解决有路由策略的情况下域内NAT不通的问题

最新推荐文章于 2023-08-08 18:24:43 发布
最新推荐文章于 2023-08-08 18:24:43 发布
阅读量2.1k 收藏 5
点赞数 1
文章标签： big data
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_60444349/article/details/120069227
版权

测试拓扑图：

组网需求：

规划核心业务系统和数据中心的流量从专线出去（也就是VLAN 100和VLAN 201网段），上网流量走PPPOE线路出去（也就是VLAN 112和VLAN 113网段）。将VLAN 100核心业务区的HTTP服务器和数据中心的HTTP服务器发布到外网，允许外网用户能访问到内网的HTTP服务器，同时要求VLAN 112和VLAN 113的内网用户也能以公网IP访问HTTP服务。

配置思路：

  1. 策略路由。规划核心业务系统和数据中心从专线出去，在R1上做策略路由并将策略路由应用到R1的GE 0/0/1内网口上，配置下一跳地址为202.100.99.2，并在R1的外网口配置源NAT，允许VLAN 100和201可以访问Internet。上网流量走PPPOE，在interface Dialer下做源nat，让VLAN 112和113的网段可以上网，在R1配置默认路由（0.0.0.0）下一跳为Dialer1。
  2. NAT策略。 在R1的外网口上做NAT Server上。同时为了能让内网用户通过公网IP访问HTTP服务器，在GE 0/0/1内网口做域内NAT+NAT Server(双向NAT),服务器映射关系如下：
    NAT 映射关系
    内网IP公网IP内网端口外网端口备注
    172.21.100.80202.100.99.558080在R1 GE0/0/0端口下
    172.16.201.80202.100.99.568080在R1 GE0/0/0端口下
    域内NAT
    内网IP公网IP(GE 0/0/0)内网端口外网端口备注
    172.21.100.80202.100.99.558080在R1 GE0/0/1端口下
    172.16.201.80202.100.99.568080在R1 GE0/0/1端口下
  3. ACL规划。主要是ACL 3002的规则配置思路。在没有做策略路由之前，VLAN 112和VLAN 113的用户都可以通过公网IP访问HTTP服务器。但是做了策略路由之后，二者均不可访问。原因是配置了VLAN 100和201的流量被策略路由匹配上，并直接转发到下一跳202.100.99.2。比如从VLAN 112网段的用户web112想要访问http://202.100.99.56，经过GE 0/0/1并做了NAT转化后，源IP地址和目标IP地址变为10.1.1.2和172.16.201.80，当目标服务器接收到10.1.1.2(R1上的内网口IP)后，将会对数据包进行回应。但是由于策略路由已定义从172.16.201.0网段出来的数据，将被直接转发到外网202.100.99.2，所以导致web112无法与HTTP服务器完成TCP三次握手，访问失败。所以ACL 3002规则是将HTTP服务器从源10.1.1.2和目标10.1.1.2的出去的流量不执行策略路由处理，即使用静态路由进行处理，R1上有172.21.0.0 0.0.255.255 1.1.1.1的静态路由。从而实现内网PC可以通过公网IP访问HTTP服务器。通过命令display nat session all查看会话如下：

    [R1]dis nat session all
     Protocol          : TCP(6)
         SrcAddr  Port Vpn : 172.21.112.22   3336                                 
         DestAddr Port Vpn : 202.100.99.56   20480                                
         NAT-Info
           New SrcAddr     : 10.1.1.2       
           New SrcPort     : 10258
           New DestAddr    : 172.16.201.80  
           New DestPort    : 20480

         Protocol          : TCP(6)
         SrcAddr  Port Vpn : 172.21.113.22   2824                                 
         DestAddr Port Vpn : 202.100.99.56   20480                                
         NAT-Info
           New SrcAddr     : 10.1.1.2       
           New SrcPort     : 10257
           New DestAddr    : 172.16.201.80  
           New DestPort    : 20480

  4. ACL配置如下：

    #指定策略路由感兴趣流量
    acl number 2000  
     description server-PBR
     rule 15 permit source 172.16.201.0 0.0.0.255 
     rule 20 permit source 172.21.100.0 0.0.0.255 
    #创建通过PPPOE上网的流量
    acl number 2001  
     description permit-pcnat-pppoe
     rule 5 permit source 172.21.112.0 0.0.0.255 
     rule 10 permit source 172.21.113.0 0.0.0.255 
    #创建域内NAT的流量
    acl number 2002  
     description source-NAT
     rule 5 permit source 172.21.100.0 0.0.0.255 
     rule 10 permit source 172.21.112.0 0.0.0.255 
     rule 15 permit source 172.21.113.0 0.0.0.255 
     rule 20 permit source 172.16.201.0 0.0.0.255 
    #创建不执行策略路由的流量（重点！！！）
    acl number 3002  
     description NO-PBR NAT
     rule 5 permit ip source 10.1.1.2 0 destination 172.16.201.80 0 
     rule 6 permit ip source 10.1.1.2 0 destination 172.21.100.80 0 
     rule 25 permit ip source 172.16.201.80 0 destination 10.1.1.2 0 

     rule 27 permit ip source 172.21.100.80 0 destination 10.1.1.2 0

ACL访问控制列表配置：

#
acl number 2000  
 description server-PBR
 rule 15 permit source 172.16.201.0 0.0.0.255
 rule 20 permit source 172.21.100.0 0.0.0.255
acl number 2001  
 description permit-pcnat-pppoe
 rule 5 permit source 172.21.112.0 0.0.0.255
 rule 10 permit source 172.21.113.0 0.0.0.255
acl number 2002  
 description source-NAT
 rule 5 permit source 172.21.100.0 0.0.0.255
 rule 10 permit source 172.21.112.0 0.0.0.255
 rule 15 permit source 172.21.113.0 0.0.0.255
 rule 20 permit source 172.16.201.0 0.0.0.255
#
acl number 3002  
 description NO-PBR NAT
 rule 5 permit ip source 10.1.1.2 0 destination 172.16.201.80 0
 rule 6 permit ip source 10.1.1.2 0 destination 172.21.100.80 0
 rule 25 permit ip source 172.16.201.80 0 destination 10.1.1.2 0
 rule 27 permit ip source 172.21.100.80 0 destination 10.1.1.2 0
#


策略路由配置：

#
traffic classifier server-policy operator or
 if-match acl 2000
traffic classifier no-policy operator or
 if-match acl 3002
#
traffic behavior server-policy-b1
 redirect ip-nexthop 202.100.99.2
traffic behavior no-policy-b1
#
traffic policy server2-policy
 classifier no-policy behavior no-policy-b1
 classifier server-policy behavior server-policy-b1
#


PPPOE 客户端配置：

#
interface Dialer1
 link-protocol ppp
 ppp chap user test
 ppp chap password cipher %$%$6VUfY9bEj7QM@BX#Y>72,7S#%$%$
 ip address ppp-negotiate
 dialer user test
 dialer bundle 1
 dialer-group 1
 nat outbound 2001
#
dialer-rule
 dialer-rule 1 ip permit
#


接口配置：

#
interface GigabitEthernet0/0/0
 description ISP
 ip address 202.100.99.1 255.255.255.0
 nat server protocol tcp global 202.100.99.55 www inside 172.21.100.80 www
 nat server protocol tcp global 202.100.99.56 www inside 172.16.201.80 www
 nat outbound 2000
#
interface GigabitEthernet0/0/1
 description SW2
 ip address 10.1.1.2 255.255.255.0
 traffic-policy server2-policy inbound
 nat server protocol tcp global 202.100.99.55 www inside 172.21.100.80 www
 nat server protocol tcp global 202.100.99.56 www inside 172.16.201.80 www
 nat outbound 2002
#
interface GigabitEthernet0/0/2
 pppoe-client dial-bundle-number 1
 description PPPOE-SERVER
#

静态路由配置：

#
ip route-static 0.0.0.0 0.0.0.0 Dialer1
ip route-static 1.1.1.0 255.255.255.0 10.1.1.1
ip route-static 172.16.0.0 255.255.0.0 10.1.1.1
ip route-static 172.21.0.0 255.255.0.0 10.1.1.1
#

测试：

查看IP地址：

测试http服务器访问

测试ping 访问

VLAN112 113流量从PPPOE拨号线路走，8.8.8.8是PPPOE SERVER上的LP口IP地址。VLAN 100和201流量是从专线线路走，23.1.1.2是外网web用户的IP地址。

发现 PC112和PC113不能访问23.1.1.2，同样PC100不能访问8.8.8.8

PPPOE SERVER配置：

配置IP POOL :

#
dhcp enable
#
ip pool server
 gateway-list 12.1.1.254
 network 12.1.1.0 mask 255.255.255.0
 dns-list 8.8.8.8 12.1.1.254
#
ip pool pppoe
#

AAA配置：

#
aaa
 local-user test password cipher %$%$^}W4J6!-O!W4]h(6.&'7kd)F%$%$
 local-user test service-type ppp
 
#

Virtual-Template配置：

#
interface Virtual-Template1
 ppp authentication-mode chap
 remote address pool server
 ip address 12.1.1.254 255.255.255.0
#

接口配置

#
interface LoopBack1
 ip address 8.8.8.8 255.255.255.0
#

在R1上执行命令：display ip interface brief，查看是否从PPPOE SERVER上获取到了IP地址

<R1>display ip interface brief
*down: administratively down
^down: standby
(l): loopback
(s): spoofing
The number of interface that is UP in Physical is 5
The number of interface that is DOWN in Physical is 0
The number of interface that is UP in Protocol is 4
The number of interface that is DOWN in Protocol is 1

Interface                         IP Address/Mask      Physical   Protocol  
Dialer1                           12.1.1.253/32        up         up(s)     
GigabitEthernet0/0/0              202.100.99.1/24      up         up        
GigabitEthernet0/0/1              10.1.1.2/24          up         up        
GigabitEthernet0/0/2              unassigned           up         down      
NULL0                             unassigned           up         up(s)     


ISP配置（用于模拟Internet）

创建 VLAN：

#
vlan batch 2
#

接口配置：

#
interface Vlanif2
 ip address 10.1.2.1 255.255.255.0
#
interface Ethernet0/0/0
 port link-type access
 port default vlan 2
#

#
interface GigabitEthernet0/0/0
 ip address 202.100.99.2 255.255.255.0
#
interface GigabitEthernet0/0/1
 ip address 23.1.1.1 255.255.255.0
#

静态路由配置：

#
ip route-static 0.0.0.0 0.0.0.0 202.100.99.1
#

文件皆一印
关注
  • 1
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
NAT session异常，路由器性能超限，造成图像预览失败
weixin_46370922的博客
07-24 2411
一、路由器上报性能超限 二、dis nat session all，发现 出现了192.168.32 地址段，而路由器并未做该段的静态nat，只对192.168.100段做了3个地址的静态nat，该地址是3个nvr的网卡2地址。 三、查看nat会话数 达到2000上线，找到原因了，192.168.32.段莫名其妙的nat会话造成性能超限。 四、运用acl功能 因为下级网络无法判断出了什么问题，只能针对192.168.32段的数据进行阻断，分别配置： acl number 3...
域内双向NAT技术
奋斗Zalvin_JE（奋斗Zhy）的个人博客
07-09 3757
域内双向NAT 实验目的 企业内部有需要想要将内网的HTTP Server中WEB服务映射到公网地址10.1.12.100的80端口上，一般该需求只需要我们部署NAT Server，就可以使得其他网络内的客户端通过公网地址10.1.12.100访问内网HTTP 服务器的目的。 此时如果我们内网客户端也想要通过该公网地址去访问HTTP Server，那么会出现错误导致无法访问。将HTTP Server的私网地址直接透露出来，也不利于保障WEB服务器的安全性。 本实验通过部署域内双向NAT，使得内网地址能够通过
华为路由器域内NAT配置
vbaspdelphi的专栏
08-28 9737
场景加入我们有一台路由器，简单的一个192.168.0/24的内网，一个出口地址做了NAT，然后我们增加了一个feature，端口映射，而且是一大批端口映射，此时，我们从外部访问NAT的映射服务当然没有问题，但是当从内部通过公网映射调用的时候就有问题了，会被RST，就是重置。这个时候，我们就要用到域内NAT了。方案1公网口(g0/0/1)acl number 2999 rule 5 perm
网络安全学习笔记——第十五天 域内NAT、域间NAT技术及配置实验
m0_53800207的博客
08-12 2822
双向NAT技术 双向NAT两种应用场景： ○ NAT Server+源NAT（又称作域间双向NAT） 为了简化配置服务器至公网的路由，可在NAT Server基础上，增加源NAT配置。好处就是，服务器不需要配网关。 ○域内NAT 防火墙将用户的请求报文的目的地址转换成FTP服务器的内网IP地址，源地址转换成用户对外公布的IP地址；防火墙将FTP服务器回应报文的源地址转换成对外公布的地址，目的地址转换成用户的内网IP地址。 NAT典型应用场景配置举例 ○源应用（内网访问外网） ○ NAT ..
配置域内NAT举例
03-06
配置域内NAT举例，让你一看就会的配置实例
域内NAT、域间NAT技术及配置实验4.5
kanxingxingdemao的博客
02-02 217
作用就是服务器不用配网关了。!
策略路由综合实验
04-30
在实施这些配置后，应检查设备的运行配置（`show run`）以确认所有设置都已正确应用，并查看IP路由表（`show ip route`）以确保路由策略已被正确执行。此外，还应进行测试，验证策略路由、DHCP分配和NAT功能是否按...
配置Vlan,nat,路由重分布
06-06
NAT用于解决IP地址短缺问题，它允许内部网络设备使用私有IP地址，通过公共IP地址与外部网络通信。Packet Tracer中的NAT配置包括： - 在路由器上启用NAT，输入`ip nat inside source list ACL interface`命令，其中...
路由与交换实验自测题
12-05
通过解答这些自测题目，学习者将有机会检验自己的理论知识和实践能力，加深对路由与交换原理的理解，提高解决实际网络问题的技能。这不仅是理论知识的巩固，也是为CCNA、CCNP等相关认证考试做准备的重要步骤。无论你...
HCNP路由交换实验拓扑
05-10
5. NAT（Network Address Translation）：NAT技术用于解决IP地址短缺问题，通过将私有IP地址转换为公有IP地址，实现内部网络设备对外部网络的访问。 6. BGP（Border Gateway Protocol）：作为互联网的主要路由协议...
CCNP路由全套实验
11-08
10. **路由策略**：了解如何根据业务需求定制路由选择，如基于负载均衡或带宽管理的策略。 通过这些实验，你不仅可以深化对路由原理的理解，还能提升实际操作技能，为CCNP路由认证考试做好充分准备。记得每个实验后...
域内NAT、域间NAT技术及配置实验4.51
kanxingxingdemao的博客
02-02 1547
NAT server + 源NAT 又叫域间双向NAT ，作用就是服务器不用配置网关了。没有其他作用。 用在服务器server3 和客户机client2 在同一个trust zone里，外网用户unstrust zone 访问内网http服务器server3 ，在server nat 和安全策略都设定下可以正常访问，内网访问http服务器server3 时通过dns请求知道服务器的地址，知道了目的地址时10.1.12.254 ，然后防火墙发数据发送给server3 ，但server3 发现clie.
策略路由内网路由
A soul tortured by desire
06-10 620
int vlanif 35 ip address 21.78.198.98 29 97这个网关在运营商那边，但是为了好管理将申请得这个ip段走我这台机器网关 acl number 3000 ##新申请网段地址，用来策略路由指定下一跳出口 rule 5 permit ip source 21.78.198.96 0.0.0.7 acl number 3001 ##所有网段地址互通，打通内网 rule 5 permit ip source 21.78.198.96 0.0.0.7 desti.
防火墙域间双向NAT，域内双向NAT与双机热备实验
最新发布
m0_68498873的博客
08-08 1154
USG6000V1-GigabitEthernet1/0/1]service-manage all permit 保存主防火墙配置。
安全防御（二）--- 防火墙域间双向NAT、域内双向NAT、基于VRRP的双机热备
weixin_58299245的博客
09-13 4043
防火墙域间双向NAT、域内双向NAT、基于VRRP的双机热备
配置默认静态路由时需要配置出口吗_思科路由器网络诊断与故障排除
weixin_39976153的博客
11-23 712
静态路由故障1、静态路由和有类别查找当路由选择表进程检查一条使用中间地址(路由选择表中作为下一跳引用的 IP 地址)的可解析的静态路由时，这个检查总是在有类别方式下完成的，无论是否使用 ip classless命令如果在路由选择表中有类别方式下的中间地址不能解析，则删除该静态路由。使用 show ip route 查看路由选择表。使用 debug 可以显示某个网络宕掉了。如果使用无类别方式并有一条...
防火墙全打开后，服务器上的应用无法访问的解决办法
热门推荐
等夏天
08-28 1万+
服务器在运行时为了安全，必须开启防火墙，但是在将防火墙全部开启之后，外部就不能访问应用了，在这种情况下，需要我们自己手动配置如站规则，主要是添加端口的入站规则，80，443，3306的   点击启动或关闭防火墙。 防护墙全部打开，点击-  --》高级设置    点击入站规则，新建规则 ，这里防火墙全部打开后，外部访问的端口都需要经过防火墙，所以我们要将外部访问的
域间NAT和域内NAT的爱恨情仇
网络技术联盟站
07-06 495
域间NAT和域内NAT与NAT Server配合使用，可以实现外部用户访问内网服务器和内网用户访问外部资源的需求。域间NAT适用于不同安全区域间的地址转换，而域内NAT适用于相同安全区域内的地址转换。通过合理设置安全区域的级别并规划网络，可以确保安全性和网络通信的顺畅性。
NAT 网络地址转换技术（一）NAT原理介绍：静态NAT、动态NAT、NAPT、Easy IP、NAT ALG、NAT服务器、双向NAT技术
Skye's Blog
04-07 1万+
文章目录出现原因基本概念NAT技术基本原理源NAT技术静态NAT动态NATNAPTEasy IPNAT ALGNAT服务器双向NAT技术域间双向NAT（NAT Server+源NAT）域内双向NAT 出现原因 由于互联网快速发展，以及IPv4地址规划不合理的问题，导致了IPv4地址短缺。为了解决由于IPv4地址短缺问题，有以下几种解决方法： VLSM：可变长子网掩码 NAT：网络地址转换技术 I...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值