配置公网和私网用户通过非公网口的IP地址访问内部服务器和Internet示例

周工不想解梦2023-10-22 17:19
组网需求

如配置公网和私网用户通过非公网口的IP地址访问内部服务器和Internet示例所示，某小型企业内网部署了一台路由器、一台FTP服务器和一台Web服务器。路由器作为接入网关，为下挂的内网用户提供上网服务，主要包括浏览网页、使用即时通信工具、观看视频、访问邮箱等。企业内网的FTP/Web服务器对内网和外网用户分别提供FTP服务和WWW服务。该企业有两个公网IP地址，一个1.1.1.1/24部署在网关上行接口，另一个1.1.1.3/24预留给内部FTP/Web服务器使用。企业希望在路由器上配置NAT功能，使内网用户可以访问Internet，同时外网和内网用户都可以通过预留的公网IP地址访问内部FTP/Web服务器。

图1配置公网和私网用户通过非公网口的IP地址访问内部FTP/Web服务器和Internet

数据准备
项目 数据 说明
路由器上行接口IP地址 GE0/0/1：1.1.1.1/24（公网口） 使用三层接口GE0/0/1连接Internet。
路由器下行接口IP地址 GE0/0/2：192.168.1.1/24 使用三层接口GE0/0/2连接企业内网用户。如果有多个内网用户需要上网，可以在路由器上下挂一个二层交换机来扩展用户个数。
对端运营商接口的IP地址 1.1.1.2/24 对端运营商接口的IP地址用于配置路由信息，否则内网用户上网的报文无法转发到Internet。
FTP服务器的内网IP地址和端口号 Web服务器的内网IP地址和端口号 192.168.1.2/24：21 192.168.1.3/24：80 企业内网分配给FTP/Web服务器的内网IP地址和端口号。本例中，虽然内网用户和FTP/Web服务器都在内网，但是为了防止内部服务器受内网用户的攻击，要求内网用户也通过预留的公网IP地址来访问FTP/Web服务器。
FTP服务器映射后的公网IP地址和端口号 Web服务器映射后的公网IP地址和端口号 1.1.1.3/24：21 1.1.1.3/24：9080 该企业预留了一个公网IP地址1.1.1.3/24给内部FTP/Web服务器使用。因此，可以使用该公网IP地址作为FTP/Web服务器映射后的公网IP地址。同时，需要规划不同的公网端口号21和9080来区分FTP/Web服务器。
内网用户HostA的IP地址 192.168.1.10/24 企业内部分配给用户的内网IP地址，用于验证内网用户访问Internet、FTP和Web服务器是否正常。
外网用户HostC的IP地址 2.2.2.2/24 外部用户的公网IP地址，用于验证外网用户访问内网的FTP/Web服务器是否正常。
[表1数据准备表]
配置思路
  1. 配置路由器的接口IP地址、缺省路由，实现内部网络和外部Internet之间三层互通。
  2. 在路由器的上行接口配置Easy IP方式的NAT Outbound，实现内网用户访问Internet功能。
  3. 在路由器的上行接口配置服务器映射NAT Static，实现外网用户访问内部FTP/Web服务器功能。
  4. 在路由器上，开启FTP的NAT ALG功能。FTP协议是一个多通道协议，需要配置NAT ALG功能，否则报文无法穿越NAT，HTTP协议不需要配置NAT ALG功能。
  5. 在路由器的下行接口配置服务器映射NAT Static和Easy IP方式的NAT Outbound，将内部服务器与内网PC之间的流量都引到路由器上进行转发，实现内网用户通过预留的公网IP地址访问FTP/Web服务器功能。
操作步骤

  1. 配置Router的接口IP地址、缺省路由，实现内部网络和外部Internet之间三层互通。

    1. 配置上行接口和下行接口的IP地址。

      复制代码 
      <Huawei> system-view
[Huawei] sysname Router
[Router] interface gigabitethernet 0/0/1 
[Router-GigabitEthernet0/0/1] undo portswitch       //有些二层接口需要切换成三层接口后，才可以配置IP地址
[Router-GigabitEthernet0/0/1] ip address 1.1.1.1 24  
[Router-GigabitEthernet0/0/1] quit       
[Router] interface gigabitethernet 0/0/2         //下行接口如果不是三层接口，这里可以使用VLANIF接口代替
[Router-GigabitEthernet0/0/2] undo portswitch
[Router-GigabitEthernet0/0/2] ip address 192.168.1.1 24  
[Router-GigabitEthernet0/0/2] quit

    2. 配置缺省路由，下一跳为对端运营商接口的IP地址，保证内网用户上网的报文可以到达Internet。

      复制代码 
      [Router] ip route-static 0.0.0.0 0.0.0.0 1.1.1.2

  2. 在Router的上行接口配置Easy IP方式的NAT Outbound，使内网用户可以访问Internet。

    复制代码 
    [Router] acl 3000
[Router-acl-adv-3000] rule 5 permit ip source 192.168.1.0 0.0.0.255 //只允许192.168.1.0网段的用户访问Internet
[Router-acl-adv-3000] quit
[Router] interface gigabitethernet 0/0/1
[Router-GigabitEthernet0/0/1] nat outbound 3000 
[Router-GigabitEthernet0/0/1] quit

  3. 在Router的上行接口配置服务器映射NAT Static，实现外网用户通过预留的公网IP地址访问内部FTP/Web服务器功能。

    复制代码 
    [Router] interface gigabitethernet 0/0/1
[Router-GigabitEthernet0/0/1] nat static protocol tcp global 1.1.1.3 21 inside 192.168.1.2 21  //使用预留的IP地址进行NAT转换，供外网用户访问
[Router-GigabitEthernet0/0/1] nat static protocol tcp global 1.1.1.3 9080 inside 192.168.1.3 80   //对于知名端口号，可以配置成80，也可以配置成它代表的应用www 
[Router-GigabitEthernet0/0/1] quit

  4. 在Router上开启FTP的NAT ALG功能。

    复制代码 
    [Router] nat alg ftp enable

  5. 在Router的下行接口配置Easy IP方式的NAT Outbound，将内部服务器与内网PC之间的流量都引到路由器上进行转发。

    复制代码 
    [Router] acl 3001
[Router-acl-adv-3001] rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 1.1.1.3 0   //只有内部主机使用公网IP地址访问服务器的流量，才会引到Router上进行NAT转换 
[Router-acl-adv-3001] quit
[Router] interface gigabitethernet 0/0/2
[Router-GigabitEthernet0/0/2] nat outbound 3001 
[Router-GigabitEthernet0/0/2] quit

  6. 在Router的下行接口配置服务器映射NAT Static，实现内网用户通过预留的公网IP地址访问内部FTP/Web服务器功能。

    复制代码 
    [Router] interface gigabitethernet 0/0/2
[Router-GigabitEthernet0/0/2] nat static protocol tcp global 1.1.1.3 21 inside 192.168.1.2 21   //使用预留的IP地址进行NAT转换，供内网用户访问
[Router-GigabitEthernet0/0/2] nat static protocol tcp global 1.1.1.3 9080 inside 192.168.1.3 80
[Router-GigabitEthernet0/0/2] quit
[Router] quit

  7. 验证配置结果。

    1. 在Router上执行命令display nat outbound ，查看动态NAT地址池配置。

      复制代码 
      <Router> display nat outbound
 NAT Outbound Information:                                                      
 --------------------------------------------------------------------------     
 Interface                     Acl     Address-group/IP/Interface      Type     
 --------------------------------------------------------------------------     
 GigabitEthernet0/0/1         3000                        1.1.1.1    easyip     
 GigabitEthernet0/0/2         3001                    192.168.1.1    easyip     
 --------------------------------------------------------------------------     
  Total : 2

    2. 在Router上执行命令display nat static ，查看静态NAT地址映射关系。

      复制代码 
      <Router> display nat static
  Static Nat Information:                                                       
  Interface  : GigabitEthernet0/0/1                                             
    Global IP/Port     : 1.1.1.3/21(ftp)                                        
    Inside IP/Port     : 192.168.1.2/21(ftp)                                    
    Protocol : 6(tcp)                                                           
    VPN instance-name  : ----                                                   
    Acl number         : ----                                                   
    Vrrp id            : ----                                                   
    Netmask  : 255.255.255.255                                                  
    Description : ----                                                          

    Global IP/Port     : 1.1.1.3/9080                                           
    Inside IP/Port     : 192.168.1.3/80(www)                                    
    Protocol : 6(tcp)                                                           
    VPN instance-name  : ----                                                   
    Acl number         : ----                                                   
    Vrrp id            : ----                                                   
    Netmask  : 255.255.255.255                                                  
    Description : ----                                                          

  Interface  : GigabitEthernet0/0/2                                             
    Global IP/Port     : 1.1.1.3/21(ftp)                                        
    Inside IP/Port     : 192.168.1.2/21(ftp)                                    
    Protocol : 6(tcp)                                                           
    VPN instance-name  : ----                                                   
    Acl number         : ----                                                   
    Vrrp id            : ----                                                   
    Netmask  : 255.255.255.255                                                  
    Description : ----                                                          

    Global IP/Port     : 1.1.1.3/9080                                           
    Inside IP/Port     : 192.168.1.3/80(www)                                    
    Protocol : 6(tcp)                                                           
    VPN instance-name  : ----                                                   
    Acl number         : ----                                                   
    Vrrp id            : ----                                                   
    Netmask  : 255.255.255.255                                                  
    Description : ----                                                          

  Total :    4

    3. 在内网主机HostA上执行命令ping 1.1.1.2 ，模拟内网主机访问Internet，流量能Ping通，同时在Router上执行命令display nat session all 可以查看到地址转换结果。

    4. 在内网主机HostA上执行命令ftp 1.1.1.3 21 ，模拟内网主机访问内部FTP服务器，FTP能正常访问，同时在Router上执行命令display nat session all 可以查看到地址转换结果。

    5. 在外网主机HostC上执行命令ftp 1.1.1.3 21 ，模拟外网主机访问内部FTP服务器，FTP能正常访问，同时在Router上执行命令display nat session all 可以查看到地址转换结果。

配置文件

Router配置文件

复制代码 
#
 sysname Router
#
acl number 3000                                                                 
 rule 5 permit ip source 192.168.1.0 0.0.0.255                                  
acl number 3001                                                                 
 rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 1.1.1.3 0            
#
nat alg ftp enable
#
interface GigabitEthernet0/0/1
 undo portswitch                                                                
 ip address 1.1.1.1 255.255.255.0                                               
 nat static protocol tcp global 1.1.1.3 ftp inside 192.168.1.2 ftp netmask 255.255.255.255                                                                      
 nat static protocol tcp global 1.1.1.3 9080 inside 192.168.1.3 www netmask 255.255.255.255                                                                     
 nat outbound 3000
#
interface GigabitEthernet0/0/2
 undo portswitch                                                                
 ip address 192.168.1.1 255.255.255.0                                           
 nat static protocol tcp global 1.1.1.3 ftp inside 192.168.1.2 ftp netmask 255.255.255.255                                                                      
 nat static protocol tcp global 1.1.1.3 9080 inside 192.168.1.3 www netmask 255.255.255.255                                                                     
 nat outbound 3001
#
ip route-static 0.0.0.0 0.0.0.0 1.1.1.2
#
return
相关推荐
乌龟跌倒13 小时前
网络层3——IP数据报转发的过程
网络·tcp/ip·计算机网络·智能路由器
原野心存15 小时前
网络模型——二层转发原理
网络·计算机网络·智能路由器·二层转发原理
IPdodo全球网络15 小时前
如何在家庭网络中设置静态IP地址：一份实用指南
网络·tcp/ip·智能路由器·ip
IPdodo全球网络18 小时前
如何通过网络加速器提升TikTok创作与观看体验
网络·智能路由器·tiktok·tiktok电商·tk直播
GISer_Jing19 小时前
内网部署web项目，外网访问不了？只有局域网能访问！怎样解决？
网络·智能路由器
乌龟跌倒19 小时前
网络层5——IPV6
网络·计算机网络·智能路由器
黑龙江亿林等级保护测评20 小时前
DDOS防护介绍
网络·人工智能·安全·web安全·智能路由器·ddos
悲伤抑郁大鱿鱼1 天前
关于路由笔记
网络·笔记·智能路由器
天才技术宅1 天前
如何设置内网IP的端口映射到公网
网络·智能路由器
hgdlip1 天前
ip地址跟路由器有关吗？更换路由器ip地址会变吗
网络·tcp/ip·智能路由器
热门推荐
01【HarmonyOS】HUAWEI DevEco Studio 下载地址汇总02(欧拉)openEuler系统添加网卡文件配置流程、(欧拉)openEuler系统手动配置ipv6地址流程、(欧拉)openEuler系统网络管理说明03组基轨迹建模 GBTM的介绍与实现（Stata 或 R）04【AIGC】重塑未来的科技巨轮05全面解析：构建基于深度学习的安全帽检测系统（UI界面+YOLO代码+数据集）06【经验分享】Ubuntu22.04安装微信(linux官方版)07基于YOLOv10深度学习的CT扫描图像肾结石智能检测系统【python源码+Pyqt5界面+数据集+训练代码】深度学习实战、目标检测08Ubuntu 20.04使用Livox mid 360 测试 FAST_LIO09RAG 实践- Ollama+RagFlow 部署本地知识库10红米手机使用google play