防火墙NAT转换的一次诊断

客户要上移动办公应用，用CISCO PIX506E简单隔离无线连接的电脑和内网服务器，对服务器地址作了静态NAT转换。

设置好客户端电脑后，除更新服务不成功外，应用系统可以正常使用。

从应用系统软件开发人员处了解到，更新服务采用了FTP方式。

从客户端直接在DOS COMMAND窗口中，直接用FTP命令连接FTP服务器，输入用户名密码后，连接成功，但有关远端的命令，如dir等都失败，提示没有数据连接。

换了一台在内网的台式机，用FTP命令连接FTP服务器，同样可以连接成功，但不能建立数据连接。

登录FTP服务器检查，发现所用的FTP服务器不是标准的，也是软件公司的定制软件。

以前在配置TUXEDO服务器时，也遇到过通过防火墙的NAT转换后，客户端不能连接TUXEDO服务器的问题，只要配置一下TUXEDO的参数，指明NAT转换后的地址后，就能解决问题。因此开始也怀疑是否在FTP软件中用到了连接的IP地址，导致数据包无法通过防火墙的NAT转换。

在客户端启动更新的同时，检查防火墙的连接和NAT情况，没有更多有助解决问题的信息。

在检查防火墙的同时，也在FTP服务器上，用NETSTAT –AN命令检查客户端和服务器之间的连接，除了已建的连接外，还发现了一个新的连接，是另一个IP与客户端IP的，状态是SYN-SENT，到此，原因找到，问题可以解决了：换用服务器的另一个IP做NAT转换。

其实，问题的根源在于，服务器配置了多个IP。

客户想通过Symantec的Storage Foundation实现WINDOWS SQL Server的HA，开始做NAT转换的IP，是最终系统HA的VIP，只不过现阶段在HA实施前，直接作为Second IP的配置在了网卡上，导致了问题的发生。

其实，即使这次不做这个项目不发现这个问题，最终HA实施后，一旦发生HA切换，FTP服务也会停止工作，因为HA无法把FTP服务也切换了。

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/81227/viewspace-711573/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/81227/viewspace-711573/