外網訪問內網(外網訪問內網web服務器)學會了嗎

點擊上方網絡技術干貨圈，外網外網務器選擇設為星標優質文章，訪問訪問b服及時送達
轉載請注明以下內容：來源：公眾號【網絡技術干貨圈】作者：圈圈ID：wljsghq外網用戶通過外網地址訪問內網服務器配

點擊上方網絡技術干貨圈，內網內網選擇設為星標優質文章，外網外網務器及時送達

轉載請注明以下內容：來源：公眾號【網絡技術干貨圈】作者：圈圈ID：wljsghq外網用戶通過外網地址訪問內網服務器配置舉例1.組網需求某公司內部對外提供Web、FTP和SMTP服務，內網內網而且提供兩臺Web服務器。外網外網務器

公司內部網址為10.110.0.0/16其中，訪問訪問b服內部FTP服務器地址為10.110.10.3/16，內網內網內部Web服務器1的外網外網務器IP地址為10.110.10.1/16，內部Web服務器2的訪問訪問b服IP地址為10.110.10.2/16，內部SMTP服務器IP地址為10.110.10.4/16。內網內網

公司擁有202.38.1.1至202.38.1.3三個公網IP地址需要實現如下功能：外部的外網外網務器主機可以訪問內部的服務器選用202.38.1.1作為公司對外提供服務的IP地址，Web服務器2對外采用8080端口。訪問訪問b服

2.組網圖

外網用戶通過外網地址訪問內網服務器配置組網圖3.配置步驟按照組網圖配置各接口的IP地址，具體配置過程略進入接口GigabitEthernet1/0/2 system-view[Router] interface gigabitethernet 1/0/2。

配置內部FTP服務器，允許外網主機使用地址202.38.1.1、端口號21訪問內網FTP服務器[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 21 inside 10.110.10.3 ftp。

配置內部Web服務器1，允許外網主機使用地址202.38.1.1、端口號80訪問內網Web服務器1[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 80 inside 10.110.10.1 http。

配置內部Web服務器2，允許外網主機使用地址202.38.1.1、端口號8080訪問內網Web服務器2[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 8080 inside 10.110.10.2 http。

配置內部SMTP服務器，允許外網主機使用地址202.38.1.1以及SMTP協議定義的端口訪問內網SMTP服務器[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 smtp inside 10.110.10.4 smtp。

4.驗證配置以上配置完成后，外網Host能夠通過NAT地址訪問各內網服務器通過查看如下顯示信息，可以驗證以上配置成功[Router] display nat allNAT internal server information:。

Totally 4 internal servers.Interface: GigabitEthernet1/0/2Protocol: 6(TCP)Global IP/port: 202.38.1.1/21

Local IP/port : 10.110.10.3/21Rule name : ServerRule_1NAT counting : 0Service card : Slot 2Config status : Active

Global flow-table status: ActiveLocal flow-table status: ActiveInterface: GigabitEthernet1/0/2Protocol: 6(TCP)

Global IP/port: 202.38.1.1/25Local IP/port : 10.110.10.4/25Rule name : ServerRule_4NAT counting : 0

Service card : Slot 2Config status : ActiveGlobal flow-table status: ActiveLocal flow-table status: Active

Interface: GigabitEthernet1/0/2Protocol: 6(TCP)Global IP/port: 202.38.1.1/80Local IP/port : 10.110.10.1/80

Rule name : ServerRule_2NAT counting : 0Service card : Slot 2Config status : ActiveGlobal flow-table status: Active

Local flow-table status: ActiveInterface: GigabitEthernet1/0/2Protocol: 6(TCP)Global IP/port: 202.38.1.1/8080

Local IP/port : 10.110.10.2/80Rule name : ServerRule_3NAT counting : 0Service card : Slot 2Config status : Active

Global flow-table status: ActiveLocal flow-table status: ActiveNAT logging:Log enable : Disabled

Flow-begin : DisabledFlow-end : DisabledFlow-active : DisabledPort-block-assign : Disabled

Port-block-withdraw : DisabledAlarm : DisabledNO-PAT IP usage : DisabledNAT mapping behavior:

Mapping mode : Address and Port-DependentACL : ---Config status: ActiveNAT ALG:DNS : Enabled

FTP : EnabledH323 : EnabledICMP-ERROR : EnabledILS : EnabledMGCP : EnabledNBT : Enabled

PPTP : EnabledRTSP : EnabledRSH : EnabledSCCP : EnabledSIP : EnabledSQLNET : Enabled

TFTP : EnabledXDMCP : EnabledStatic NAT load balancing: Disabled通過以下顯示命令，可以看到Host訪問FTP server時生成NAT會話信息。

[Router] display nat session verboseSlot 0:Total sessions found: 0Slot 2:Initiator:Source IP/port: 202.38.1.10/1694

Destination IP/port: 202.38.1.1/21DS-Lite tunnel peer: -VPN instance/VLAN ID/Inline ID: -/-/-Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2Responder:Source IP/port: 10.110.10.3/21Destination IP/port: 202.38.1.10/1694

DS-Lite tunnel peer: -VPN instance/VLAN ID/Inline ID: -/-/-Protocol: TCP(6)Inbound interface: GigabitEthernet1/0/1

State: TCP_ESTABLISHEDApplication: FTPRule ID: -/-/-Rule name:Start time: 2012-08-15 14:53:29 TTL: 3597s

Initiator->Responder: 7 packets 308 bytesResponder->Initiator: 5 packets 312 bytes

Total sessions found: 1外網用戶通過域名訪問內網服務器配置舉例（地址不重疊）1.組網需求某公司內部對外提供Web服務，Web服務器地址為10.110.10.2/24該公司在內網有一臺DNS服務器，IP地址為10.110.10.3/24，用于解析Web服務器的域名。

該公司擁有兩個外網IP地址：202.38.1.2和202.38.1.3。需要實現，外網主機可以通過域名訪問內網的Web服務器。2.組網圖

外網用戶通過域名訪問內網服務器配置組網圖（地址不重疊）3.配置思路外網主機通過域名訪問Web服務器，首先需要通過訪問內網DNS服務器獲取Web服務器的IP地址，因此需要通過配置NAT內部服務器將DNS服務器的內網IP地址和DNS服務端口映射為一個外網地址和端口。

DNS服務器回應給外網主機的DNS報文載荷中攜帶了Web服務器的內網IP地址，因此需要將DNS報文載荷中的內網IP地址轉換為一個外網IP地址外網地址分配可以通過出方向動態地址轉換功能實現，轉換載荷信息可以通過DNS ALG功能實現。

4.配置步驟按照組網圖配置各接口的IP地址，具體配置過程略開啟DNS協議的ALG功能 system-view[Router] nat alg dns配置ACL 2000，允許對內部網絡中10.110.10.2的報文進行地址轉換。

[Router] acl basic 2000[Router-acl-ipv4-basic-2000] rule permit source 10.110.10.2 0[Router-acl-ipv4-basic-2000] quit

創建地址組1[Router] nat address-group 1添加地址組成員202.38.1.3[Router-address-group-1] address 202.38.1.3 202.38.1.3。

[Router-address-group-1] quit在接口GigabitEthernet1/0/2上配置NAT內部服務器，允許外網主機使用地址202.38.1.2訪問內網DNS服務器[Router] interface gigabitethernet 1/0/2。

[Router-GigabitEthernet1/0/2] nat server protocol udp global 202.38.1.2 inside 10.110.10.3 dns在接口GigabitEthernet1/0/2上配置出方向動態地址轉換，允許使用地址組1中的地址對DNS應答報文載荷中的內網地址進行轉換，并在轉換過程中不使用端口信息，以及允許反向地址轉換。

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 1 no-pat reversible5.驗證配置以上配置完成后，外網Host能夠通過域名訪問內網Web server。

通過查看如下顯示信息，可以驗證以上配置成功[Router] display nat allNAT address group information:Totally 1 NAT address groups.

Address group ID: 1Port range: 1-65535Address information:Start address End address202.38.1.3 202.38.1.3

NAT outbound information:Totally 1 NAT outbound rules.Interface: GigabitEthernet1/0/2ACL: 2000Address group ID: 1

Port-preserved: N NO-PAT: Y Reversible: YService card: Slot 2Config status: ActiveGlobal flow-table status: Active

NAT internal server information:Totally 1 internal servers.Interface: GigabitEthernet1/0/2Protocol: 17(UDP)

Global IP/port: 202.38.1.2/53Local IP/port : 10.110.10.3/53Rule name : ServerRule_1NAT counting : 0

Service card : Slot 2Config status : ActiveGlobal flow-table status: ActiveLocal flow-table status: Active

NAT logging:Log enable : DisabledFlow-begin : DisabledFlow-end : Disabled

Flow-active : DisabledPort-block-assign : DisabledPort-block-withdraw : DisabledAlarm : Disabled

NO-PAT IP usage : DisabledNAT mapping behavior:Mapping mode : Address and Port-DependentACL : ---

Config status: ActiveNAT ALG:DNS : EnabledFTP : EnabledH323 : EnabledICMP-ERROR : Enabled

ILS : EnabledMGCP : EnabledNBT : EnabledPPTP : EnabledRTSP : EnabledRSH : Enabled

SCCP : EnabledSIP : EnabledSQLNET : EnabledTFTP : EnabledXDMCP : EnabledStatic NAT load balancing: Disabled

通過以下顯示命令，可以看到Host訪問Web server時生成NAT會話信息[Router] display nat session verboseSlot 0:Total sessions found: 0。

Slot 2:Initiator:Source IP/port: 200.1.1.2/1694Destination IP/port: 202.38.1.3/8080DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-Protocol: TCP(6)Inbound interface: GigabitEthernet1/0/2Responder:

Source IP/port: 10.110.10.2/8080Destination IP/port: 200.1.1.2/1694DS-Lite tunnel peer: -VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)Inbound interface: GigabitEthernet1/0/1State: TCP_ESTABLISHEDApplication: HTTPRule ID: -/-/-

Rule name:Start time: 2012-08-15 14:53:29 TTL: 3597sInitiator->Responder: 7 packets 308 bytes

Responder->Initiator: 5 packets 312 bytesTotal sessions found: 1外網用戶通過域名訪問內網服務器配置舉例（地址重疊）

1.組網需求某公司內網使用的IP地址為192.168.1.0/24該公司內部對外提供Web服務，Web服務器地址為192.168.1.2/24該公司在內網有一臺DNS服務器，IP地址為192.168.1.3/24，用于解析Web服務器的域名。

該公司擁有三個外網IP地址：202.38.1.2、202.38.1.3和202.38.1.4。需要實現，外網主機可以通過域名訪問與其地址重疊的內網Web服務器。2.組網圖

外網用戶通過域名訪問內網服務器配置組網圖（地址重疊）3.配置思路這是一個典型的雙向NAT應用，具體配置思路如下外網主機通過域名訪問Web服務器，首先需要訪問內部的DNS服務器獲取Web服務器的IP地址，因此需要通過配置NAT內部服務器將DNS服務器的內網IP地址和DNS服務端口映射為一個外網地址和端口。

DNS服務器回應給外網主機的DNS報文載荷中攜帶了Web服務器的內網IP地址，該地址與外網主機地址重疊，因此在出方向上需要為內網Web服務器動態分配一個NAT地址，并將載荷中的地址轉換為該地址NAT地址分配可以通過出方向動態地址轉換功能實現，轉換載荷信息可以通過DNS ALG功能實現。

外網主機得到內網Web服務器的IP地址之后（該地址為NAT地址），使用該地址訪問內網Web服務器，因為外網主機的地址與內網Web服務器的真實地址重疊，因此在入方向上也需要為外網主機動態分配一個NAT地址，可以通過入方向動態地址轉換實現。

NAT設備上沒有目的地址為外網主機對應NAT地址的路由，因此需要手工添加靜態路由，使得目的地址為外網主機NAT地址的報文的出接口為GigabitEthernet1/0/24.配置步驟按照組網圖配置各接口的IP地址，具體配置過程略。

開啟DNS協議的ALG功能 system-view[Router] nat alg dns配置ACL 2000，允許對內部網絡中192.168.1.0/24網段的報文進行地址轉換[Router] acl basic 2000。

[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255[Router-acl-ipv4-basic-2000] quit

創建地址組1[Router] nat address-group 1添加地址組成員202.38.1.2[Router-address-group-1] address 202.38.1.2 202.38.1.2。

[Router-address-group-1] quit創建地址組2[Router] nat address-group 2添加地址組成員202.38.1.3[Router-address-group-2] address 202.38.1.3 202.38.1.3。

[Router-address-group-2] quit在接口GigabitEthernet1/0/2上配置NAT內部服務器，允許外網主機使用地址202.38.1.4訪問內網DNS服務器[Router] interface gigabitethernet 1/0/2。

[Router-GigabitEthernet1/0/2] nat server protocol udp global 202.38.1.4 inside 192.168.1.3 dns在接口GigabitEthernet1/0/2上配置出方向動態地址轉換，允許使用地址組1中的地址對DNS應答報文載荷中的內網地址進行轉換，并在轉換過程中不使用端口信息，以及允許反向地址轉換。

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 1 no-pat reversible在接口GigabitEthernet1/0/2上配置入方向動態地址轉換，允許使用地址組2中的地址對外網訪問內網的報文進行源地址轉換，并在轉換過程中使用端口信息。

[Router-GigabitEthernet1/0/2] nat inbound 2000 address-group 2配置到達202.38.1.3地址的靜態路由，出接口為GigabitEthernet1/0/2，下一跳地址為20.2.2.2（20.2.2.2為本例中的直連下一跳地址，實際使用中請以具體組網情況為準）。

[Router] ip route-static 202.38.1.3 32 gigabitethernet 1/0/2 20.2.2.25.驗證配置以上配置完成后，外網Host能夠通過域名訪問內網相同IP地址的Web server。

通過查看如下顯示信息，可以驗證以上配置成功[Router] display nat allNAT address group information:Totally 2 NAT address groups.

Address group ID: 1Port range: 1-65535Address information:Start address End address202.38.1.2 202.38.1.2

Address group ID: 2Port range: 1-65535Address information:Start address End address202.38.1.3 202.38.1.3

NAT inbound information:Totally 1 NAT inbound rules.Interface: GigabitEthernet1/0/2ACL: 2000Address group ID: 2

Add route: N NO-PAT: N Reversible: NService card: Slot 2Config status: ActiveGlobal flow-table status: Active

NAT outbound information:Totally 1 NAT outbound rules.Interface: GigabitEthernet1/0/2ACL: 2000Address group ID: 1

Port-preserved: N NO-PAT: Y Reversible: YService card: Slot 2Config status: ActiveGlobal flow-table status: Active

NAT internal server information:Totally 1 internal servers.Interface: GigabitEthernet1/0/2Protocol: 17(UDP)

Global IP/port: 202.38.1.4/53Local IP/port : 200.1.1.3/53Rule name : ServerRule_1NAT counting : 0