双出口映射单个NIC服务器.docVIP

双出口映射单网卡服务器解决方案 解决方案应用场景：出口路由器接两家运营商线路，均使用固定公网地址上外网，内网有一台单网卡的FTP服务器，现要将其分别映射至两个公网出口，实现外网用户通过公网地址能正常访问FTP服务器。 网络拓扑图： 解决方案思路： 内网用户上公网通过在两个公网口分别做nat outbound，电信出接口配置一条默认路由，网通出接口配置一条优先级低于电信出接口的默认路由并添加目的地址为网通网段的精细路由； 若双出口上映射同一个FTP服务器的私网地址，则可能出现端口被占用的情况，为解决这个问题，给服务器配置两个私网地址，分别用做两个外网口上做nat server的内部地址：其中电信出口映射的内部地址为53，网通出口映射的内部地址为54； 做完以上两个步骤后，电信地址访问电信出口没有问题，网通地址访问网通出口也没有问题，但是网通地址访问电信出口就会出现数据包来回路径不一致的现象：网通地址访问电信接口时，首先电信出接口通过nat server定向至53，服务器回包时一看源地址为网通地址，就匹配精细路由出去了。同样的电信地址访问网通出接口也可能出现数据包来回不一致的情况； 为解决第3步出现的问题，通过定义匹配源的策略路由来解决：源为53目的地址任意的访问下一跳指向电信出口网关，源为54目的地址任意的访问下一跳指向网通出口网关。此时网通地址访问电信出接口时，首先电信出接口通过nat server定向至53，服务器回包时匹配源为53的策略路由，仍然走电信出接口出去，这样就实现了数据包的来回一致，电信地址访问网通出接口也是一样。 五、 测试配置文件 出口路由器：MSR30-11 # acl number 2000 rule 0 permit # acl number 3000 //定义源为53的ACL rule 0 permit ip source 53 0 acl number 3001 //定义源为54的ACL rule 0 permit ip source 54 0 # vlan 1 # domain system access-limit disable state active idle-cut disable self-service-url disable # user-group system # local-user admin password cipher .]@USE=B,53Q=^Q`MAF41!! authorization-attribute level 3 service-type telnet # cwmp undo cwmp enable # interface Aux0 async mode flow link-protocol ppp # interface Ethernet0/0 //此接口为出口路由器的内网口 port link-mode route ip address undo ipv6 fast-forwarding ip policy-based-route policy //将匹配源地址为服务器私网地址的策略路由下发至内网口 # interface Ethernet0/1 port link-mode route undo ipv6 fast-forwarding # interface Ethernet3/0 //此接口为电信出接口 port link-mode route description to-dianxin nat outbound 2000 nat server protocol tcp global ftp inside 53 ftp //映射53 ip address 52 undo ipv6 fast-forwarding # interface Ethernet3/1 //此接口为网通出接口 port link-mode route description to-wangtong nat outbound 2000 nat server protocol tcp global ftp inside 54 ftp //映射54 ip address 52 undo ipv6 fast-forwarding # interface Serial0/0 link-protocol ppp undo ipv6 fast-forwarding # interface NULL0 # policy-based-route policy permit node 0 //匹配ACL3000的走电信出接口 if-