小贝优选——UR/ERG3路由器配置端口映射后，外网无法访问问题分析

UR路由器的WAN口有公网IP，配置端口映射后，在内网通过服务器内网IP加内部端口号可以正常访问服务器，但是在外网通过公网IP加外部端口号无法正常访问服务器

过程分析依据下方配置举例：

配置虚拟服务器，映射192.168.77.19的9002端口至WAN1的19002端口；

通常来讲，外网无法通过映射访问至内部服务器有3种可能性：

>>外网问题，路由器未收到访问请求

>>服务器问题，服务器未响应外网的访问请求

>>路由器问题，路由器未正常转发客户端和服务器的交互报文

要详细定位到底问题出在哪里，通常需要在外网客户端持续尝试访问时，分别抓取路由器对应WAN口以及服务器所处VLAN的报文来分析，如下两图在路由器的“系统工具→网络诊断→抓包工具”中，接口分部选择WAN和VLAN接口：

• 抓取到两个报文文件后，首先需要查看WAN口抓到的报文，在wireshark的过滤器中，我们通过检索映射的外部端口号（本案例为19002）来判断路由器是否收到来自外网的访问请求，若检索结果为空，则代表没有收到，需要联系运营商排查（通常为端口封禁或上行链路异常，需要运营商介入详细定位）。

• 反之；从WAN口侧报文可以检索访问对应外部端口的请求，但是只有请求，没有回复的话，就需要继续分析内网侧VLAN的报文来判断；

• 查看VLAN接口抓到的报文，检索服务器映射的内部端口号（本案例为9002）来判断服务器是否回复了客户端的请求，若如下图所示，服务器收到了客户端报文，但是一直没有任何回复，就可以定位为服务器的问题，需要联系服务器侧排查（通常为服务器防火墙等功能导致，需要服务器侧进行进一步排查）；

• 若查看服务器正常回复了报文，但结合WAN口抓包来看，WAN口并没有正常发出服务器回复的报文，即可确认为是路由器原因导致服务器回复的报文并未正常转发至WAN侧，此时就需要重点排查路由器的配置，是否配置了什么功能导致服务器的报文被拦截了。

通常情况下，若通过抓包定位为路由器问题，建议排查下面几个配置：

1、策略路由，若路由器存在多WAN接入尤其需要注意，要检查是否有将服务器IP指向了与端口映射配置的不同WAN口。

2、终端接入控制，检查是否开启了下面任意一个功能，勾选仅允许DHCP服务器分配的客户端访问外网时，若服务器为固定IP地址接入会出现问题；勾选仅允许ARP静态绑定的用户访问外网时，若服务器IP未做ARP绑定，端口映射也会出现问题

3、防火墙功能，检查是否有添加动作为拒绝，且源IP包含服务器IP的安全规则

1、修改端口映射的外部端口号为10000以上尝试

2、排查服务器是否有开启防火墙相关配置

3、排查路由器是否配有策略路由、终端接入控制、防火墙等功能

4、构造抓包环境，外网客户端持续尝试访问时，分别抓取WAN及VLAN接口报文分析确认具体问题原因