文档名称 文档密级：
rule 5 permit ip source 10.10.10.0 0.0.0.255 rule 10 deny ip ---------配置错误
acl number 3001
rule 5 permit ip source 10.10.20.0 0.0.0.255
nat instance 1 add slot 8 master
nat address-group 1 112.12.2.1 112.12.2.254 nat address-group 2 112.12.3.1 112.12.3.254 nat outbound 3001 address-group 1 nat outbound 3002 address-group 2
5.2.2 traffic policy配置
用户上线做NAT转换，必须在用户域下配置user-group，配置UCL(即ACL 6000-9999段)匹配用户的user-group，在全局视图下绑定traffic-policy，不能在用户上线的接口下绑定。
用户上线的情况下，user-group和用户域是1：1的对应关系，不支持同一个域有部分用户做NAT，部分用户不做NAT的情况。
非用户上线的流量，配置ACL 3000-3999或2000-2999， traffic policy只能绑定在具体的接口视图或子接口视图下，不能在全局视图下配置。
Traffic policy只能配置inbound方向。
5.2.3 配置traffic policy和nat outbound时分配需要匹配ACL，两者可以按以下关系配置：
1）用户上线根据UCL配置traffic policy，在配置nat outbound时如果不需要区分不同网段用户选地址池，可以直接配置nat outbound any address-group；如果需要根据ACL选择地址池，建议按照匹配用户的私网IP段的模式进行配置。
配置参考：
ip pool 1 bas local
gateway 192.168.0.1 255.255.255.0 section 0 192.168.0.1 192.168.0.254
user-group 1
domain 1 ip-pool 1 user-group 1
2014-4-30
华为机密，未经许可不得扩散
第11页, 共20页
文档名称 文档密级：
………
acl number 6000
rule 5 permit ip source user-group 1
traffic classifier nat operator or if-match acl 6000
traffic behavior nat nat bind instance 1
traffic policy 1
classifier nat behavior nat
traffic-policy 1 inbound
用户上线分配的私网IP为192.168.0.1/24 网段，可以配置ACL 3000匹配该源IP段，nat outbound 匹配该ACL
acl number 3000
rule 5 permit ip source 192.168.0.0 0.0.0.255
nat instance 1 add slot 8 master
nat address-group 1 112.12.2.1 112.12.2.254 nat outbound 3000 address-group 1
或者不关心私网IP时可以不配置nat outbound的acl，直接按照如下配置
nat instance 1 add slot 8 master
nat address-group 1 112.12.2.1 112.12.2.254 nat outbound any address-group 1
2）非用户上线场景，可以在traffic policy和nat outbound中使用相同的ACL.
acl number 3000
rule 5 permit ip source 10.10.0.0 0.0.0.255
nat instance 1 add slot 8 master
nat address-group 1 112.12.2.1 112.12.2.254 nat outbound 3000 address-group 1
traffic classifier nat operator or if-match acl 3000
2014-4-30
华为机密，未经许可不得扩散
第12页, 共20页