问

F100-c-g2 PPPOE+内网服务器发布，外网无法访问到内网服务器

2020-10-21提问

0关注
1收藏，914浏览

平常心

平常心零段

粉丝：0人关注：0人

问题描述：

通过pppoe可以正常访问外网，外网也能ping通pppoe获取到的公网地址

dialer接口下配置了nat server protocol tcp global current-interface 8081 inside 192.168.x.xxx xxxx

策略、域之类的都放通了。可是外网无法访问内网的服务器。

求大佬指导下，通过PPPOE方式上网的，能在F100-b-g2防火墙上发布内网服务器吗？如果可以的话，请告知下实现思路。

最佳答案

hobo

hobo 七段

粉丝：3人关注：1人

可以的，可以进行如下排查

开启会话统计功能：session statistics enable

并查看故障时的会话状态信息 display session table ipv4 source-ip X.X.X.X destination-ip Y.Y.Y.Y verbose （一定要带上verbose！）

创建一个空ACL 3XXX，写上两条明细rule，分别对应来回流量的源目地址，如下：

[FW]acl advanced 3XXX

[FW-acl-ipv4-adv-3010]rule 0 permit ip source X.X.X.X 0 destination Y.Y.Y.Y 0

[FW-acl-ipv4-adv-3010]rule 5 permit ip destination Y.Y.Y.Y 0 destination X.X.X.X 0

另外如果有NAT，假设（X.X.X.X） NAT后的地址为（A.A.A.A 会话中可以看到NAT后的地址），则需要再写上两条rule ，分别对应NAT后的来回流量的源目地址，如下：

[FW]acl advanced 3XXX

[FW-acl-ipv4-adv-3010]rule 0 permit ip source X.X.X.X 0 destination Y.Y.Y.Y 0

[FW-acl-ipv4-adv-3010]rule 5 permit ip destination Y.Y.Y.Y 0 source X.X.X.X 0

[FW-acl-ipv4-adv-3010]rule 10 permit ip source A.A.A.A 0 destination Y.Y.Y.Y 0

[FW-acl-ipv4-adv-3010]rule 15 permit ip destination Y.Y.Y.Y 0 source A.A.A.A 0

5，以安全策略security-policy为例，分别进行以下debug调试：

<FW>debugging ip packet acl 3XXX # 查看报文具体从哪个接口，哪个slot上来和发出的情况

<FW>debugging ip info acl 3XXX # 如果有丢包则会打印信息丢包的具体模块，如果没有丢包则不打印

<FW>debugging aspf packet acl 3XXX # 如果报文状态不合法，则会显示被aspf丢弃，需检查流量来回是否一致

<FW>debugging security-policy packet ip acl 3XXX # 如果是对象策略则用object-policy，如果是包过滤则用packet-filter

3 个回答

按时间按赞数

ping不通

ping不通七段

粉丝：12人关注：4人

配置思路没有问题，也可以实现。主要检查服务该端口和防火墙配置

#创建地址对象组，地址对象组名称为OA服务器 [H3C]object-group ip address OA服务器 [H3C-obj-grp-ip-OA服务器]network host address 192.168.1.88 [H3C-obj-grp-ip-OA服务器]quit #创建服务对象组，服务对象组名称为8081端口，目的端口8081 [H3C]object-group service 8081端口 [H3C-obj-grp-service-8081端口]service tcp destination eq 8081 [H3C-obj-grp-service-8081端口]quit #创建IPv4对象策略，策略名称为0A服务器 [H3C]object-policy ip OA服务器 [H3C-object-policy-ip-OA服务器]rule 0 pass destination-ip 0A服务器 service 8081端口 #创建安全策略，源安全域为Untrust目的安全域为Trust，放通外网访问OA服务器的8081端口 [H3C]zone-pair security source Untrust destination Trust [H3C-zone-pair-security-Untrust-Trust]object-policy apply ip OA服务器 [H3C-zone-pair-security-Untrust-Trust]quit 服务器端口没有问题，我用其他路由测试过都可以实现外网访问。防火墙我是按照上面的方法配置的，麻烦有时间帮忙看看吗？是不是还缺少什么配置

平常心发表时间：2020-10-21