LANLAN端口映射Word下载.docx

1、如下图所示：名词解释： DNAT:转换目标ip地址 SNAT：转换源ip地址需求：内网用户通过访问202.96.128.5：80端口来访问内网服务器。数据流走向分析：内网服务器的真实ip和访问端口是192.168.2.10：80，要能访问到这个服务器资源，必须需要把访问的目标ip202.96.128.5转换成192.168.2.10，这样访问数据包才会转回内网，否则数据包交到公网上，将访问不到真实的服务器。那么需要在设备上做一次DNAT（对访问服务器的数据做目标ip的转换）。如果只在设备上做一次DNAT上网转换的数据包和转发流程如下图所示：文中所列的数据包的结构均为：第一步：封装访问到目标ip

2、为202.96.128.5的数据由客户端发出第二步：在设备的LAN口接收到数据包，匹配DNAT规则，对数据包进行目标ip的转换第三步：经过设备转换的数据包从LAN口发出，交给局域网的真实服务器192.168.2.10第四步：服务器对访问请求做回应，他收到数据包的源ip是192.168.2.3，然后把这个源ip成为封装回应的目标ip，那么数据包由内网服务器直接发给内网主机第五步：内网主机收到一个源ip为192.168.2.10的回应，和它发给目标ip为202.96.128.5的请求不一致，所以数据包直接被丢弃。在客户端看来，访问服务器失败。由以上的数据包流程可以看出，要保证内网客户端能访问到服务

3、器，只做DNAT是不够的。需要服务器将回应数据发回给网关设备,再由网关设备转回给客户端，客户端才会接受。流程图如下图所示：如果让服务器的数据发给网关，那要使服务器接收到的数据源ip是网关的ip，所以网关发给服务器的数据包结构应该是：这个数据包和只做了一次DNAT从网关处发出的数据包相比，源ip做了转换，所以需要在网关设备处再做一次SNAT.如果网关要代理内网上网，那一定也启用了SNAT，进行私有地址到公网地址的转换。所以这里的SNAT，必须要设置条件，符合条件才转换，而且要比上网的SNAT优先匹配。否则会对上网产生影响。先经过网关设备DNAT处理将目的地址原来为外网口ip改为内部服务器ip，在

4、经过SNAT处理将客户端ip改为设备LAN口ip，数据包走向如下图：由于在网关处做了DNAT和SNAT的转换，每做一次转换，设备都会记录一个链接，当服务器回应数据在经过网关时网关会根据连接在做一次DNAT和SNAT，那么数据包发回给访问客户端的是 ，对于客户端来说，他之前是发给202.96.128.5的访问请求，所以会接受数据包。此外对于网关设备来说，数据包是由LAN传给LAN的，所以还需要方通防火墙的LAN-LAN规则。-具体实例网络拓扑具体网络环境描述：网络拓扑和ip情况如上图所示，某高校要采用网上阅卷系统，该系统采用8080端口，要求实现内网和外网用户都通过WAN口ip即60.6.228

5、.55访问内网的阅卷系统，并且内网用户能够远程桌面到该服务器，本例利用深信服的设备并配以配置截图分两个部分进行介绍实现要求：内网用户用户和外网用户都能通过外网ip访问阅卷系统1.首先满足的要求是外网用户能够访问内部的阅卷系统，即做一个端口映射将内部服务发布到互联网，配置截图如下图所示2.满足内网用户通过外网ip访问内部的阅卷系统先做DNAT将发往目的到60.6.228.55的8080端口的数据包导向到172.16.1.188的8080端口，注意外网接口应选择LAN口。再做SNAT将满足ip172.16.0.0的内网客户端的请求ip替换成设备的IP（LAN口WAN口均可以只要是设备的ip即可）,同样注意外网接口选择LAN口。最后在放通LAN-LAN相应的规则内网用户能够远程桌面到该阅卷系统服务器由于只是内网用户远程桌面到该服务器不存在外网用户的问题，所以省去了对外发布的步骤，原理和前一个配置类似下面只是简单截图1.DNAT2.SNAT3.放行LAN-LAN规则总结：凡是内网用户想通过外网ip或者域名访问内网服务的所有配置都可以以此类推！