防火墙应用指南(二)——虚拟服务器的搭建

1、防火墙应用指南一根本配置指导思想注：阅读本文前，请先详细阅读本文最后的红色局部的提示内容。 一 概要介绍 新上市的TL-FR5300防火墙产品，主要有两大功能特点：“攻击防护和“策略。它还有其他很多功能，在这篇文档里，我们将侧重表述“策略这一块，其他功能我们另有专门的表述文档。当您在看这篇文档之前，我们希望您能够先了解一下TL-FR5300的?用户手册?，对TL-FR5300使用过程中涉及的诸多概念有一定的了解。 一般情况下用户购置了TL-FR5300，将其置于本单位网络的出口处，作为内部网络所有主机登录互联网的网关设备，内网主机所有去往互联网的数据都需要流经TL-FR5300，我们对TL-F

2、R5300进展适当配置，就可以对内网主机的上网操作进展灵活的管理。 TL-FR5300处于整个内部网络的出口，默认内部网络LAN和外部互联网WAN是互通的，但建议将这一条默认策略删除。当内部网络中某一局部主机需要某上网权限时，网络管理员只需要在TL-FR5300上面给这一局部主机翻开相应的上网权限，当内部网络另一局部主机需要另外的上网权限时，管理员只需要在TL-FR5300上翻开另一局部上网权限即可。这就是我们配置TL-FR5300这款防火墙产品时候的根本指导思想“有需求才开放。 在使用TL-FR5300的过程中，为了顺利实施上面“有需求才开放的思想，我们竭力建议您的网络是经过规划的特别是“I

3、P地址这一局部，因为“IP地址是互联网中每台主机标示自己的唯一标志，TL-FR5300也是通过“IP地址实现对主机权限的控制。具体地说，网络里具备一样网络权限的主机应该附属于一个组，适应不同网络权限的主机附属于不同的组，而我们在规划“IP地址的时候，既要考虑现有各个组的规模，也要考虑到以后网络的增长，不同网络权限的主机组使用不同的IP地址段，比方下面不同的组使用不同IP地址段： 管理团队：0(/27)市场部门：54(4/27)销售部门：2958(28/27) 当配置TL-FR5300时给不同的IP地址段不同的网络权限，那么网络中某台主机使用了什么IP地址就具备了什么网络权限，这就是网络经过规划

4、的好处： 上班时间限制内部网络某台主机只能登录互联网某个网站效劳器。 要实现上面的目的，网络管理员通过设置TL-FR5300的“策略，将上面这个想要实现的目的表达出来就可以。在这条“策略/规那么设置的过程当中，“内网某主机、互联网某网站效劳器、可以登录这些都属于“策略/规那么的根本组成局部，“上班时间属于“策略/规那么的可选组成局部。 “策略可分为根本组成局部和可选组成局部。根本组成局部有：信息流的方向、信息流的源地址、信息流的目的地址、制止/允许通过。可选组成局部有：时间、平安认证、流量控制、深层检测、日志等。 在TL-FR5300里面将“策略的组成局部称之为“对象，当需要设置一条“策略的时

5、候，要考虑一下即将设置的“策略都包含哪些“对象？TL-FR5300有专门用于定义“对象的配置界面，比方策略里面涉及“上班时间，那么配置策略之前，要先在“对象-“时间表里面将“上班时间表达出来，然后在“策略配置过程中引用先设定好的“上班时间这个“对象，那么这样设置的“策略才能在“上班时间生效。简单的说这就是“策略和“对象的关系。可以说多个不同的“对象通过组合最后生成了一条“策略。 TL-FR5300的“策略可由如下可选“对象组成：IP地址、IP地址组、效劳、效劳组、动作、时间表、应用、深层检测、网络地址转换、用户认证、QoS控制、URL过滤、日志。二 举例以及说明 下面我们通过一些简单的“策略设

6、置过程，来详细地描述“策略和“对象是一个怎样的关系？它们是怎样使用的？ 1,销售部员工张三只能登录阿里巴巴网站。分析：通过设置TL-FR5300的“策略实现上面的目的，这条“策略包含的“对象有：张三使用的IP地址、阿里巴巴网站效劳器IP地址、可以登录网站。设置：设置过程分两局部，分别是设置“对象和“策略，设置“对象是为了“策略引用它，设置“策略是为了最终实现我们的限制目的。 如上图选择了“对象-“IP地址，设置界面如下列图： 如上图要在“区域选择LAN ，因为张三处于公司内网也就是TL-FR5300定义的LAN区域，选择后点击“新增按钮，界面如下列图： 如上图： “IP地址名字建议具备可读性，

7、张三是销售部员工，这里取为“Sales 张三。 “说明是对本IP地址的简单解释说明。给张三配置的IP地址为 29 。 “子网掩码填为32表示这里是单个IP地址。 设置完后点击确定按钮返回上一级界面如下列图： 在“对象里设置完了张三的IP地址后，还需要设置阿里巴巴网站的IP地址，通过PING阿里巴巴中文网站的域名我们可以得到网站效劳器对应的IP地址是 ，因为阿里巴巴网站在外部互联网上，也就是TL-FR5300定义的WAN区域，所以这次新增IP地址的时候一定要先选择WAN区域，然后新增，界面如下列图： 或者不设置效劳器的IP地址而直接填入阿里巴巴中文网站域名也可以，如下列图： 点击“确定按钮后返回

8、上一级页面，选择“区域为所有，并点击“显示按钮，可以看到刚刚分别在LAN和WAN区域新增的两个IP地址对象，如下列图： 准备好了“对象以后，我们就可以在“策略里面进展配置了！因为本策略描述的对象，是张三的电脑主动向阿里巴巴网站发起连接，所以在设置策略的时候一定要注意“区域的选择是从LANWAN这个方向，配置界面如下： 上图是一个复合的图片： “策略名建议具备一定的可读性，便于日常维护！ “源地址引用IP地址对象里张三的IP地址。 “目的地址引用IP地址对象里阿里巴巴网站效劳器IP地址。“效劳粉红色勾勒的效劳这一行后面的“复选按钮，点击后弹出下半局部界面，选择了两种效劳分别是DNS和HTTP，因

9、为访问阿里巴巴网站前电脑先要联系互联网DNS效劳器解析阿里巴巴网站域名对应的IP地址，然后才向这个效劳器IP地址发起HTTP请求，也就是登录网站的过程，选择好效劳以后点击“确定按钮，有关“效劳的详细描述，请参考我们的?防火墙应用指南?系列文档之?防火墙应用指南二虚拟效劳器的搭建?。返回策略设置界面如下列图： 如上图，策略设置界面的所有“对象中，只涉及到了根本组成局部也就是红线勾勒的局部，其他可选组成局部的对象都没有涉及，改动后点击确定，返回上一级配置界面，如下列图： 就是这样，想要实现“销售部员工张三只能登录阿里巴巴网站这样目的，通过上面这个设置过程就完成了。看起来篇幅很长，其实熟练设置的时候

10、所需时间是很短的！ 2，销售部员工张三上班时间只能登录阿里巴巴网站。 这第2个例子我们在第一个例子的根底上，增加了“上班时间这个对象，那么是怎样实现这个目的呢？分析：按照在第1个例子中的分析，只要再加上“对象-“时间表里面再参加上班时间段就可以了。设置策略的时候，除了第1个例子里面改动的“对象以外，再多改动一个“时间表的参数就可以了。设置：增加时间表“对象，在TL-FR5300设置界面“对象-“时间表里面，新增时间表如下列图：“时间表名和“说明：具备可读性，便于日常维护管理。 “屡次和“单次：屡次表示时间是循环生效的，本周适用下周仍然适用。单次是在开场日期和完毕日期这一段时间内一次性生效，超出

11、这个时间段的那么不能生效。这里“屡次和“单次采用了复选框的方式，表示可以同时两项都选择，或者每次选择其中一种方式。注意：如果“屡次和“单次都选中，那么它们的关系是“或的关系。也就是说，时间表生效时间在“屡次定义的时间段内或者“单次定义的时间段内。它们是“并集的关系，而不是“交集的关系，不可理解为“在单次定义的时间段内的每周一至周六！ 要确保“时间表这个对象能够生效，有个地方需要注意，就是TL-FR5300配置选项里面的“系统工具“时间设置，配置界面如下： 上图中的红色文字已经进展了强调，想要时间表生效，必须从互联网上获取标准的GMT时间或者直接指定一个当前时间。设置好时间后TL-FR5300会

12、一直保存时间，不会因为设备断电而时间失效。好了，上面添加了“时间表这个对象，然后我们直接在“策略里面找到刚刚设置的从LANWAN的策略，并重新编辑它，如下列图： 如上图，在原有策略根底上“时间表这个对象里面选择了“上班时间，然后确定就可以了！这样就实现了“销售部员工张三上班时间只能登录阿里巴巴网站，过程很简单。 3，销售部员工张三和李四上班时间只能登录阿里巴巴网站。分析：上面的例子中，两次配置“策略引用“源地址这个对象的时候，都只是引用了张三的IP地址，这次还要再多引用一个销售部员工李四，那只要在TL-FR5300的“对象-“IP地址里面将李四的IP地址也设置好，就可以引用了。 配置：如下列图

13、在“对象-“IP地址里面新增销售部员工李四的IP地址： 一定要注意新增的李四的IP地址要选在LAN这个区域！然后点击“新增按钮，如下列图： 设定完之后点击“确定按钮就可以了。在TL-FR5300的“对象里面有个“IP地址组，就是将已设定的具备一样属性的“IP地址归并为一组，比方这里将“Sales 张三和“Sales 李四归并为一组命名为“Sales，这样在配置“策略时候引用“源地址可以不必张三李四分别引用两次，只需要引用一次“Sales组就可以了。“IP地址组设置如下列图： 如上图注意新增的区域是“LAN，具体配置界面如下： “组名为Sales 。 “说明为sales group表示销售部。

14、从“备选里面选择特定对象添加到“已选框内，“确定完成配置，返回上一级页面。如上图看到IP地址组里面多了一个Sales组，包含成员“李四、“张三。有了上面这些准备，开场修改前面的“策略，如下列图： “策略名进展了更改，将以前的Sales zhangsan alibaba 改为现在的Sales alibaba 。 “源地址由张三的IP改为销售IP地址组Sales 。 其他对象保持之前的状态不变即可，最后点击“确定按钮即完成了配置，如下列图： 可以看到从LAN到WAN的策略里，ID为3的策略正是我们刚刚完成的。 以后如果销售部增加新员工王五，分配了IP为31 ，上网权限和张三、李四都是一样，那只需要

15、在“对象-“IP地址里面新增王五的IP地址，然后将新增的王五的IP地址添加到“IP地址组-Sales这个组里面，不需要改动策略，那么王五的网络权限就和前面几位员工的一样了。4，销售部员工上班时间只能登录阿里巴巴网站。 分析：前面我们举了3个例子，来说明一条简单的策略如何设置？我们发现，每次销售部新增员工，都需要网络管理员在“对象-“IP地址里面新增，然后再将新增的IP地址归并到“IP地址组里Sales的小组，这样的过程比拟麻烦！有没有更快捷的设置方式？ 当然有了！一开场我们就倡导如果使用TL-FR5300我们竭力推荐您的网络先做好规划，比方网络管理员按照现有情况以及今后一段时间内的网络增长预期

16、，将IP地址段29 59预留分配给销售部员工使用，销售部员工的网络权限都是一样的。 前面设置的策略里，“源地址曾单独选择过“Sales 张三和包含张三李四的“Sales,如果我们将Sales这个组一开场就定义成包含29 59 这一段IP地址，然后在“策略设置的时候“源地址引用“Sales，这样配置一条策略相当于一次配置了29 59这30个IP地址，都是“上班时间只能登录阿里巴巴网站的权限。接下来当然是将已设置的IP地址单独分配给张三、李四、王五使用，等以后赵六参加了销售部，网络管理员不用改动TL-FR5300的配置，只需要告诉赵六使用32这个IP地址就可以了，这样将网络预先进展一定的规划，然后

17、配置网络设备可以收到事半功倍的效果。配置：就上面的分析，我们进展如下的配置即可快速实现。如下列图在TL-FR5300的“对象-“IP地址里面，在LAN区域新增IP地址参数： 单击“确定按钮后返回上一级设置界面，如下列图： 如上图红线勾勒，比照“Sales 张三和“Sales Group的图标，“Sales 张三的图标是单台电脑表示只包含1个IP，而“Sales Group是多台重叠的图标，表示一个IP地址段，这个IP地址段的网段地址是28 ，网段内可用IP地址范围是29 58总共包含30个可用的IP地址 ,这个段的播送地址是59 。上面设置的过程中，因为采用了“变长子网掩码的方法即将默认的24

18、位子网掩码加长到27位，所以取得了一条设置表示一段IP地址的结果。 如果在配置的过程当中，填入的不是28/27而是默认的28/24 ，这样设置在TL-FR5300里面也是允许的，这样设置的结果和填入/24的结果是一样的，就是产生了一个 54的可用IP地址段。因为我们这里举例网络规划的时候并没有给销售部254个IP地址，而是给了30个IP地址，所以我们填入的子网掩码不是24而是27 。 对于28/24和28/27表示的IP地址范围不同这样一个事实，属于网络公共根底知识，这里限于篇幅我们就不做过多地介绍了。如果您想要搞清楚其中的细节，可寻找一些“IP地址和子网掩码方面的书籍或者相关RFC文档参考学

19、习一下。 经过上面的准备，只需要在“策略里面将“源地址选择“Sales Group，其余参数不变，我们就可以通过一条策略实现：一个包含30个IP地址“上班时间只能访问阿里巴巴网站的目的。界面如下：5，保存、配置备份和载入 TL-FR5300所有参数在设置的时候，是即时生效的，但是这个时候参数是没有保存的，如果未保存设备重新启动以后所有配置的参数都会丧失，提示您每次阶段性完成参数配置后，在“系统工具-“保存配置页面对所有已修改参数进展保存，界面如下列图：TL-FR5300还有一个非常有用的功能，就是“配置备份和载入，在“系统工具-“配置备份和载入，功能界面如下列图： 当保存了已修改参数以后，可以

20、通过点击上图红色标注的按钮“备份配置文件来备份当前配置，界面如下列图：点击“保存按钮并选择保存的路径，然后保存即可，等到有需要的时候，可以通过上面的“载入配置文件的选项来完成。 三 关联信息 TL-FR5300的功能，在这里没有一一介绍，本文档前面两局部只是从总体概念上介绍了TL-FR5300最显著的功能特点如何对内网进展灵活的管理，但是内容还是不够丰富！针对这局部我们会在后面的系列文档中不断补充。上面的几个例子中，“策略的可选“对象局部，比方：应用、深层检测、URL过滤、NAT转换、认证等等，请参考我们的?防火墙应用指南?系列文档之?防火墙应用指南二虚拟效劳器的搭建?和?防火墙应用指南三企业

21、典型应用?。 对于TL-FR5300的“日志效劳器的使用，请参考我们的?防火墙应用指南?系列文档之?防火墙应用指南四日志效劳器的安装与使用?。 对于TL-FR5300的“攻击防护功能的使用，请参考我们的?防火墙应用指南?系列文档之?防火墙应用指南五攻击防护实验演示?。在本文中，我们举例的主体是员工张三访问阿里巴巴网站的权限，建立阿里巴巴这个IP对象时，我们使用“对象“IP对象中的“域名 方式来实现的填入域名时，TL-FR5300会自动将这个域名解析成为IP地址，就像在电脑上使用nslookup命令去解析一样，但是，如果要控制的目的网站是搜狐sohu、网易163等门户网站时，就不能使用本文的在I

22、P对象中添加域名的方式去设置，因为象搜狐sohu、网易163等这类门户网站所采用的效劳器太多，而且对应了多个不同的域名，如搜狐sohu的新闻叫做news.sohu ，搜狐sohu的体育是sports.sohu ，没有任何前缀的sohu 又是另外一个域名，对应着不同的效劳器IP，不像阿里巴巴中文只对应着一个效劳器和公网IP。这种情况下，我们仍是使用在IP对象中添加一个 HYPERLINK 或sohu 的话，是不能到达需求的。 总结：如果您的目的是控制某人不能或能访问什么网站的话，请参考?防火墙应用指南七URL过滤功能使用举例?，本文旨在告诉我们：设置一个策略前需要些什么准备工作？怎么去设置一个策

23、略？怎么结合多条件去控制员工权限？如时间 防火墙应用指南二虚拟效劳器的搭建在您继续了解本文档下面的内容之前，我们建议您能够先了解参考一下我们的?防火墙应用指南?系列文档之?防火墙应用指南一根本配置指导思想?。 下面将详细介绍在使用TL-FR5300的情况下如何在内网搭建“虚拟效劳器供外网主机访问？一，拓扑模型说明：如上图所示，使用了TL-FR5300这款防火墙之后，想要从Interne上一台主机访问处于TL-FR5300内网的一台效劳器，因为默认情况下从Internet上访问来的数据包只能到达TL-FR5300的WAN口，如果这个数据包想要经过TL-FR5300到达内网的效劳器，就需要我们对T

24、L-FR5300进展适当的设置，也就是本文档所要阐述的内容。假设我们搭建的是一台WEB效劳器，效劳器监听的端口是80 ，那么Internet上的主机在访问的时候不可能通过访问效劳器，因为是私网IP地址在互联网上不可路由的，只能通过来访问，这里的就是路由器的WAN口公网IP地址。外网任意一台主机访问过来的数据包构造我们可以用下列图来表示：现在我们对上面的数据包构造简单分析一下：“源IP：主机发送的数据包在Internet上传输的时候，用这个字段说明是谁发送的数据包？“目的IP：数据包中这个字段标明这个数据包是发往Internet上那个节点的？这个字段填入目的地主机的IP地址。“源端口：主机在发送

25、数据包的时候随即选取的一个数值，用于标识本机应用。“目的端口：数据包里的这个字段定义了目的主机上那个应用程序接收处理本数据包，比方本例中目的端口就是我们建立在TL-FR5300内网的效劳器上的效劳端口，假设我们在主机上建立的是WEB效劳器而且使用80端口作为效劳端口，那么这里的“目的端口就是80 ，假设我们在主机上建立的是FTP效劳器而且使用21端口作为效劳端口，那么这里的“目的端口就是21 。DATA ：数据包携带的内容，比方要访问WEB效劳器上的什么资源就在这一局部表述。那么我们思考一下：当互联网上许多主机来访问处于TL-FR5300内网的效劳器的时候，那些访问到来的数据包，“源IP这个参

26、数就是不固定的，而“目的IP这个参数却是固定的TL-FR5300的WAN口IP地址。当外网访问的数据包抵达TL-FR5300的WAN口以后，TL-FR5300收取数据包并按照我们配置的策略规那么将数据包转发至内网的效劳器，这样，Internet上的主机就可以成功访问到处于TL-FR5300内网的效劳器了。二，实现过程1，建立好效劳器 举例：我们建立了一台WEB效劳器，为了测试效劳器是否建立好了，我们可以在内网另一台主机上通过来尝试访问建立的WEB效劳器，如果成功访问那说明效劳器已经建立好了。2，建立效劳器的主机需要配置“默认网关的地址，这里必须是TL-FR5300的LAN口IP地址。下列图是W

27、indows2000操作系统上配置TCP/IP参数的界面： 如上图所示，建立效劳器的主机除了配置自己的IP地址以外，还必须配置网关的地址，也就是TL-FR5300的LAN口IP地址。3，TL-FR5300的配置 首先，在TL-FR5300配置界面选择“对象-“IP地址，然后在“IP地址页面添加内网建立效劳器的主机的IP地址。如下列图所示：选择“区域-“LAN，然后点击右面的“新增按钮，如下列图：图片中：“IP地址名字就是给添加的IP地址取一个名字，用以在设置“策略的时候被引用。“说明因为实际配置过程中会增添很多IP地址，所以对IP地址进展适当的说明，以便于在配置“策略进展引用的时候，知道所引用

28、对象代表的哪个主机。“IP地址或域名因为我们这里只添加建立效劳器的一台主机的IP地址，所以在后面的掩码部位输入32表示单个IP地址。最后点击“确定按钮，退回上一级界面，可以看到新增的一个IP地址对象。然后继续在“LAN区域新增一个IP地址对象，这次是要将TL-FR5300面向Internet的WAN口IP地址作为“对象表达出来，在配置策略的时候会用到，如下列图：如上图“IP地址名字和“说明的作用同前面是一样，这里就不再赘述。好了，做好上面的准备工作后，接下来我们配置“策略，如下列图：点击后在界面右半局部显出如下列图片因为我们即将在“策略里面定义的规那么是TL-FR5300转发从WAN口收取到的

29、数据包并发往内网的效劳器，在这个过程中数据包是从WAN口到LAN口方向的，所以上图中的“区域需要选成“从WAN到LAN，然后点击“新增按钮，如下列图：现在我们对上图中配置的参数做一个说明：图片右上角，确认本策略是从WANLAN方向的，因为我们这条策略定义的数据包是从WANLAN方向的。 “策略名为了便于管理员日常维护，建议策略名的选取最好是具备可读性，本例中取为“WEB-Server。在TL-FR5300的策略匹配过程中，是从前往后/从上往下逐条匹配，一旦匹配那么不再继续查询下面的策略。所以选中了“加在最前面，这样当TL-FR5300收到数据包的时候，在判断数据包应该如何转发的时候，会先参考本

30、策略是否匹配？默认从WANLAN没有策略，所以本例中这个参数也可以不选择。 “源地址因为从Internet上访问本效劳器的主机是不确定的，我们也不知道哪些主机将会访问我们建立在内网的效劳器，所以本例中将“源地址选为ANY表示从Internet上访问到来的任何主机IP地址都将适配本策略。 “目的地址外网访问本效劳器的时候数据包从Internet上发送过来，被TL-FR5300的WAN口接收，所以WAN口IP地址就是目的IP地址。 “效劳定义外网访问过来的数据包的端口号。TL-FR5300已经预先定义了很多“预定义效劳，这个参数是对数据包端口号的描述，本例中我们选择了HTTP作为效劳，为什么？在T

31、L-FR5300的“预定义效劳这个对象里面已经包含很多参数，对HTTP的表述参数如下列图，可以看到HTTP对应的端口号范围源是所有端口，目的是80 ，在本例中策略选中“效劳HTTP意思就是说：外网访问到来的数据包，“目的端口是80将符合本策略的端口范围。 “动作本例中当然是选择允许通过。 “NAT转换这个参数一定要启用，这个参数也是专门针对本例这种“虚拟效劳器的搭建而设计的参数，搭建虚拟效劳器就必然使用这个参数。“转换到IP顾名思义就是接收到外网符合条件的数据包后转发到内网的哪个IP地址的主机？“映射到端口填的是内网效劳器的效劳端口。 经过上面这几个参数的配置后，策略就算是设置完成了，最后点击

32、“确定按钮就行了。如下列图可以看到从WANLAN新增了一条策略，策略的源地址ANY表示任何源地址，发送到目的地址也就是TL-FR5300的WAN口IP ，数据包访问的是HTTP 80端口，那么TL-FR5300就将数据包转发至内网。 三，深入理解假设现在内网主机也建立了一台WEB效劳器，也使用80端口作为效劳端口，那么在Internet上除了可以访问上建立的WEB效劳器以外，能不能访问这台主机上面的WEB效劳器呢？当然也是可以的。在本文档一开场我们就对从Internet访问过来的数据包构造进展了分析，数据包构造里面有“目的端口这个参数，假设Internet上的主机要访问TL-FR5300内网上

33、面建立的WEB效劳器，根据上面策略的配置处于外部互联网上的主机只需要在IE浏览器里面通过就可以访问上建立的WEB效劳器了，如果这时候外部主机想要访问建立在上面的WEB效劳器，那么还能通过访问吗？那当然不行了！都是同样的访问过来，都是访问目的端口是80的效劳，数据包构造没有任何差异，TL-FR5300作为机器怎么可能知道该转发给还是0 ？所以，外网主机想要访问建立在主机上的WEB效劳，在访问的时候需要通过不同的参数来表达自己想要访问的是内网的那台主机？比方可以通过，也就是说数据包的“目的端口不是默认的80端口了而是88端口，如下列图的比照，这样当不同的数据包发送过来的时候TL-FR5300就可以

34、分辨了：在配置前面的策略的时候，我们已经看到对于目的端口是80的限定在“预定义效劳里面已经存在了，但是目的端口是88的并没有，所以我们要在“自定义效劳里面将我们需要的88端口定义出来，如下列图所示选择“对象-“自定义效劳-“新增：设定好了“自定义效劳以后，继续配置策略，如下列图：说明：注意策略适用的区域范围！ “策略名为了和前一条WEB效劳器的策略区别开来，这里取了“WEB-Server-Two作为策略名。 数据包的“源地址和“目的地址和上一条策略都是一样的。 “效劳就是我们对外网访问过来的数据包端口的限定，选择我们“自定义的效劳HTTP-Two 。 “NAT转换填入新的效劳器主机地址 0 和效劳端口80，如果这台效劳器不是用80端口作为效劳端口而使用8000作为效劳端口，那么我们在这里就需要填入8000 ，就是告知TL-FR5300将数据包转发到主机上的哪个监听端口？ 最后“确定就可以完成策略配置，返回上一级页面，可以看到如下列图所示的信息，可以看到从WANLAN方向上目前建立了两条策略。 四，FTP效劳器的搭建如果内网主机建立了一台FTP效劳器供外网访问，效劳端口是21，要怎样配置TL-FR5300呢？既然效劳器提供的效劳端口是21，那就是说外网的主机访问的时候数