天融信防火墙NGFW4000配置NAT的一些记录

这几天遇到一个问题，内网服务器通过防火墙NAT转换成公网地址，对方服务器通过公网地址能够访问服务器，但是通过服务器访问对方服务器时，访问不到，对面的服务器也是通过防火墙地址NAT转换过来的。 环境说明：192.168.1.1、192.168.1.2、192.168.1.3组成一个局域网，能够互相访问，其中192.168.1.1在防火墙上NAT位231.1.3.10。231.1.3.1、231.1.3.6、231.1.3.10组成一个专网。初步定位，对方服务器B（231.1.3.1）能够telnet到我方服务器A（外网231.1.3.10，内网192.168.1.1），我方服务器（外网231.1.3.10，内网192.168.1.1）可以telnet访问局域网其他服务器（192.168.1.2、192.168.1.3），说明服务器A（外网231.1.3.10，内网192.168.1.1）telnet服务没问题。服务器B（231.1.3.1）通过公网地址（231.1.3.10）能够访问到服务器A，说明防火墙目的映射配置没问题。但是出站地址，原以为通过防火墙NAT转换，入站地址和出站地址是一个地址，对方把我方服务器A的公网地址（231.1.3.10）加入防火墙策略后，但测试过程中，始终未收到包，反而收到了几个231.1.3.111的包，对方询问是否我方的出站地址是231.1.3.111询问防火墙维护人员，一口咬定出站地址和入站地址是一个地址（231.1.3.10），这边配置没问题。我通过微信和电话询问了原同事和现同事配置过天融信防火墙的人员，告知，天融信防火墙跟其他防火墙不太一样，做NAT映射时，需要做一条从外往里的目的转换，和从里往外的源转换。 由于服务器A可以被服务器B通过公网访问，说明防火墙目的转换已经生效，需要再配置源转换，把192.168.1.1NAT为231.1.3.10的源转换策略加入到防火墙后，经验证，命中数为0。说明策略仍未生效。最后仔细研究了下发现有一条源转换策略（any，231.1.3.111。）经验总结：1、天融信的防火墙策略是自动覆盖，上面的策略和下面的策略如果冲突，上面的策略生效，下面的策略未生效。2、天融信防火墙如果需要被访问的话，需要添加源转换和目的转换，配置双向转换是不生效的。

天融信NGFW4000防火墙更新License

检查防火墙，发现两个问题 1、授权要到期 2、规则库好久都没更新 配置备份步骤： 1、点击系统管理-系统维护-配置维护 2、勾选你要保存的配置，然后点击“导出存盘”，这样就可以把当前防火墙的全部配置（包括但不限于网络管理和安全策略部分） 注意：保存当前运行配置是会将最新的配置信息直接覆盖掉那个config文件；另存当前运行配置是另存一份配置信息，同个防火墙最多只能另存3份）

记录由于疏忽导致内网DNS解析问题

起因：公司内网服务器存在版本漏洞，并且由于条件限制，无法进行升级。 因此在防火墙上对部分端口做限制，提高内网的安全性。好了，限制完之后问题来了，内部有2个系统无法正常用，当回去看策略时，看到53端口有命中，证明dns服务器和外部通信有问题，然后把双向限制换成从外到内方向的限制，问题解决。 注意注意，防火墙设置策略后记得保存配置，否则断电重启后，你新增的策略就没了。