LAN-LAN端口映射.doc

LAN-LAN端口映射 下面分别从实现原理和一个具体事例来说明。 应用背景：局域网内网有服务器对外发布，基于对服务器的保护，内网用户需通过域名或者公网ip来访问内网服务器。如下图所示： 名词解释：????? DNAT:转换目标ip地址 ????? SNAT：转换源ip地址 需求：内网用户通过访问202.96.128.5：80端口来访问内网服务器。数据流走向分析：内网服务器的真实ip和访问端口是192.168.2.10：80，要能访问到这个服务器资源，必须需要把访问的目标ip202.96.128.5转换成192.168.2.10，这样访问数据包才会转回内网，否则数据包交到公网上，将访问不到真实的服务器。那么需要在设备上做一次DNAT（对访问服务器的数据做目标ip的转换）。 如果只在设备上做一次DNAT上网转换的数据包和转发流程如下图所示： 文中所列的数据包的结构均为： 第一步：封装访问到目标ip为202.96.128.5的数据由客户端发出 第二步：在设备的LAN口接收到数据包，匹配DNAT规则，对数据包进行目标ip的转换 第三步：经过设备转换的数据包从LAN口发出，交给局域网的真实服务器192.168.2.10 第四步：服务器对访问请求做回应，他收到数据包的源ip是192.168.2.3，然后把这个源ip成为封装回应的目标ip，那么数据包由内网服务器直接发给内网主机 第五步：内网主机收到一个源ip为192.168.2.10的回应，和它发给目标ip为202.96.128.5的请求不一致，所以数据包直接被丢弃。在客户端看来，访问服务器失败。 由以上的数据包流程可以看出，要保证内网客户端能访问到服务器，只做DNAT是不够的。需要服务器将回应数据发回给网关设备,再由网关设备转回给客户端，客户端才会接受。流程图如下图所示： ?如果让服务器的数据发给网关，那要使服务器接收到的数据源ip是网关的ip，所以网关发给服务器的数据包结构应该是： 这个数据包和只做了一次DNAT从网关处发出的数据包 相比，源ip做了转换，所以需要在网关设备处再做一次SNAT. 如果网关要代理内网上网，那一定也启用了SNAT，进行私有地址到公网地址的转换。所以这里的SNAT，必须要设置条件，符合条件才转换，而且要比上网的SNAT优先匹配。否则会对上网产生影响。先经过网关设备DNAT处理将目的地址原来为外网口ip改为内部服务器ip，在经过SNAT处理将客户端ip改为设备LAN口ip，数据包走向如下图： 由于在网关处做了DNAT和SNAT的转换，每做一次转换，设备都会记录一个链接，当服务器回应数据在经过网关时网关会根据连接在做一次DNAT和SNAT，那么数据包发回给访问客户端的是 ，对于客户端来说，他之前是发给202.96.128.5的访问请求，所以会接受数据包。 此外对于网关设备来说，数据包是由LAN传给LAN的，所以还需要方通防火墙的LAN-LAN规则。 ----------------------------------------------------------------------------- 具体实例 网络拓扑 具体网络环境描述： 网络拓扑和ip情况如上图所示，某高校要采用网上阅卷系统，该系统采用8080端口，要求实现内网和外网用户都通过WAN口ip即60.6.228.55访问内网的阅卷系统，并且内网用户能够远程桌面到该服务器，本例利用深信服的设备并配以配置截图分两个部分进行介绍 实现要求：内网用户用户和外网用户都能通过外网ip访问阅卷系统 1.首先满足的要求是外网用户能够访问内部的阅卷系统，即做一个端口映射将内部服务发布到互联网，配置截图如下图所示 2.满足内网用户通过外网ip访问内部的阅卷系统 先做DNAT将发往目的到60.6.228.55的8080端口的数据包导向到172.16.1.188的8080端口，注意外网接口应选择LAN口。 再做SNAT将满足ip172.16.0.0的内网客户端的请求ip替换成设备的IP（LAN口WAN口均可以只要是设备的ip即可）,同样注意外网接口选择LAN口。 最后在放通LAN-LAN相应的规则 实现要求：内网用户能够远程桌面到该阅卷系统服务器 由于只是内网用户远程桌面到该服务器不存在外网用户的问题，所以省去了对外发布的步骤，原理和前一个配置类似下面只是简单截图 1.DNAT 2.SNAT 3.放行LAN-LAN规则 ?总结：凡是内网用户想通过外网ip或者域名访问内网服务的所有配置都可以以此类推！！