VPN端口转发实现无公网IP内网的外网访问

　  这是一种偏向物联网解决方案的应用场景。　

　　一、何为无公网IP内网

　　“无公网IP的内网”——现在IPV4资源已近枯竭，v6 的支持还有并不广泛。因此导致了这种接入互联网的无外网IP的网络的增多。

　　对应这种情况一个通俗易懂的场景就是，你去找电信运营商申请了一根宽带。运营商会给你一个路由器及账号密码，拨号上网。成功拨号连接互利网后，你的路由器会获取到一个IP地址，这里就分支出了几种情况。

　　“固定公网IP”——分配给你的IP是公网IP同时是固定不变的，你的线路上级没有NAT网络设备。网络上的其他计算机都可以随时通过这个固定IP直接访问到你的路由器。这种情况天然就能够被外网计算机访问到，不需要讨论。固定IP通常是要付费购买的，价格不菲。

　　“不固定的公网IP”——分配给你的IP不是固定的，每次可能会变化，但这仍然是一个公网IP。这在之前算是一般情况，这种情况相对好解决。网络上的计算机仍然是可以通过IP访问到你， 只是你的IP不固定。所以需要想一个方法来，解决你这个IP变化的问题。于是可以用一个固定域名指向这个IP，当这个IP发生变化时，通知修改这个域名指向的IP。这样就可以使得其他计算机，使用固定的域名，动态的域名解析访问到你的设备啦。 这个只是修改一个域名指向，利用的都是网络基础设施机制，没有什么成本。费用低。

　　“非公网IP”——分配给你的IP并不是公网IP，这时候是否固定已经不重要了。 此时分配给你的IP，网络上的计算机是无法直接访问的。你的线路上级存在一个NAT设备，你可以理解为你的出口路由器，是位于一个大局域网中，而不是直接接入互利网。就像你在公司的网络接口上，接上了一个路由器一样。这个路由器取得的IP地址是内网地址。路由器下面的设备是无法通过这个路由器上配置NAT被外网访问到的。而上级的路由器设备并不归你管理，不会为你配置NAT转发。

　　随着IPv4地址紧张，现在很多宽带运营商提供的宽带，已经都属于“非公网IP”这种情况了。这种情况也是我们这里着重要讨论的。

　　二、需求场景

　　我们的业务会在很多不特定的场地部署一些终端设备。比较简单的设备如摄像头+网络录像机这种。于是就有了远程访问控制这些摄像头及网络录像机的需求。而随着IP的紧张，这些场所宽带接入所获得的IP已经不是公网IP了。那么，如何外网远程主动的访问这些设备就成为了一个需要解决的问题。

　　这里的外网是有限制的， 是任意的接入互联网的手机，电脑，小程序，可以直接访问，而不是通过将监控点和用户端设备都拨入VPN实现互访。因为用户众多且设备随机，无法为每个用户提供VPN连接通道。

　　可能得选择之一，是使用商业产品如花生壳（内网穿透版本），注意区别于动态域名，内网穿透版本因为是有流量中转成本的，成本较高，收费也不低，通常在1千多一年。如果场地数较多，则较为昂贵。 

　　另外一个方案就是本文介绍的，自建VPN端口转发的方式。如果你的公司总部有一个固定的IP地址，有一个功能较为丰富的VPN设备（防火墙/路由器）支持VPN服务器，一定的带宽冗余，那么就可以自行DIY，无需使用昂贵的商业产品。 

　　三、VPN转发拓扑

　　

　　 从用户角度看用户请求的路由过程。用户向 1.2.4.5:8888 发送数据时。

　　1. 数据首先通过互联网到达，具有公共IP的公司VPN服务器网络设备， 1.2.4.5:8888 。

　　2. 因为在公司网络设备上配置了端口转发将到达8888 端口的数据转发到 192.168.4.1:9999。 192.168.4.1 对应于，VPN客户端路由器建立VPN连接后取得的VPN地址。

　　3. 用于VPN客户端与VPN服务器间，建立了长期的VPN隧道连接，数据被转发到达VPN 客户端路由器的 9999端口。

　　4. 因为在客户端路由器配置了端口转发规则，将到达9999端口的数据转发至下级设备 192.168.3.102:1111. 

　　5. 最终发送数据，到达网络摄像机的192.168.3.102:1111端口。 使其可以被外网，主动访问。

　　四、一些细节

 　　虽然转发配置过程比较好理解。但仍然有一些细节需要注意。

　　1. VPN服务器端，需要能够固定VPN账号的IP 地址 与账号关系。 通俗来说，VPN用户名A，连接VPN服务器后，取得的IP 固定为a。 这样才能够保证，VPN服务器配置的转发规则稳定，因为转发规则是对应于IP静态的，如果客户端每次拨通的IP不确定，则无法正确转发。

　　2. VPN服务器端需要配置源地址转换。对于网络摄像机来说，他的回源地址是通过数据包的源IP地址确定的，这个源IP 在端口映射时，要修改为，VPN服务器的 VPN 服务器IP，替换掉用户的外网地址，才能回源路径保持一致。或者在VPN客户端的路由表上配置所有的下一跳路由都是VPN的服务器。但这样会使得，VPN客户端路由器网络的所有网络都经过VPN通道，并无必要。

　　3.关于设备选型。设备选型也是一件比较费神的事情。 主要是满足上述两点的VPN服务器设备，并不好找，咨询销售得到的答案也并不确切。最关键的是，往往不提供测试设备， 7天无理由拆封不退。-_-|| 。在跟无数技术支持，供应商描述了需求之后。最终满足需求的设备时。VPN客户端路由器：TPLINK TL-R476G.  300元左右。 VPN 服务端路由器 ：华为 USG6307E 不到3000元。

　　如此，增加一个需要外网访问的内网路由器，除宽带成本外，仅300元左右。。。