H3C防火墙――回环流量问题(内网终端通过外网IP访问内部服务器)


拓扑如下:

H3C防火墙――回环流量问题(内网终端通过外网IP访问内部服务器)_第1张图片

环境描述: 

内网两个网段通过防火墙的NAT功能上网,内部WEB服务器:10.1.20.200 映射到公网80端口,配置信息如下:

acl number 2000
 description NAT_SOURCE
 rule 5 permit source 10.1.20.0 0.0.0.255
 rule 10 permit source 192.168.10.0 0.0.0.255
interface GigabitEthernet0/0
 port link-mode route
 nat outbound 2000
 nat server 20 protocol tcp global current-interface 80 inside 10.1.20.200 80
 ip address 124.133.33.223 255.255.255.0
interface GigabitEthernet0/1
 port link-mode route
 ip address 172.19.10.253 255.255.255.0


经过以上配置后,公网可正常访问WEB服务器,但如果内网用户使用公网地址124.133.33.223访问WEB服务器时会失败,网上大多数参考资料分析的流量过程如下图:


H3C防火墙――回环流量问题(内网终端通过外网IP访问内部服务器)_第2张图片

分析:

客户端发出的请求经过防火墙的映射转换,修改了数据包的目的地址,数据最终由WEB服务器直接发送到了客户端,而此回复被客户端判定为非法的(请求的是124.133.33.223但得到的10.1.20.200的回复),导致访问失败。


我使用的H3C F100-SG 防火墙, 在10.1.20.200 WEB服务端通过抓包发现,此过程并未发生,即客户端的请求数据并未达到WEB服务端,而是在达到防火墙后便中断了传输。此现象说明,数据包在到达防火墙之后,防火墙并未做相应的端口映射操作,而是经过了路由判断之后作为访问本地的服务进行了处理。


说明:正常情况下,访问124.133.33.223的80端口会经过映射转换,但此时并未发生,而是直接当做访问本地80端口这一操作进行了处理,例如: 如果防火墙的web管理端口是80,此时我们内网通过公网地址访问80端口时,会得到防火墙的web管理界面,此操作已经过实验证实。


其实通过配置信息也能看出来,我的DNAT是在WAN(0/0)口上做的配置,外网用户的请求从此端口进入首先会经过DNAT的映射转换,然后经过路由判断之后转发给了WEB服务器,而内部客户端的流量是从LAN(0/1)口进入,所以并未发生DNAT转换,而是直接进行了路由判断(发送给自己,自己处理)。


以上现象流量图如下:


H3C防火墙――回环流量问题(内网终端通过外网IP访问内部服务器)_第3张图片


如果想实现内网客户端正常访问WEB服务器,首先要做的就是实现DNAT的转换,既然此配置只在所属接口上起作用,那么就在LAN口上做一下配置即可; 实现此操作之后,流量便引到了WEB服务器上,即文章中第二张图所显示的流量过程,此时访问失败的原因就是WEB服务器直接回复了客户端的请求,如果让WEB服务器的回复数据再次经过防火墙,并进行DNAT的映射还原操作即可,我们通过配置LAN口的SNAT来实现,配置如下(其他配置不变,只修改LAN口配置):

interface GigabitEthernet0/1
 port link-mode route
 nat outbound 2000
 nat server 20 protocol tcp global 124.133.33.223 80 inside 10.1.20.200 80
 ip address 172.19.10.253 255.255.255.0


流量图如下:


H3C防火墙――回环流量问题(内网终端通过外网IP访问内部服务器)_第4张图片

客户端的请求流量被防火墙的DNAT引到WEB服务器,因为防火墙的之前的SNAT操作,使得WEB服务器的回复数据必须再次经过防火墙,防火墙经过NAT的映射关系进行还原操作,最终回复数据达到客户端。










你可能感兴趣的:(防火墙,protocol,Address)