防火墙NAT地址映射引起网络管理思考.docVIP

防火墙NAT地址映射引起网络管理思考 　　摘 要：本文从城域网网站服务器防火墙NAT地址映射故障入手，分析了故障出现的原因，提出了解决问题的办法。在解决过程中对网络管理进行了更深一步的思考，希望对同行业者有一些借鉴意义。 　　关键词：防火墙；地址映射；网络管理；优质服务 　　中图分类号：G434 文献标识码：A 文章编号：1671-7503（2013）13/15-0019-02 　　作为一个园区网络，一个城域网MAN（Metropolitan Area Networks）网络的结构中，通常是由各种类型的设备搭建组成。而教育城域网作为一个比较典型的MAN结构网络，通常由边界安全设备、核心骨干设备、用户认证及流量、行为管理系统以及数据中心及应用系统组成，为接入单位提供网络出口和相关服务。笔者所在教育城域网下属有100多个中小学、幼儿园，平时主要功能之一就是管理和维护门户网站平台，为整个教育系统实现公文流转、资源共享、政务公开等软环境建设提供有效的技术保障。因此，技术人员的配备、科学合理的部署、安全有序的管理成为一个城域网网络中心管理至关重要的三个因素，无论哪一环节出现错误，都势必给城域网网络中心造成安全隐患。 　　一、城域网网站服务器故障情况描述 　　中心一台Web服务器配置在硬件防火墙的DMZ区，服务器网卡设置的ip地址是合法的公网地址，然后在硬件防火墙做了内网地址nat映射，内外网络用户在访问服务器的时候都经过硬件防火墙转换进行访问。近期因为主网站服务器运行缓慢，网站打开报错，初步怀疑流量过大引起网络堵塞，由于这台服务器有双网卡的特性，中心技术人员准备让一块网卡配置内部地址，直接对内提供www服务，另外一块网卡配置合法的公网地址，存放在硬件防火墙的dmz区，通过地址映射对外提供服务。拓扑简图如图1所示： 　　服务器区通过交换机两条线路分别连接至防火墙和内网核心，并在交换机上配置两条路由指向防火墙和内网两个方向。在防火墙上对内网用户访问外网资源做基于源地址的NAT映射。 　　二、服务器访问出现故障原因分析 　　内网终端用户通过公网地址访问服务器区的服务器时，访问失败。 　　根据路由基于目的地址转发原理，终端用户通过公网地址访问服务器区，目的地址为公网地址，源地址为内网地址。数据包在防火墙进行转发，由于原先防火墙上对服务器网段进行了Source NAT Static映射，因此，目的地址（公网地址）将被转换为相应的服务器真实地址。但服务器接收到终端用户的访问请求时，其报文结构如下。 　　（1）Source IP Address 为终端用户内部IP。 　　（2）Destination IP Address 为服务器公网网卡地址。 　　服务器进行回包，目的地址为内网地址，但源地址则成为了服务器的真实地址。且数据包不会经过防火墙，而直接依据本地的静态路由，由新连接的内部网卡地址进行路由选路，由于未经过防火墙的地址映射，所以，当内网终端接收到这个数据包时，发现源地址并非是请求的目的地址，终端上层应用则会丢弃这个数据包。因此，导致访问失败。 　　三、问题解决方案 　　在防火墙上服务器区和内网区域之间做源地址映射Dynamic Source NAT，把服务器的回复强行指向了服务器的外网口，防火墙对终端的数据包的源地址进行转换，使得终端接收到的数据包的源地址仍为服务器的公网地址。 　　四、网络故障引起的管理思考 　　近年来，我市紧紧围绕“创建江苏省优质均衡发展县市”的发展目标，全面实施教育现代化，努力建设“数字教育”，取得了显著成效。目前，随着优质均衡化发展建设的深入推进，全市在原有硬件和软件的基础上追加投入7700万元，用于改善和提高学校信息化水平，学校目前信息化各项指标都已经达到或者远远超过江苏省信息化I类标准，正努力向国家信息化示范标准靠齐。硬件的完善、软件功能的提高，使得信息技术在教学、管理领域广泛应用，但是，如果脱离了网络环境，任何手段和资源就变成了局部化，违背了当今共享、交流和完善的指导思想，所以，设备的正常运作，网络的畅通与否直接关系到信息技术手段是否能更好地服务于“学校的管理、教师的教学、学生的学习”，因此，从一件小的网络配置事故，笔者认为无论是教育城域网的技术人员也好，还是学校的电教主任或者网络管理员也好，我们都要高度重视自己工作的职责，从细节抓起，从小事做起，让信息技术这个“小平台”能更好地发挥“大作用”，努力做好以下几个方面的工作。 　　1.强化科学合理部署 　　一个网络建网初期和后期硬件升级改造，不论是决策层还是技术层，我们都应该本着“事先规划、科学论证、实践探讨”的原则，重视方案的可实施性，科学合理部署，切勿随意根据个人意愿进行部署和实施，引起故障，造成不可挽回的损失。当然，作为一