LAN-LAN端口映射.doc

  1. 1、本文档共11页,可阅读全部内容。
  2. 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
  3. 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载
  4. 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
LAN-LAN端口映射

LAN-LAN端口映射 下面分别从实现原理和一个具体事例来说明。 应用背景:局域网内网有服务器对外发布,基于对服务器的保护,内网用户需通过域名或者公网ip来访问内网服务器。如下图所示: 名词解释:????? DNAT:转换目标ip地址 ????? SNAT:转换源ip地址 需求:内网用户通过访问202.96.128.5:80端口来访问内网服务器。数据流走向分析:内网服务器的真实ip和访问端口是192.168.2.10:80,要能访问到这个服务器资源,必须需要把访问的目标ip202.96.128.5转换成192.168.2.10,这样访问数据包才会转回内网,否则数据包交到公网上,将访问不到真实的服务器。那么需要在设备上做一次DNAT(对访问服务器的数据做目标ip的转换)。 如果只在设备上做一次DNAT上网转换的数据包和转发流程如下图所示: 文中所列的数据包的结构均为: 第一步:封装访问到目标ip为202.96.128.5的数据由客户端发出 第二步:在设备的LAN口接收到数据包,匹配DNAT规则,对数据包进行目标ip的转换 第三步:经过设备转换的数据包从LAN口发出,交给局域网的真实服务器192.168.2.10 第四步:服务器对访问请求做回应,他收到数据包的源ip是192.168.2.3,然后把这个源ip成为封装回应的目标ip,那么数据包由内网服务器直接发给内网主机 第五步:内网主机收到一个源ip为192.168.2.10的回应,和它发给目标ip为202.96.128.5的请求不一致,所以数据包直接被丢弃。在客户端看来,访问服务器失败。 由以上的数据包流程可以看出,要保证内网客户端能访问到服务器,只做DNAT是不够的。需要服务器将回应数据发回给网关设备,再由网关设备转回给客户端,客户端才会接受。流程图如下图所示: ?如果让服务器的数据发给网关,那要使服务器接收到的数据源ip是网关的ip,所以网关发给服务器的数据包结构应该是: 这个数据包和只做了一次DNAT从网关处发出的数据包 相比,源ip做了转换,所以需要在网关设备处再做一次SNAT. 如果网关要代理内网上网,那一定也启用了SNAT,进行私有地址到公网地址的转换。所以这里的SNAT,必须要设置条件,符合条件才转换,而且要比上网的SNAT优先匹配。否则会对上网产生影响。先经过网关设备DNAT处理将目的地址原来为外网口ip改为内部服务器ip,在经过SNAT处理将客户端ip改为设备LAN口ip,数据包走向如下图: 由于在网关处做了DNAT和SNAT的转换,每做一次转换,设备都会记录一个链接,当服务器回应数据在经过网关时网关会根据连接在做一次DNAT和SNAT,那么数据包发回给访问客户端的是 ,对于客户端来说,他之前是发给202.96.128.5的访问请求,所以会接受数据包。 此外对于网关设备来说,数据包是由LAN传给LAN的,所以还需要方通防火墙的LAN-LAN规则。 ----------------------------------------------------------------------------- 具体实例 网络拓扑 具体网络环境描述: 网络拓扑和ip情况如上图所示,某高校要采用网上阅卷系统,该系统采用8080端口,要求实现内网和外网用户都通过WAN口ip即60.6.228.55访问内网的阅卷系统,并且内网用户能够远程桌面到该服务器,本例利用深信服的设备并配以配置截图分两个部分进行介绍 实现要求:内网用户用户和外网用户都能通过外网ip访问阅卷系统 1.首先满足的要求是外网用户能够访问内部的阅卷系统,即做一个端口映射将内部服务发布到互联网,配置截图如下图所示 2.满足内网用户通过外网ip访问内部的阅卷系统 先做DNAT将发往目的到60.6.228.55的8080端口的数据包导向到172.16.1.188的8080端口,注意外网接口应选择LAN口。 再做SNAT将满足ip172.16.0.0的内网客户端的请求ip替换成设备的IP(LAN口WAN口均可以只要是设备的ip即可),同样注意外网接口选择LAN口。 最后在放通LAN-LAN相应的规则 实现要求:内网用户能够远程桌面到该阅卷系统服务器 由于只是内网用户远程桌面到该服务器不存在外网用户的问题,所以省去了对外发布的步骤,原理和前一个配置类似下面只是简单截图 1.DNAT 2.SNAT 3.放行LAN-LAN规则 ?总结:凡是内网用户想通过外网ip或者域名访问内网服务的所有配置都可以以此类推!!

文档评论(0)

153****9595 + 关注
实名认证
内容提供者

该用户很懒,什么也没介绍

1亿VIP精品文档

相关文档