内部服务器如何提供访问服务.docx

内部服务器如何提供访问服务.docx

《内部服务器如何提供访问服务.docx》由会员分享，可在线阅读，更多相关《内部服务器如何提供访问服务.docx（8页珍藏版）》请在冰豆网上搜索。

内部服务器如何提供访问服务

但总体而言，内部服务器开放了有限的端口，或者说是用得着的端口，并不是所有端口，所谓端口就代表这某项服务，有些已知的服务是存在漏洞的，比如蠕虫病毒使用的TCP135端口就使用RPCDCOM服务的漏洞。

如果内部服务器开放端口较多，那么就要求收集所有端口，一一做成内部服务器的端口映射，如此一来配置可能就稍显麻烦。

现在还有一种DMZ主机的功能，它的作用是将所有无法匹配共享上网表项的外网访问统统转换到DMZ主机，这么一来用户就只需要配置一台DMZ主机就可以实现配置内部服务器多个端口映射需求，在配置上带来了简便，但是从原理上来说DMZ主机只能配置一个，而内部服务器端口映射可以将不同的端口映射到不同的内部服务器上。

DMZ主机原理如下图所示：

由于DMZ主机几乎所有端口都暴露，所以极容易被入侵，一般在设计DMZ主机时都会限制DMZ主机发起的任何访问，如不允许DMZ主机对互联网和LAN内PC发起访问。

只允许DMZ主机对访问进行响应，这样可以避免因为DMZ主机被入侵后，黑客利用DMZ主机再发起对内部的入侵的悲剧发生。

内部服务器（端口映射）

DMZ主机（默认端口转发）

访问端口权限

允许访问指定的端口

允许访问所有端口

是否单向访问隔离

在默认情况，内部服务器还可以访问外网

因为安全原因，DMZ主机不得发起任何访问，只允许被访问

适用场景

对服务器安全要求较高；允许内部服务器发起访问；存在多个内部服务器；

内部只有一台服务器对外提供多个访问服务（开放多个端口，特别是一些端口不易收集或记忆情况）；对服务器安全不是那么重视。

内部PC对内部服务器发起访问

内部PC和内部服务器都在客户的内部网络，那么访问的时候有什么特殊性呢，如果单纯的内网访问内网是绝对没有问题，问题就在于内部服务器主要是对外提供服务的，访问者记住的是域名，域名解析出来就是商领网关的WAN口地址，也就是说访问者都是在访问WAN口地址后转换的，那么内网用户也通过域名（或WAN口地址）发起访问会有什么问题呢？

我们来看一下原理：

我们会发现，内网用户通过WAN口地址直接访问内部服务器是会失败的，原因就在于：

1.内部PC访问60.191.99.140会正确地进行转换成192.168.10.2，并转发给内部服务器。

2.内部服务器收到的访问请求是来自于内部的192.168.8.3，在回应时直接给了192.168.8.3。

3.内部PC收到的访问回应时来自于192.168.10.2的，并不是60.191.99.140的，因此会被内部PC拒绝，访问失败。

为了使内部PC能够正确访问，我们要在商领网关上做一些修改，能够使内部服务器不直接回应给内部PC：

可以看到：

1.目的地址从60.191.99.140转换成192.168.10.2

2.源地址也从192.168.8.3变成了商领网关的LAN口地址192.168.10.1

对于内部服务器来说这次访问是由网关发起的，必然回应给网关：

从这里可以看出，网关在对回应的处理也是做了两次：

1.把源地址60.191.99.140改成192.168.10.2

2.把目的地址192.168.10.1改成192.168.8.3

对于内部PC而言，访问的是60.191.99.140，回应的也是60.191.99.140，因此访问成功。

那么如何进行这个配置呢？

假设内部PC的网段包括192.168.8.0/24、192.168.1.0/24和192.168.10.0/24，请参考如下：