LAN-LAN端口映射

不知道是圈里的名词不统一还是没有这种说法，在网上搜索了一下还没有专门介绍“LAN-LAN端口映射”这一概念的，“LAN-LAN端口映射”主要是分别变换源地址和目的地址也就是常说的SNAT和DNAT，解决的问题主要是内网用户利用外网接口ip访问内网资源的问题，常设置于网关型设备。

下面分别从实现原理和一个具体事例来说明。

应用背景：

局域网内网有服务器对外发布，基于对服务器的保护，内网用户需通过域名或者公网ip来访问内网服务器。如下图所示：

名词解释：

      DNAT:转换目标ip地址

      SNAT：转换源ip地址

需求：内网用户通过访问202.96.128.5：80端口来访问内网服务器。

数据流走向分析：内网服务器的真实ip和访问端口是192.168.2.10：80，要能访问到这个服务器资源，必须需要把访问的目标ip202.96.128.5转换成192.168.2.10，这样访问数据包才会转回内网，否则数据包交到公网上，将访问不到真实的服务器。那么需要在设备上做一次DNAT（对访问服务器的数据做目标ip的转换）。

如果只在设备上做一次DNAT上网转换的数据包和转发流程如下图所示：

文中所列的数据包的结构均为：

第一步：封装访问到目标ip为202.96.128.5的数据由客户端发出

第二步：在设备的LAN口接收到数据包，匹配DNAT规则，对数据包进行目标ip的转换

第三步：经过设备转换的数据包从LAN口发出，交给局域网的真实服务器192.168.2.10

第四步：服务器对访问请求做回应，他收到数据包的源ip是192.168.2.3，然后把这个源ip成为封装回应的目标ip，那么数据包由内网服务器直接发给内网主机

第五步：内网主机收到一个源ip为192.168.2.10的回应，和它发给目标ip为202.96.128.5的请求不一致，所以数据包直接被丢弃。在客户端看来，访问服务器失败。

由以上的数据包流程可以看出，要保证内网客户端能访问到服务器，只做DNAT是不够的。需要服务器将回应数据发回给网关设备,再由网关设备转回给客户端，客户端才会接受。流程图如下图所示：

 

 

 

如果让服务器的数据发给网关，那要使服务器接收到的数据源ip是网关的ip，所以网关发给服务器的数据包结构应该是：

这个数据包和只做了一次DNAT从网关处发出的数据包

相比，源ip做了转换，所以需要在网关设备处再做一次SNAT.

如果网关要代理内网上网，那一定也启用了SNAT，进行私有地址到公网地址的转换。所以这里的SNAT，必须要设置条件，符合条件才转换，而且要比上网的SNAT优先匹配。否则会对上网产生影响。

先经过网关设备DNAT处理将目的地址原来为外网口ip改为内部服务器ip，在经过SNAT处理将客户端ip改为设备LAN口ip，数据包走向如下图：

由于在网关处做了DNAT和SNAT的转换，每做一次转换，设备都会记录一个链接，当服务器回应数据在经过网关时网关会根据连接在做一次DNAT和SNAT，那么数据包发回给访问客户端的是 ，对于客户端来说，他之前是发给202.96.128.5的访问请求，所以会接受数据包。

此外对于网关设备来说，数据包是由LAN传给LAN的，所以还需要方通防火墙的LAN-LAN规则。

---------------------------------------------------------------------------------------

具体实例

网络拓扑

具体网络环境描述：

网络拓扑和ip情况如上图所示，某高校要采用网上阅卷系统，该系统采用8080端口，要求实现内网和外网用户都通过WAN口ip即60.6.228.55访问内网的阅卷系统，并且内网用户能够远程桌面到该服务器，本例利用深信服的设备并配以配置截图分两个部分进行介绍

实现要求：内网用户用户和外网用户都能通过外网ip访问阅卷系统

1.首先满足的要求是外网用户能够访问内部的阅卷系统，即做一个端口映射将内部服务发布到互联网，配置截图如下图所示

2.满足内网用户通过外网ip访问内部的阅卷系统

先做DNAT将发往目的到60.6.228.55的8080端口的数据包导向到172.16.1.188的8080端口，注意外网接口应选择LAN口。

再做SNAT将满足ip172.16.0.0的内网客户端的请求ip替换成设备的IP（LAN口WAN口均可以只要是设备的ip即可）,同样注意外网接口选择LAN口。

最后在放通LAN-LAN相应的规则

实现要求：内网用户能够远程桌面到该阅卷系统服务器

由于只是内网用户远程桌面到该服务器不存在外网用户的问题，所以省去了对外发布的步骤，原理和前一个配置类似下面只是简单截图

1.DNAT

2.SNAT

3.放行LAN-LAN规则

 

总结：凡是内网用户想通过外网ip或者域名访问内网服务的所有配置都可以以此类推！！

转载于:https://blog.51cto.com/yuntaoliu/543638