内网服务器防火墙作用,防火墙内网用户通过公网域名或公网IP访问内部服务器 - 华为技术论坛 - 51CTO技术论坛_中国领先的IT技术社区...

发表于 2010-10-12 21:59 | 来自

51CTO网页

内网使用公网地址访问内部服务器需求的实现

产品型号：100V

方法一、R002版本支持。

方法二、使用下面的配置进行规避：

100V不支持NAT DNS MAP，但可以通过下面的配置来规避。

----+-------公网

|

|

+-------+--------------+

|     g0/1     1.0.0.1 |

|                      |

| SevcPath1000F        |

|                      |

|   g0/0    2.0.0.1 sub|

|        10.153.98.150 |

+-------+--------------+

|  模拟1.0.0.3 地址 Nat server

|

-----+-------+----------+-----内网

|                  |

|                  |

+-----+---------+   +----+---------------+

| Nat server    |   |  PC client         |

|   2.0.0.2     |   |   10.153.98.118    |

|               |   |                    |

| route 2.0.0.1 |   | route 10.153.98.150|

|               |   |                    |

+---------------+   +--------------------+

Nat server设备，只要缺省路由指向2.0.0.1就可以。

PC  client设备，只要缺省路由指向10.153.98.150 就可以。

这两个 next hop，恰好是 secpath 1000F的内网接口的地址。

为了一个接口支持2个IP地址，使用副IP地址。

然后在"内网的接口"上，配置 nat server即可

nat outbound根本不需要。

[1KF.1225.SP03-GigabitEthernet0/0]dis this

#

interface GigabitEthernet0/0

ip address 10.153.98.150 255.255.255.0

ip address 2.0.0.1 255.0.0.0 sub

nat server protocol udp global 1.0.0.3 any inside 2.0.0.2 any

nat server protocol icmp global 1.0.0.3 inside 2.0.0.2

nat server protocol tcp global 1.0.0.3 any inside 2.0.0.2 any

#

return

[1KF.1225.SP03-GigabitEthernet0/0]

然后，PC client就可以正常访问1.0.0.3 地址，好像这个地址在公网上存在一样。

其实这个地址同样出在内网。SecPath1000F的公网口，根本没有任何包发出。

SecPath1000F / SecPath1000 设备都可以成功。

没有发现差别。

本帖最后由 小侠唐在飞 于 2010-10-12 22:00 编辑

JNCIE-SP、JNCIE-DC、JNCIE-SEC、JNCIE-ENT

天下风云出我辈， 一入江湖岁月催。当年的“小侠唐在飞” 如今变成了“大侠唐在飞”。♫金杯银杯，不如网友的口碑；金奖银奖，不如网友的褒奖；熊掌鸭掌，不如网友的鼓掌~

♥