虹之玉锦

注册

 

发新话题 回复该主题

配置公网和私网用户通过公网口的IP地址访 [复制链接]

1#
北京哪家医院能治疗白癜风 https://myyk.familydoctor.com.cn/2831/map/
组网需求如图1所示,某小型企业内网部署了一台路由器、一台FTP服务器和一台Web服务器。路由器作为接入网关,为下挂的内网用户提供上网服务,主要包括浏览网页、使用即时通信工具、观看视频、访问邮箱等。企业内网的FTP/Web服务器对内网和外网用户分别提供FTP服务和WWW服务。由于IP地址资源有限,该企业只有一个可用的公网IP地址1.1.1.1/2,部署在网关的上行接口。企业希望在路由器上配置NAT功能,使内网用户可以访问Internet,同时外网和内网用户都可以通过公网口的IP地址访问内部FTP/Web服务器。

图1配置公网和私网用户通过公网口的IP地址访问内部FTP/Web服务器和Internet

数据准备表1数据准备表

项目

数据

说明

路由器上行接口IP地址

GE0/0/1:1.1.1.1/2(公网口)

使用三层接口GE0/0/1连接Internet。

路由器下行接口IP地址

GE0/0/2:..1.1/2

使用三层接口GE0/0/2连接企业内网用户。如果有多个内网用户需要上网,可以在路由器上下挂一个二层交换机来扩展用户个数。

对端运营商接口的IP地址

1.1.1.2/2

对端运营商接口的IP地址用于配置路由信息,否则内网用户上网的报文无法转发到Internet。

FTP服务器的内网IP地址和端口号

Web服务器的内网IP地址和端口号

..1.2/2:21

..1.3/2:80

企业内网分配给FTP/Web服务器的内网IP地址和端口号。本例中,虽然内网用户和FTP/Web服务器都在内网,但是为了防止内部服务器受内网用户的攻击,要求内网用户也通过公网口的IP地址来访问FTP/Web服务器。

FTP服务器映射后的公网IP地址和端口号

Web服务器映射后的公网IP地址和端口号

1.1.1.1/2:21

1.1.1.1/2:

由于该企业只有一个可用的公网IP地址,部署在路由器上行接口。因此,只能使用该接口的IP地址作为FTP/Web服务器映射后的公网IP地址。同时,需要规划不同的公网端口号21和来区分FTP/Web服务器。

内网用户HostA的IP地址

..1.10/2

企业内部分配给用户的内网IP地址,用于验证内网用户访问Internet、FTP和Web服务器是否正常。

外网用户HostC的IP地址

2.2.2.2/2

外部用户的公网IP地址,用于验证外网用户访问内网的FTP/Web服务器是否正常。

配置思路

配置路由器的接口IP地址、缺省路由,实现内部网络和外部Internet之间三层互通。

由于只有一个可用的公网IP地址,在路由器的上行接口配置EasyIP方式的NATOutbound,实现内网用户访问Internet功能。

在路由器的上行接口配置服务器映射NATStatic,实现外网用户访问内部FTP/Web服务器功能。

在路由器上,开启FTP的NATALG功能。FTP协议是一个多通道协议,需要配置NATALG功能,否则报文无法穿越NAT,HTTP协议不需要配置NATALG功能。

在路由器的下行接口配置服务器映射NATStatic和EasyIP方式的NATOutbound,将内部服务器与内网PC之间的流量都引到路由器上进行转发,实现内网用户通过公网口的IP地址访问FTP/Web服务器功能。

操作步骤

配置Router的接口IP地址、缺省路由,实现内部网络和外部Internet之间三层互通。

配置上行接口和下行接口的IP地址。

Huaweisystem-view[Huawei]sysnameRouter[Router]interfacegigabitethernet0/0/1[Router-GigabitEthernet0/0/1]undoportswitch//有些二层接口需要切换成三层接口后,才可以配置IP地址[Router-GigabitEthernet0/0/1]ipaddss1.1.1.12[Router-GigabitEthernet0/0/1]quit[Router]interfacegigabitethernet0/0/2//下行接口如果不是三层接口,这里可以使用VLANIF接口代替[Router-GigabitEthernet0/0/2]undoportswitch[Router-GigabitEthernet0/0/2]ipaddss..1.12[Router-GigabitEthernet0/0/2]quit

配置缺省路由,下一跳为对端运营商接口的IP地址,保证内网用户上网的报文可以到达Internet。

[Router]iproute-static0.0.0.00.0.0.01.1.1.2

在Router的上行接口配置EasyIP方式的NATOutbound,使内网用户可以访问Internet。

[Router]acl[Router-acl-adv-]rule5permitipsource..1.00.0.0.//只允许..1.0网段的用户访问Internet[Router-acl-adv-]quit[Router]interfacegigabitethernet0/0/1[Router-GigabitEthernet0/0/1]natoutbound[Router-GigabitEthernet0/0/1]quit

在Router的上行接口配置服务器映射NATStatic。由于只有一个可用的公网IP地址部署在上行接口,配置成curnt-interface,使用公网口的IP地址作为内部服务器映射后的IP地址,实现外网用户通过公网口的IP地址访问内部FTP/Web服务器功能。

[Router]interfacegigabitethernet0/0/1[Router-GigabitEthernet0/0/1]natstaticprotocoltcpglobalcurnt-interface21inside..1.//curnt-interface表示使用当前接口的IP地址进行NAT转换Warningheportiswell-known(1~)port.Ifyoucontinueitmaycausefunctionfailu.Ayousutocontinue?[Y/N]:y[Router-GigabitEthernet0/0/1]natstaticprotocoltcpglobalcurnt-interfaceinside..1.//对于知名端口号,可以配置成80,也可以配置成它代表的应用
分享 转发
TOP
发新话题 回复该主题