SANGFOR_IPSEC_端口映射(包括LAN-LAN)配置指导.pdfVIP

深信服科技 SANGFOR VPN 端口 映射配置文档 深信服电子科技有限公司 2012 年07 月09 日 深信服科技 提升带宽价值 SANGFOR VPN 端口映射配置文档 端口映射背景需求 由于公网IP 匮乏，或出于安全因素，企业内网常常都是采用私有IP 规划自身的网络， 而如果内网有服务器需要让公网用户正常访问，而私有 IP 是不为公网用户访问到的，这时 候，就需要在网络出口（有公网 IP ）上做端口映射，以达到该需求，当我们的设备作为网 络出口时，需要做端口映射，就是该文档的制作目的。 文档说明 此文档适用纯VPN 设备（1050/1150 或S5100 /P5100），以及SSL VPN 设备。本文以 SSL VPN 设备的配置界面为例。 WAN-LAN 端口映射 网络拓扑：SSL 设备网关部署，WAN 口IP ：22/ ，LAN 口 IP ：/、内网http 服务器 IP ：0。客户在域名提供商那里 做了域名解析，把域名 解析为：22 （举例）：以下以SSL M5.5 为例截图配置，其他版本同理。配置如图： 深信服科技 提升带宽价值 注意：如图如果没有提示【防火墙自动放通过滤规则】，防火墙不会自动放通过滤规则， 深信服科技 提升带宽价值 需要手动放通防火墙规则WAN LAN 对应的端口号。 Lan-Lan 的端口映射 背景需求举例：SSL 设备作为网关部署在出口wan 口IP ：22，内网使用私 有 IP 地址，内部有服务器：0。客户在域名运营商申请了域名解析，比如： 指向 22. 当公网用户访问域名 的时 候，实际上就是访问 IP 地址 22 ，这种情况下，我们只需要做一条普通的 WAN-LAN 的端口映射就可以满足需求了 。而如果客户内网的用户，也希望通过域名 或者IP22 访问服务器，这个时候，普通的WAN-LAN 的端 口映射就不能满足需求了，就需要做LAN-LAN 的端口映射，在加一条SNAT 代理上网才能 满足需求。以下以SSL M5.5 来截图配置来说明： LAN-LAN 的端口映射配置： 深信服科技 提升带宽价值 一条SNAT 的代理上网规则： 深信服科技 提升带宽价值