双WAN口ER系列和ICG系列路由器远程访问不通问题分析

双WAN口ER系列和ICG系列路由器远程访问不通问题分析

一、   实验组网

二、   问题描述：

用户反馈使用ER3200设备，启用WAN1、WAN2口双线接入，分别为电信和联通。用户想模拟当其中一条链路断线后，由另外一条线路承担外网用户可以访问到内网服务器的需求，但是在测试时发现在外网用电信的IP的主机 ping WAN口电信的地址正常，但是ping WAN口联通的地址却不通。类似的用外网的联通IP 的主机ping WAN口的电信地址也是不通，但访问WAN口联通地址正常。

三、   过程分析：

查看用户的配置,双线接入采用的是手动模式，WAN1口为电信静态IP地址，WAN2口为联通静态地址。用户由于自身业务需求，设置了多条虚拟服务器，其他都是默认配置。

ER的路由器默认都是WAN口禁ping扫描，如果需要Ping WAN口，需要在“安全防护”——“防攻击”里将IDS防范中的“WAN口ping扫描”勾选去掉。如下图3.1 示：

图3.1 取消WAN口禁ping设置

如果默认设置，是ping不通WAN口的。用户反馈已将这一项去掉，但是依旧ping不通WAN口地址，但是此时若是在外网用电信的IP的主机采用WAN口联通加端口号的形式可以正常访问内网对应的服务器。

针对用户的问题，在实验室模拟用户环境测试，结果与客户的不一致。在实验室测试外网电信IP的主机可以ping通WAN2口联通地址，联通IP主机可以ping通WAN1口电信地址，且均可以正常访问内网的WEB服务器。

从测试结果来看，由于客户那边从外网访问服务器也是正常的，所以设备故障的可能性几乎没有，那么是何原因导致客户那边出现这种访问不同的现象呢。从客户返回的tracert结果（图 3.2）来看：

图 3.2 tracert跟踪图

客户在外网电信IP的主机上Ping WAN2口联通地址，中间路由都可达，但最后一条不可达。联想到是否是在报文的收发过程中，上行链路对其做了限制呢？

设置镜像，将WAN 1、WAN 2口作为被镜像口，LAN2口作为镜像口，在LAN2口接上PC抓取外网联通IP的主机ping WAN口的电信地址过程的报文。WAN1、WAN2口设置如下，WAN1口设置电信地址，WAN2口设置联通地址，双WAN口采用手动均衡的模式，默认走WAN2口，导入WAN1口电信的路由表，详见图3.3：

图 3.3 WAN口设置

外网的PC是联通的公网地址：58.240.128.xx。抓包过程为从外网的联通ip的电脑ping路由器WAN1口的电信地址，抓取到的报文如下图3.4 、3.5示：

图3.4 ping报文截图1

图3.5 ping报文截图2

观察可以发现，外网IP ping路由器的WAN1口地址，ICMP报文的目的IP是WAN1口IP，目的MAC是WAN1口的MAC地址。设备回应的ICMP报文中，源IP是WAN1口IP，源MAC是WAN2口MAC。

从抓包分析的结果可以看出，双WAN口ER系列和ICG系列路由器设备对于外网的ping设备的测试报文，是采用路由方式来查找WAN出接口，而没有遵循“哪个WAN口进，哪个WAN口出”的原则，但是应答报文的源IP地址，为入WAN接口的地址，而不是出WAN接口的地址。

因此，在用户侧访问不通，而在实验室复现能通，那最大的区别就是地区差异，所属运营商不同。客户所属地区为江苏连云港，ISP网络设备可能对报文源IP地址进行了判断和限制，丢弃源IP地址不符合上行设备配置的报文。而别的地区对这种报文并不视为非法报文丢弃掉，所以在实验室中复现不出客户的故障。由于没有客户方面没有提供有效的抓包信息，目前分析这是此问题最有可能性的原因。

 在实验室进一步分析，发现客户所出现的情况仅限于外网访问设备本身，对于客户想在外网访问内网服务器，在设备上设置虚拟服务器，可以正常访问。

在同样的设备环境下，在路由器内网架设一台WEB服务器，内部端口号设置好，外部端口号设置为18080，在外网用联通的地址访问。详细的访问格式为WAN口联通地址加外部端口号访问，http://60.191.123.xx:18080。抓包报文如下示：

图3.6 访问内网服务器报文截图1

图3.7 访问内部服务器报文截图2

当外网的联通用户开始访问内网的服务器时，抓包发现报文通过WAN1口直接转入LAN口访问，应答报文也是从LAN口转出，那么在设备上就会有NAT回话记录，从WAN1口转出，访问过程正常。

路由器的LAN口MAC地址如下图3.8示：

图3.8 LAN口信息

由上述分析过程可以看出，在外网对双WAN口ER系列和ICG系列路由器远程访问时有不通的情况，仅限于访问设备本身，对于设备的虚拟服务器的应用无影响。

四、   解决方法：

远程主机应根据自身的IP地址，选择相同ISP的WAN口IP地址进行远程访问，能够有效规避问题。