LANLAN端口映射Word下载.docx

LANLAN端口映射Word下载.docx

《LANLAN端口映射Word下载.docx》由会员分享，可在线阅读，更多相关《LANLAN端口映射Word下载.docx（9页珍藏版）》请在冰豆网上搜索。

如下图所示：

名词解释：

DNAT:

转换目标ip地址

SNAT：

转换源ip地址

需求：

内网用户通过访问202.96.128.5：

80端口来访问内网服务器。

数据流走向分析：

内网服务器的真实ip和访问端口是192.168.2.10：

80，要能访问到这个服务器资源，必须需要把访问的目标ip202.96.128.5转换成192.168.2.10，这样访问数据包才会转回内网，否则数据包交到公网上，将访问不到真实的服务器。

那么需要在设备上做一次DNAT（对访问服务器的数据做目标ip的转换）。

如果只在设备上做一次DNAT上网转换的数据包和转发流程如下图所示：

文中所列的数据包的结构均为：

第一步：

封装访问到目标ip为202.96.128.5的数据由客户端发出

第二步：

在设备的LAN口接收到数据包，匹配DNAT规则，对数据包进行目标ip的转换

第三步：

经过设备转换的数据包从LAN口发出，交给局域网的真实服务器192.168.2.10

第四步：

服务器对访问请求做回应，他收到数据包的源ip是192.168.2.3，然后把这个源ip成为封装回应的目标ip，那么数据包由内网服务器直接发给内网主机

第五步：

内网主机收到一个源ip为192.168.2.10的回应，和它发给目标ip为202.96.128.5的请求不一致，所以数据包直接被丢弃。

在客户端看来，访问服务器失败。

由以上的数据包流程可以看出，要保证内网客户端能访问到服务器，只做DNAT是不够的。

需要服务器将回应数据发回给网关设备,再由网关设备转回给客户端，客户端才会接受。

流程图如下图所示：

如果让服务器的数据发给网关，那要使服务器接收到的数据源ip是网关的ip，所以网关发给服务器的数据包结构应该是：

这个数据包和只做了一次DNAT从网关处发出的数据包

相比，源ip做了转换，所以需要在网关设备处再做一次SNAT.

如果网关要代理内网上网，那一定也启用了SNAT，进行私有地址到公网地址的转换。

所以这里的SNAT，必须要设置条件，符合条件才转换，而且要比上网的SNAT优先匹配。

否则会对上网产生影响。

先经过网关设备DNAT处理将目的地址原来为外网口ip改为内部服务器ip，在经过SNAT处理将客户端ip改为设备LAN口ip，数据包走向如下图：

由于在网关处做了DNAT和SNAT的转换，每做一次转换，设备都会记录一个链接，当服务器回应数据在经过网关时网关会根据连接在做一次DNAT和SNAT，那么数据包发回给访问客户端的是

，对于客户端来说，他之前是发给202.96.128.5的访问请求，所以会接受数据包。

此外对于网关设备来说，数据包是由LAN传给LAN的，所以还需要方通防火墙的LAN-LAN规则。

-----------------------------------------------------------------------------

具体实例

网络拓扑

具体网络环境描述：

网络拓扑和ip情况如上图所示，某高校要采用网上阅卷系统，该系统采用8080端口，要求实现内网和外网用户都通过WAN口ip即60.6.228.55访问内网的阅卷系统，并且内网用户能够远程桌面到该服务器，本例利用深信服的设备并配以配置截图分两个部分进行介绍

实现要求：

内网用户用户和外网用户都能通过外网ip访问阅卷系统

1.首先满足的要求是外网用户能够访问内部的阅卷系统，即做一个端口映射将内部服务发布到互联网，配置截图如下图所示

2.满足内网用户通过外网ip访问内部的阅卷系统

先做DNAT将发往目的到60.6.228.55的8080端口的数据包导向到172.16.1.188的8080端口，注意外网接口应选择LAN口。

再做SNAT将满足ip172.16.0.0的内网客户端的请求ip替换成设备的IP（LAN口WAN口均可以只要是设备的ip即可）,同样注意外网接口选择LAN口。

最后在放通LAN-LAN相应的规则

内网用户能够远程桌面到该阅卷系统服务器

由于只是内网用户远程桌面到该服务器不存在外网用户的问题，所以省去了对外发布的步骤，原理和前一个配置类似下面只是简单截图

1.DNAT

2.SNAT

3.放行LAN-LAN规则

总结：

凡是内网用户想通过外网ip或者域名访问内网服务的所有配置都可以以此类推！

！