防火墙映射问题

你配置得是内部服务器映射，你说的这种情况需要你配置内部终端可以通过外网地址访问内部服务器得nat hairpin配置

具体参考案例

内网PC通过公网IP访问映射的内网SERVER案例

一、   组网：

二、   问题描述：

拓朴如上图，内网PC与内网所在的SERVER在同一个网段,现在内网SERVER对公网用户提供WWW和FTP服务,在公网上有相应的域名。现在要求内网PC可以同时通过公网域名、公网IP和私网IP来访问内网的这台SERVER。

三、   过程分析：

内网主机通过公网域名来访问映射的SERVER在AR路由器上都是通过NAT DNS-MAP来实现的，但不能同时通过公网IP和私网IP来访问SERVER。如果在设备内网口配置NAT SERVER则可以把访问公网地址转换成私网地址，然后向SERVER发起连接，但源地址还是内网主机的地址，此时SERVER给PC回应报文时就不会走路由器，直接发到了内网PC上，内网PC认为不是自己要访问的地址，会把这个报文丢弃，因此会导致连接中断。如果让SERVER把报文回给路由器，路由器再根据NAT SESSION就可以正确转发给PC了。

四、   解决方法：

在内网接口配置一个NAT OUTBOUND 3000就可以了。具体配置如下:

[H3C]dis cu

#

 sysname H3C

#

 clock timezone gmt+08:004 add 08:00:00

#

 cpu-usage cycle 1min

#

 connection-limit disable

 connection-limit default action deny

 connection-limit default amount upper-limit 50 lower-limit 20

#

 web set-package force flash:/http.zip

#

radius scheme system

#

domain system

#

local-user admin

 password cipher .]@USE=B,53Q=^Q`MAF4<1!!

 service-type telnet terminal

 level 3

 service-type ftp

#

acl number 2000

 rule 0 permit source 192.168.1.0 0.0.0.255

 rule 1 deny

#

acl number 3000

 rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.1.2 0

#

interface Aux0

 async mode flow

#

interface Ethernet1/0

descr  connect-lan

ip address 192.168.1.1 255.255.255.0

 nat outbound 3000

 nat server protocol tcp global 200.0.0.2 ftp inside 192.168.1.2 ftp

#

interface Ethernet2/0

descr  connect-wan

 ip address 200.0.0.2 255.255.255.0

 nat outbound 2000

 nat server protocol tcp global 200.0.0.2 ftp inside 192.168.1.2 ftp

#

interface Ethernet3/0

#

interface NULL0

#

 FTP server enable

#

 ip route-static 0.0.0.0 0.0.0.0 200.0.0.1 preference 60

#

user-interface con 0

user-interface aux 0

user-interface vty 0 4

 authentication-mode scheme

#

return                                   

[H3C]

需要使用nat hairpin技术

NAT Server是配置在出口设备公网接口上的，并且还会使用NAT outbound进行地址转换；

要想内网也使用公网地址+端口号进行访问，需要在出口设备的所有内网口上设置nat hairpin enable命令。

并且，在公网口的地址转换调用的ACL中，要匹配的源地址范围要包含所对应服务器地址

配置nat回流技术

内网口配置

nat hairpin enable

内网口开启nat hairpin enable，然后允许内网安全区访问内网安全区（如果配置的是对现象策略的允许any到any，建议security-zone intra-zone default permit）。