需求場景

• 內網兩段用戶 10.10.1.0/24、10.10.2.0/24 經防火牆上網
• 外網用戶透過防火牆外網 IP 訪問內網 Web 伺服器 10.10.1.200
• 內網用戶亦可透過 Web 伺服器外網地址反向訪問（NAT 回流）

網路拓撲與位址規劃

項目	位址/說明
防火牆外網介面	218.90.123.121/30
防火牆內網介面	192.168.0.253/30
核心交換機防火牆 VLAN	192.168.0.254/30
核心交換機用戶群 A VLAN	10.10.1.0/24
核心交換機用戶群 B VLAN	10.10.2.0/24
用戶群 A 預設閘道	10.10.1.254
用戶群 B 預設閘道	10.10.2.254
防火牆至出口預設閘道	218.90.123.122/30
核心交換機至防火牆閘道	192.168.0.253
內網 Web 伺服器	10.10.1.200/32（防火牆映射為公網位址）

配置重點邏輯

1. 介面劃分區域：外網區、內網區、DMZ 區（Web 伺服器）
2. 路由設定：防火牆指向出口閘道；核心交換機指向防火牆內網介面；用戶閘道指向核心交換機對應 VLAN IP
3. NAT 策略：
   • 來源 NAT（SNAT）：內網兩段來源轉換為防火牆外網 IP 上網
   • 目的 NAT（DNAT）：外網存取防火牆公網 IP:80/443 → 映射至 10.10.1.200
   • NAT 回流：內網存取公網 IP 時，防火牆識別並正確 DNAT 回內網伺服器，來源同時 SNAT 為防火牆內網 IP 確保回程對稱
4. 安全策略：內網→外網允許；外網→DMZ 允許 HTTP/HTTPS；內網→DMZ 允許（含回流）；其餘預設拒絕
5. 管理存取：依出廠手冊以 Console/Web/SSH 進行初始配置

驗證清單

• 雙內網段正常上網
• 外網可存取 Web 服務
• 內網以公網域名/IP 存取 Web 正常（回流生效）
• 非授權連線被阻擋且有日誌

此配置為典型企業邊界防火牆部署模式：雙內網段、DMZ 發布、NAT 回流三大核心能力驗收標準。