NAT后網(wǎng)絡(luò)回流造成內(nèi)網(wǎng)無法通過公網(wǎng)IP訪問應(yīng)用服務(wù)器

―、思科設(shè)備示例Router示例Router(config)#interfaceeO/ORouter(config-if)#ipaddRouter(config-if)#ipnatinsideRouter(config)#interfacee0/1Router(config-if)#ipadd648Router(config-if)#ipnatoutsideRouter(config)#ipnatinsidesourcestatictcp0080580Router(config)#access-list1permit55Router(config)#ipnatinsidesourcelist1interfacee0/1overloadRouter(config)#iproute1Router(config)#ipdnsserverRouter(config)#ipdomain-lookupRouter(config)#ipname-server6Router(config)#iphostI00內(nèi)部網(wǎng)絡(luò)主機(jī)的DNS配置成Firewall示例A方法:static(inside,outside)500netmask55access-list100extendedpermittcpanyhost5eq80access-group100ininterfaceousidealias(inside)00555注意事項：某些FirewalllOS版本下，命令或不可成功，在policy-map添加一條命令即可：policy-mapglobal_policyclassinspection—defaultinspectdnsmaximum-length512B方法：static(inside,outside)500netmask55dnsaccess-list100extendedpermittcpanyhost5eq80access-group100ininterfaceouside二、華為與華三設(shè)備示例[h3c]interfaceethernet0/0/0[h3c-ethernet0/0/0]ipaddress548[h3c-ethernet0/0/0]natoutbound2000[h3c-ethernet0/0/0]natserverprotocoltcpglobal5wwwinsidewww[h3c-ethernet0/0/0]natserverprotocoltcpglobal5ftpinsideftp[h3c-ethernetO/O/O]quit[h3c]aclnumber2000[h3c-acl-basic-2000]rule0permitsource55[h3c-acl-basic-2000]rule1deny[h3c]interfaceethernet1/0/0[h3c-ethernet1/0/0]ipaddress[h3c]natdns-mapwww.I580tcp[h3c]521tcp注意事項：較早的系統(tǒng)版本可能沒有natdns-map命令，可參照如下配置：[h3c]aclnumber3000[h3c-acl-basic-3000]rulepermitipsource55destination[h3c]interfaceethernet1/0/0[h3c-ethernet1/0/0]natoutbound3000[h3c-ethernet1/0/0]natserverprotocoltcpglobal5wwwinsidewww三、天融信設(shè)備示例企業(yè)WEB服務(wù)器(IP:)通過防火墻MAP為01對內(nèi)網(wǎng)用戶提供WEB服務(wù)管理主機(jī)和WEB服務(wù)器同樣處于網(wǎng)段/24。正常情況下，管理主機(jī)與服務(wù)器之間的通信可以不經(jīng)過防火墻，而經(jīng)過其他路由達(dá)成。但是當(dāng)管理主機(jī)使用公網(wǎng)地址（或域名）訪問服務(wù)器時，數(shù)據(jù)包的源IP為管理主機(jī)地址，目的地址為服務(wù)器公網(wǎng)地址。如果防火墻僅作目的NAT，則服務(wù)器收到數(shù)據(jù)包的源IP為管理主機(jī)地址，目的地址為自身地址。當(dāng)其回應(yīng)管理主機(jī)時，發(fā)出的數(shù)據(jù)包會不經(jīng)過防火墻，而經(jīng)過其他路由達(dá)成。此情況會導(dǎo)致會話無法建立。因此需要設(shè)置雙向地址轉(zhuǎn)換規(guī)則。配置命令：defineareaaddnameE0attributeethOaccessoffdefineareaaddnameE1attributeeth0accessondefinehostaddnameWEB_serveripaddrdefinehostaddnameMAP_IPipaddr01definehostaddnameMAP_USERIPipaddrnatpolicyaddsrcareaE0orig_dstMAP_IPorig_serv