。 在USG上啟用攻擊防范功能，保護(hù)校園網(wǎng)內(nèi)部網(wǎng)絡(luò)。（4）接口號(hào)：GigabitEthernet 0/0/0IP地址：接口（4）是ISP1端與USG相連的接口。組網(wǎng)需求某學(xué)校網(wǎng)絡(luò)通過USG連接到Internet，校內(nèi)組網(wǎng)情況如下：（2）接口號(hào)：GigabitEthernet 0/0/2IP地址：安全區(qū)域：ISP1安全優(yōu)先級(jí)：15接口（2）是連接ISP1的接口，去往ISP1所屬網(wǎng)段的數(shù)據(jù)通過接口（2）轉(zhuǎn)發(fā)。為了提高鏈路可靠性，避免業(yè)務(wù)中斷，需要配置兩條缺省路由。[USG] natpolicy interzone trust isp1 outbound[USGnatpolicyinterzonetrustisp1outbound] policy 1[USGnatpolicyinterzonetrustisp1outbound1] policy source [USGnatpolicyinterzonetrustisp1outbound1] action sourcenat[USGnatpolicyinterzonetrustisp1outbound1] addressgroup 1[USGnatpolicyinterzonetrustisp1outbound1] quit[USGnatpolicyinterzonetrustisp1outbound] quit 在Trust—ISP2域間配置NAT outbound，將校內(nèi)用戶的私網(wǎng)IP地址轉(zhuǎn)換為ISP2提供的公網(wǎng)IP地址。[USG] firewall defend synflood enable[USG] firewall defend udpflood enable[USG] firewall defend icmpflood enable[USG] firewall defend icmpflood basesession maxrate 5結(jié)果驗(yàn)證1. 執(zhí)行命令display nat all，可以看到配置的NAT地址池和內(nèi)部服務(wù)器信息。[USG] policy interzone trust isp1 outbound[USGpolicyinterzonetrustisp1outbound] policy 1[USGpolicyinterzonetrustisp1outbound1] policy source [USGpolicyinterzonetrustisp1outbound1] action permit[USGpolicyinterzonetrustisp1outbound1] quit[USGpolicyinterzonetrustisp1outbound] quit 配置Trust—ISP2的域間包過濾，允許校內(nèi)用戶訪問ISP2。 為了實(shí)現(xiàn)校園網(wǎng)用戶使用有限公網(wǎng)IP地址接入Internet，需要配置NAPT方式的NAT，借助端口將多個(gè)私網(wǎng)IP地址轉(zhuǎn)換為有限的公網(wǎng)IP地址。 校內(nèi)用戶能夠通過兩個(gè)運(yùn)營(yíng)商訪問Internet，且去往不同運(yùn)營(yíng)商