端口回流

思科、华为防火墙做端口回流解决内网主机无法通过公网访问内网服务的问题

 

问题产生原因分析：

 

网络环境介绍：

公司内网有一台web服务器，地址是192.168.100.100，web服务端口为80，并且为这台web服务器申请了DNS A记录的域名解析服务，解析记录是公司出口ip地址100.100.100.100。在办公区网络环境里，还有内网192.168.10.0网段，需要通过申请的域名来访问公司内网的192.168.100.100的web服务。

做法是在防火墙的出口，做一条端口映射，100.100.100.100:80到192.168.100.100:80的端口映射。

问题来了，做好端口映射以后，其他外部网络通过域名访问公司的web服务是正常的，但是公司内网用户通过域名访问公司自己的web服务，却无法访问；而公司内网用户通过192.168.100.100:80私有地址访问，是正常的。这种情况，就是因为做好端口映射以后，访问web服务的流量在响应的时候流量没有回流到防火墙导致的。

 

原因分析：

如上图，假如是192.168.10.10通过申请的域名访问192.168.100.100的web服务。这里假设访问的源端口是10000，目标端口是80，数据包分析如下：

C2主机发起web请求.因为通过域名访问的，DNS解析服务正常，那么访问目标就是100.100.100.100:80

192.168.10.10:10000--->100.100.100.100:80

 

数据包最终会被路由到防火墙上，防火墙检查访问的目的地址，匹配到它的端口映射策略，将目标地址改为对192.168.100.100的访问，建立起一个针对目标ip地址转换的NAT会话表

192.168.10.10:10000--->192.168.100.100:80

 

然后数据包到会被转发到192.168.100.100服务器上并会响应192.168.10.10主机的请求，将上述访问的源目ip地址及端口进行倒转，并将数据包交给它的网关处理，图中就是R1路由器

192.168.100.100:80--->192.168.10.10:10000

 

R1路由器检查访问者的源ip和目标ip地址，发现目标ip地址是192.168.10.10&#