技术
成就梦想!

H3C出口设备nat server端口映射解决NAT回流问题

前言:

我们在配置nat server(端口映射)的时候会出现外网访问正常,而内网主机访问外网IP的端口不能访问的情况,这就是因为NAT回流造成的。

具体原因如下图所示:

image

1、内网主机访问100.0.0.1:8023,会把流量送到出口设备的G0/1接口。

2、出口设备的G0/1接口配置了nat server,数据包就会修改数据包的目的地址和目的端口号,并不对原地址进行改变。

3、数据包从出口设备发送到服务器,因为发过来数据包的原地址为10.0.0.10(内网主机)。

4、服务器对出口设备的数据包回复,原目地址对调,导致数据包直接通过交换机发送到内网主机。

5、内网主机解封装服务器回复的数据包,因为地址不匹配,则进行丢弃,导致访问失败。

一、通过nat hairpin解决问题

H3C V7版本可以在内网接口侧(图中为GE0/0)配置 nat hairpin解决NAT回流的问题。

通过在内网侧接口上使能NAT hairpin功能,可以实现内网用户使用NAT地址访问内网服务器或内网其它用户。

配置nat hairpin功能后,通过抓包可以发现出口设备发送给服务器的原地址将变为WAN口地址:

image

二、通过双向NAT解决问题

如果使用的是H3C v5版本的出口设备可能不支持 nat hairpin,我们可以使用双向NAT的方式进行解决。

1、在内网口配置与公网口相同的nat server条目;

2、配置基于acl的nat outbound;

我们通过抓包可以看到出口设备进行了双向NAT:
image

注意:使用双向NAT因为映射的数据包需要在出口设备内部进行多次转换,这样会增大设备压力,如果设备支持nat hairpin的话建议使用nat hairpin。

三、模拟器设备配置:

出口设备配置:

 

赞(4) 打赏
未经允许不得转载:未来往事的博客 » H3C出口设备nat server端口映射解决NAT回流问题

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏