外網用戶通過外網地址訪問內網服務器配置舉例

1.組網需求

某公司內部對外提供Web、FTP和SMTP服務，而且提供兩臺Web服務器。公司內部網址為10.110.0.0/16。其中，內部FTP服務器地址為10.110.10.3/16，內部Web服務器1的IP地址為10.110.10.1/16，內部Web服務器2的IP地址為10.110.10.2/16，內部SMTP服務器IP地址為10.110.10.4/16。公司擁有202.38.1.1至202.38.1.3三個公網IP地址。需要實現如下功能：

外部的主機可以訪問內部的服務器。

選用202.38.1.1作為公司對外提供服務的IP地址，Web服務器2對外采用8080端口。

2.組網圖

外網用戶通過外網地址訪問內網服務器配置組網圖

3.配置步驟

按照組網圖配置各接口的IP地址，具體配置過程略。

進入接口GigabitEthernet1/0/2。

system-view

[Router]interfacegigabitethernet1/0/2

配置內部FTP服務器，允許外網主機使用地址202.38.1.1、端口號21訪問內網FTP服務器。

[Router-GigabitEthernet1/0/2]natserverprotocoltcpglobal202.38.1.121inside10.110.10.3ftp

配置內部Web服務器1，允許外網主機使用地址202.38.1.1、端口號80訪問內網Web服務器1。

[Router-GigabitEthernet1/0/2]natserverprotocoltcpglobal202.38.1.180inside10.110.10.1http

配置內部Web服務器2，允許外網主機使用地址202.38.1.1、端口號8080訪問內網Web服務器2。

[Router-GigabitEthernet1/0/2]natserverprotocoltcpglobal202.38.1.18080inside10.110.10.2http

配置內部SMTP服務器，允許外網主機使用地址202.38.1.1以及SMTP協議定義的端口訪問內網SMTP服務器。

[Router-GigabitEthernet1/0/2]natserverprotocoltcpglobal202.38.1.1smtpinside10.110.10.4smtp

4.驗證配置

以上配置完成后，外網Host能夠通過NAT地址訪問各內網服務器。通過查看如下顯示信息，可以驗證以上配置成功。

[Router]displaynatall

NATinternalserverinformation:

Totally4internalservers.

Interface:GigabitEthernet1/0/2

Protocol:6(TCP)

GlobalIP/port:202.38.1.1/21

LocalIP/port:10.110.10.3/21

Rulename:ServerRule_1

NATcounting:0

Servicecard:Slot2

Configstatus:Active

Globalflow-tablestatus:Active

Localflow-tablestatus:Active



Interface:GigabitEthernet1/0/2

Protocol:6(TCP)

GlobalIP/port:202.38.1.1/25

LocalIP/port:10.110.10.4/25

Rulename:ServerRule_4

NATcounting:0

Servicecard:Slot2

Configstatus:Active

Globalflow-tablestatus:Active

Localflow-tablestatus:Active



Interface:GigabitEthernet1/0/2

Protocol:6(TCP)

GlobalIP/port:202.38.1.1/80

LocalIP/port:10.110.10.1/80

Rulename:ServerRule_2

NATcounting:0

Servicecard:Slot2

Configstatus:Active

Globalflow-tablestatus:Active

Localflow-tablestatus:Active



Interface:GigabitEthernet1/0/2

Protocol:6(TCP)

GlobalIP/port:202.38.1.1/8080

LocalIP/port:10.110.10.2/80

Rulename:ServerRule_3

NATcounting:0

Servicecard:Slot2

Configstatus:Active

Globalflow-tablestatus:Active

Localflow-tablestatus:Active



NATlogging:

Logenable:Disabled

Flow-begin:Disabled

Flow-end:Disabled

Flow-active:Disabled

Port-block-assign:Disabled

Port-block-withdraw:Disabled

Alarm:Disabled

NO-PATIPusage:Disabled



NATmappingbehavior:

Mappingmode:AddressandPort-Dependent

ACL:---

Configstatus:Active



NATALG:

DNS:Enabled

FTP:Enabled

H323:Enabled

ICMP-ERROR:Enabled

ILS:Enabled

MGCP:Enabled

NBT:Enabled

PPTP:Enabled

RTSP:Enabled

RSH:Enabled

SCCP:Enabled

SIP:Enabled

SQLNET:Enabled

TFTP:Enabled

XDMCP:Enabled



StaticNATloadbalancing:Disabled

通過以下顯示命令，可以看到Host訪問FTP server時生成NAT會話信息。

[Router]displaynatsessionverbose

Slot0:

Totalsessionsfound:0



Slot2:

Initiator:

SourceIP/port:202.38.1.10/1694

DestinationIP/port:202.38.1.1/21

DS-Litetunnelpeer:-

VPNinstance/VLANID/InlineID:-/-/-

Protocol:TCP(6)

Inboundinterface:GigabitEthernet1/0/2

Responder:

SourceIP/port:10.110.10.3/21

DestinationIP/port:202.38.1.10/1694

DS-Litetunnelpeer:-

VPNinstance/VLANID/InlineID:-/-/-

Protocol:TCP(6)

Inboundinterface:GigabitEthernet1/0/1

State:TCP_ESTABLISHED

Application:FTP

RuleID:-/-/-

Rulename:

Starttime:2012-08-151429TTL:3597s

Initiator->Responder:7packets308bytes

Responder->Initiator:5packets312bytes



Totalsessionsfound:1

外網用戶通過域名訪問內網服務器配置舉例（地址不重疊）

1.組網需求

某公司內部對外提供Web服務，Web服務器地址為10.110.10.2/24。

該公司在內網有一臺DNS服務器，IP地址為10.110.10.3/24，用于解析Web服務器的域名。

該公司擁有兩個外網IP地址：202.38.1.2和202.38.1.3。

需要實現，外網主機可以通過域名訪問內網的Web服務器。

2.組網圖

外網用戶通過域名訪問內網服務器配置組網圖（地址不重疊）

3.配置思路

外網主機通過域名訪問Web服務器，首先需要通過訪問內網DNS服務器獲取Web服務器的IP地址，因此需要通過配置NAT內部服務器將DNS服務器的內網IP地址和DNS服務端口映射為一個外網地址和端口。

DNS服務器回應給外網主機的DNS報文載荷中攜帶了Web服務器的內網IP地址，因此需要將DNS報文載荷中的內網IP地址轉換為一個外網IP地址。外網地址分配可以通過出方向動態地址轉換功能實現，轉換載荷信息可以通過DNS ALG功能實現。

4.配置步驟

按照組網圖配置各接口的IP地址，具體配置過程略。

開啟DNS協議的ALG功能。

system-view

[Router]natalgdns

配置ACL 2000，允許對內部網絡中10.110.10.2的報文進行地址轉換。

[Router]aclbasic2000

[Router-acl-ipv4-basic-2000]rulepermitsource10.110.10.20

[Router-acl-ipv4-basic-2000]quit

創建地址組1。

[Router]nataddress-group1

添加地址組成員202.38.1.3。

[Router-address-group-1]address202.38.1.3202.38.1.3

[Router-address-group-1]quit

在接口GigabitEthernet1/0/2上配置NAT內部服務器，允許外網主機使用地址202.38.1.2訪問內網DNS服務器。

[Router]interfacegigabitethernet1/0/2

[Router-GigabitEthernet1/0/2]natserverprotocoludpglobal202.38.1.2inside10.110.10.3dns

在接口GigabitEthernet1/0/2上配置出方向動態地址轉換，允許使用地址組1中的地址對DNS應答報文載荷中的內網地址進行轉換，并在轉換過程中不使用端口信息，以及允許反向地址轉換。

[Router-GigabitEthernet1/0/2]natoutbound2000address-group1no-patreversible

5.驗證配置

以上配置完成后，外網Host能夠通過域名訪問內網Web server。通過查看如下顯示信息，可以驗證以上配置成功。

[Router]displaynatall

NATaddressgroupinformation:

Totally1NATaddressgroups.

AddressgroupID:1

Portrange:1-65535

Addressinformation:

StartaddressEndaddress

202.38.1.3202.38.1.3



NAToutboundinformation:

Totally1NAToutboundrules.

Interface:GigabitEthernet1/0/2

ACL:2000

AddressgroupID:1

Port-preserved:NNO-PAT:YReversible:Y

Servicecard:Slot2

Configstatus:Active

Globalflow-tablestatus:Active



NATinternalserverinformation:

Totally1internalservers.

Interface:GigabitEthernet1/0/2

Protocol:17(UDP)

GlobalIP/port:202.38.1.2/53

LocalIP/port:10.110.10.3/53

Rulename:ServerRule_1

NATcounting:0

Servicecard:Slot2

Configstatus:Active

Globalflow-tablestatus:Active

Localflow-tablestatus:Active



NATlogging:

Logenable:Disabled

Flow-begin:Disabled

Flow-end:Disabled

Flow-active:Disabled

Port-block-assign:Disabled

Port-block-withdraw:Disabled

Alarm:Disabled

NO-PATIPusage:Disabled



NATmappingbehavior:

Mappingmode:AddressandPort-Dependent

ACL:---

Configstatus:Active



NATALG:

DNS:Enabled

FTP:Enabled

H323:Enabled

ICMP-ERROR:Enabled

ILS:Enabled

MGCP:Enabled

NBT:Enabled

PPTP:Enabled

RTSP:Enabled

RSH:Enabled

SCCP:Enabled

SIP:Enabled

SQLNET:Enabled

TFTP:Enabled

XDMCP:Enabled



StaticNATloadbalancing:Disabled

通過以下顯示命令，可以看到Host訪問Web server時生成NAT會話信息。

[Router]displaynatsessionverbose

Slot0:

Totalsessionsfound:0



Slot2:

Initiator:

SourceIP/port:200.1.1.2/1694

DestinationIP/port:202.38.1.3/8080

DS-Litetunnelpeer:-

VPNinstance/VLANID/InlineID:-/-/-

Protocol:TCP(6)

Inboundinterface:GigabitEthernet1/0/2

Responder:

SourceIP/port:10.110.10.2/8080

DestinationIP/port:200.1.1.2/1694

DS-Litetunnelpeer:-

VPNinstance/VLANID/InlineID:-/-/-

Protocol:TCP(6)

Inboundinterface:GigabitEthernet1/0/1

State:TCP_ESTABLISHED

Application:HTTP

RuleID:-/-/-

Rulename:

Starttime:2012-08-151429TTL:3597s

Initiator->Responder:7packets308bytes

Responder->Initiator:5packets312bytes



Totalsessionsfound:1

外網用戶通過域名訪問內網服務器配置舉例（地址重疊）

1.組網需求

某公司內網使用的IP地址為192.168.1.0/24。

該公司內部對外提供Web服務，Web服務器地址為192.168.1.2/24。

該公司在內網有一臺DNS服務器，IP地址為192.168.1.3/24，用于解析Web服務器的域名。

該公司擁有三個外網IP地址：202.38.1.2、202.38.1.3和202.38.1.4。

需要實現，外網主機可以通過域名訪問與其地址重疊的內網Web服務器。

2.組網圖

外網用戶通過域名訪問內網服務器配置組網圖（地址重疊）

3.配置思路

這是一個典型的雙向NAT應用，具體配置思路如下。

外網主機通過域名訪問Web服務器，首先需要訪問內部的DNS服務器獲取Web服務器的IP地址，因此需要通過配置NAT內部服務器將DNS服務器的內網IP地址和DNS服務端口映射為一個外網地址和端口。

DNS服務器回應給外網主機的DNS報文載荷中攜帶了Web服務器的內網IP地址，該地址與外網主機地址重疊，因此在出方向上需要為內網Web服務器動態分配一個NAT地址，并將載荷中的地址轉換為該地址。NAT地址分配可以通過出方向動態地址轉換功能實現，轉換載荷信息可以通過DNS ALG功能實現。

外網主機得到內網Web服務器的IP地址之后（該地址為NAT地址），使用該地址訪問內網Web服務器，因為外網主機的地址與內網Web服務器的真實地址重疊，因此在入方向上也需要為外網主機動態分配一個NAT地址，可以通過入方向動態地址轉換實現。

NAT設備上沒有目的地址為外網主機對應NAT地址的路由，因此需要手工添加靜態路由，使得目的地址為外網主機NAT地址的報文的出接口為GigabitEthernet1/0/2。

4.配置步驟

按照組網圖配置各接口的IP地址，具體配置過程略。

開啟DNS協議的ALG功能。

system-view

[Router]natalgdns

配置ACL 2000，允許對內部網絡中192.168.1.0/24網段的報文進行地址轉換。

[Router]aclbasic2000

[Router-acl-ipv4-basic-2000]rulepermitsource192.168.1.00.0.0.255

[Router-acl-ipv4-basic-2000]quit

創建地址組1。

[Router]nataddress-group1

添加地址組成員202.38.1.2。

[Router-address-group-1]address202.38.1.2202.38.1.2

[Router-address-group-1]quit

創建地址組2。

[Router]nataddress-group2

添加地址組成員202.38.1.3。

[Router-address-group-2]address202.38.1.3202.38.1.3

[Router-address-group-2]quit

在接口GigabitEthernet1/0/2上配置NAT內部服務器，允許外網主機使用地址202.38.1.4訪問內網DNS服務器。

[Router]interfacegigabitethernet1/0/2

[Router-GigabitEthernet1/0/2]natserverprotocoludpglobal202.38.1.4inside192.168.1.3dns

在接口GigabitEthernet1/0/2上配置出方向動態地址轉換，允許使用地址組1中的地址對DNS應答報文載荷中的內網地址進行轉換，并在轉換過程中不使用端口信息，以及允許反向地址轉換。

[Router-GigabitEthernet1/0/2]natoutbound2000address-group1no-patreversible

在接口GigabitEthernet1/0/2上配置入方向動態地址轉換，允許使用地址組2中的地址對外網訪問內網的報文進行源地址轉換，并在轉換過程中使用端口信息。

[Router-GigabitEthernet1/0/2]natinbound2000address-group2

配置到達202.38.1.3地址的靜態路由，出接口為GigabitEthernet1/0/2，下一跳地址為20.2.2.2（20.2.2.2為本例中的直連下一跳地址，實際使用中請以具體組網情況為準）。

[Router]iproute-static202.38.1.332gigabitethernet1/0/220.2.2.2

5.驗證配置

以上配置完成后，外網Host能夠通過域名訪問內網相同IP地址的Web server。通過查看如下顯示信息，可以驗證以上配置成功。

[Router]displaynatall

NATaddressgroupinformation:

Totally2NATaddressgroups.

AddressgroupID:1

Portrange:1-65535

Addressinformation:

StartaddressEndaddress

202.38.1.2202.38.1.2



AddressgroupID:2

Portrange:1-65535

Addressinformation:

StartaddressEndaddress

202.38.1.3202.38.1.3



NATinboundinformation:

Totally1NATinboundrules.

Interface:GigabitEthernet1/0/2

ACL:2000

AddressgroupID:2

Addroute:NNO-PAT:NReversible:N

Servicecard:Slot2

Configstatus:Active

Globalflow-tablestatus:Active



NAToutboundinformation:

Totally1NAToutboundrules.

Interface:GigabitEthernet1/0/2

ACL:2000

AddressgroupID:1

Port-preserved:NNO-PAT:YReversible:Y

Servicecard:Slot2

Configstatus:Active

Globalflow-tablestatus:Active



NATinternalserverinformation:

Totally1internalservers.

Interface:GigabitEthernet1/0/2

Protocol:17(UDP)

GlobalIP/port:202.38.1.4/53

LocalIP/port:200.1.1.3/53

Rulename:ServerRule_1

NATcounting:0

Servicecard:Slot2

Configstatus:Active

Globalflow-tablestatus:Active

Localflow-tablestatus:Active



NATlogging:

Logenable:Disabled

Flow-begin:Disabled

Flow-end:Disabled

Flow-active:Disabled

Port-block-assign:Disabled

Port-block-withdraw:Disabled

Alarm:Disabled

NO-PATIPusage:Disabled



NATmappingbehavior:

Mappingmode:AddressandPort-Dependent

ACL:---

Configstatus:Active



NATALG:

DNS:Enabled

FTP:Enabled

H323:Enabled

ICMP-ERROR:Enabled

ILS:Enabled

MGCP:Enabled

NBT:Enabled

PPTP:Enabled

RTSP:Enabled

RSH:Enabled

SCCP:Enabled

SIP:Enabled

SQLNET:Enabled

TFTP:Enabled

XDMCP:Enabled



StaticNATloadbalancing:Disabled

通過以下顯示命令，可以看到Host訪問Web server時生成NAT會話信息。

[Router]displaynatsessionverbose

Slot0:

Totalsessionsfound:0



Slot2:

Initiator:

SourceIP/port:192.168.1.2/1694

DestinationIP/port:202.38.1.2/8080

DS-Litetunnelpeer:-

VPNinstance/VLANID/InlineID:-/-/-

Protocol:TCP(6)

Inboundinterface:GigabitEthernet1/0/2

Responder:

SourceIP/port:192.168.1.2/8080

DestinationIP/port:202.38.1.3/1025

DS-Litetunnelpeer:-

VPNinstance/VLANID/InlineID:-/-/-

Protocol:TCP(6)

Inboundinterface:GigabitEthernet1/0/1

State:TCP_ESTABLISHED

Application:HTTP

RuleID:-/-/-

Rulename:

Starttime:2012-08-151429TTL:3597s

Initiator->Responder:7packets308bytes

Responder->Initiator:5packets312bytes



Totalsessionsfound:1