H3C ER3200G2设备开启NAT之后防火墙无法使用
- 0关注
- 0收藏，1715浏览
问题描述：
做了一对一NAT之后，公网可以访问服务器的所有开放端口
但是防火墙是开启的，入站、出站通信策略全部是空的，但是公网服务还是全部放通的
需要做单一端口映射，需要怎么设置？
组网及组网描述：
- 2023-04-12提问
- 举报
-
(0)
最佳答案
您好，设置虚拟服务器
参考
13.1.3 设置虚拟服务器
为保证局域网的安全，路由器会阻断从因特网主动发起的连接请求。因此，如果您想让因特网用户能够访问局域网内的服务器（比如：Web服务器、Email服务器、FTP服务器等），需要设置虚拟服务器。
虚拟服务器也可称为端口映射，它可以将WAN口IP地址、外部端口号和局域网内服务器IP地址、内部端口号建立映射关系，使所有对该WAN口某服务端口的访问重定向到指定的局域网内服务器的相应端口。
路由器会根据以下步骤来进行端口映射：
图13-1 端口映射
页面向导：高级设置→地址转换→虚拟服务器
本页面为您提供如下主要功能：
设置当虚拟服务器列表中如果不存在对应的映射项时，对报文的处理方式（主页面。选择“丢弃”或“重定向到DMZ主机”，单击<应用>按钮生效） |
|
添加虚拟服务器列表项（单击主页面上的<新增>按钮，在弹出的对话框中设置相应的虚拟服务器参数，单击<增加>按钮完成操作） |
|
页面中关键项的含义如下表所示。
表13-1 页面关键项描述
页面关键项 | 描述 |
预置设置 | 路由器提供一些常用服务的预置设置选项，比如：FTP、Email(PoP3)等服务 在下拉列表框中选择某服务，服务名称、外部端口、内部端口项均将自动完成设置
· 如果路由器提供的预设服务没有您需要的，您可以自行设置服务信息 · 预设服务的端口号是常用端口号，如果需要，您可以自行修改 · 对于FTP、TFTP服务等，您需要开启对应的ALG项，且内部端口必须设置为标准端口号。例如：WAN侧客户端通过PASV模式（被动FTP）访问局域网内的FTP服务器，内部端口必须设置为21 |
服务名称 | 输入虚拟服务器设置项的名称 |
外部端口 | 输入客户端访问虚拟服务器所使用的端口 取值范围：1～65535，端口范围必须从小到大，推荐设置10000以上的端口。如果只有一个端口，则左右两边的文本框请填写同一端口号
各设置项的外部端口不能重复，且内部端口和外部端口的设定个数必须一样，即内部端口和外部端口一一对应。比如：设置某个虚拟服务器，外部端口为100～102，内部端口为10～12。如果路由器收到外部101端口的访问请求，则路由器会把报文转发到内部服务器的11端口 |
内部端口 | 输入内部服务器上真实开放的服务端口 取值范围：1～65535，端口范围必须从小到大。如果只有一个端口，则左右两边的文本框请填写同一端口号
各设置项的内部端口允许重复，且内部端口和外部端口的设定个数必须一样，即内部端口和外部端口一一对应 |
内部服务器IP | 输入内部服务器的IP地址 |
是否启用 | 在下拉列表框中选择“启用”，表示此虚拟服务器生效；选择“禁用”，表示此虚拟服务器不生效 |
- 2023-04-12回答
- 评论(1)
- 举报
-
(0)
虚拟服务器这里只能设置一个DMZ，如果有多个公网地址，需要怎么操作？
设置虚拟服务器
为保证局域网的安全，路由器会阻断从因特网主动发起的连接请求。因此，如果您想让因特网用户能够访问局域网内的服务器（比如：Web服务器、Email服务器、FTP服务器等），需要设置虚拟服务器。
虚拟服务器也可称为端口映射，它可以将WAN口IP地址、外部端口号和局域网内服务器IP地址、内部端口号建立映射关系，使所有对该WAN口某服务端口的访问重定向到指定的局域网内服务器的相应端口。
路由器会根据以下步骤来进行端口映射：
图13-1 端口映射
页面向导：高级设置→地址转换→虚拟服务器
本页面为您提供如下主要功能：
设置当虚拟服务器列表中如果不存在对应的映射项时，对报文的处理方式（主页面。选择“丢弃”或“重定向到DMZ主机”，单击<应用>按钮生效） |
|
添加虚拟服务器列表项（单击主页面上的<新增>按钮，在弹出的对话框中设置相应的虚拟服务器参数，单击<增加>按钮完成操作） |
|
页面中关键项的含义如下表所示。
表13-1 页面关键项描述
页面关键项 | 描述 |
预置设置 | 路由器提供一些常用服务的预置设置选项，比如：FTP、Email(PoP3)等服务 在下拉列表框中选择某服务，服务名称、外部端口、内部端口项均将自动完成设置
· 如果路由器提供的预设服务没有您需要的，您可以自行设置服务信息 · 预设服务的端口号是常用端口号，如果需要，您可以自行修改 · 对于FTP、TFTP服务等，您需要开启对应的ALG项，且内部端口必须设置为标准端口号。例如：WAN侧客户端通过PASV模式（被动FTP）访问局域网内的FTP服务器，内部端口必须设置为21 |
服务名称 | 输入虚拟服务器设置项的名称 |
外部端口 | 输入客户端访问虚拟服务器所使用的端口 取值范围：1～65535，端口范围必须从小到大，推荐设置10000以上的端口。如果只有一个端口，则左右两边的文本框请填写同一端口号
各设置项的外部端口不能重复，且内部端口和外部端口的设定个数必须一样，即内部端口和外部端口一一对应。比如：设置某个虚拟服务器，外部端口为100～102，内部端口为10～12。如果路由器收到外部101端口的访问请求，则路由器会把报文转发到内部服务器的11端口 |
内部端口 | 输入内部服务器上真实开放的服务端口 取值范围：1～65535，端口范围必须从小到大。如果只有一个端口，则左右两边的文本框请填写同一端口号
各设置项的内部端口允许重复，且内部端口和外部端口的设定个数必须一样，即内部端口和外部端口一一对应 |
内部服务器IP | 输入内部服务器的IP地址 |
是否启用 | 在下拉列表框中选择“启用”，表示此虚拟服务器生效；选择“禁用”，表示此虚拟服务器不生效 |
13.1.4 设置端口触发
当局域网内的客户端访问因特网上的服务器时，对于某些应用（比如：IP电话、视频会议等），客户端向服务器主动发起连接的同时，也需要服务器向客户端发起连接请求。而缺省情况下，路由器收到WAN侧主动连接的请求都会拒绝，此时通信会被中断。
通过设置路由器的端口触发规则，当客户端访问服务器并触发规则后，路由器会自动开放服务器需要向客户端请求的端口，从而可以保证通信正常。当客户端和路由器长时间没有数据交互时，路由器会自动关闭之前对外开放的端口，最大限度地保证了局域网的安全。
页面向导：高级设置→地址转换→端口触发
本页面为您提供如下主要功能：
显示和修改当前您已添加的端口触发规则（主页面） |
|
添加端口触发规则（单击主页面上的<新增>按钮，在弹出的对话框中设置相应的参数，单击<增加>按钮完成操作） |
|
页面中关键项的含义如下表所示。
表13-2 页面关键项描述
页面关键项 | 描述 |
应用名称 | 输入端口触发设置项的名称 |
触发端口 | 输入局域网内的客户端向外网服务器发起请求的端口 取值范围：1～65535，端口范围必须从小到大。如果只有一个端口，则左右两边的文本框请填写同一端口号
当局域网内的客户端通过触发端口与外部网络建立连接时，其相应的外来端口也将被打开。此时，外部网络的主机可以通过这些端口来访问局域网 |
外来端口 | 输入外网服务器需要主动向局域网内客户端请求的端口 取值范围：1～65535，可设置单一端口、端口范围或两者的组合，端口间用英文逗号“,”隔开，比如：100,200-300,400，表示请求端口为端口100，400及200到300之间的端口 |
是否启用 | 在下拉列表框中选择“启用”，表示此端口触发生效；选择“禁用”，表示此端口触发不生效 |
13.1.5 设置ALG应用
通常情况下，NAT只对报文头中的IP地址和端口信息进行转换，不对应用层数据载荷中的字段进行分析。
然而，对于一些特殊的协议（比如：FTP、TFTP等），它们报文的数据载荷中可能包含IP地址或端口信息，这些内容不能被NAT进行有效地转换，就可能会出现问题。比如：FTP应用是由数据连接和控制连接共同完成的，而且数据连接的建立由控制连接中的载荷字段信息动态地决定，这就需要ALG来完成载荷字段信息的转换，以保证后续数据连接的正确建立。
针对需要ALG的一些应用层协议，您在使用时只需要在路由器上开启相应的项即可。
页面向导：高级设置→地址转换→ALG应用
本页面为您提供如下主要功能：
设置ALG应用（缺省情况下，应用层协议的ALG应用均已经开启，建议您保留缺省设置） |
|
- 2023-04-12回答
- 评论(1)
- 举报
-
(0)
虚拟服务器这里只能设置一个DMZ，如果有多个公网地址，需要怎么操作？
虚拟服务器这里只能设置一个DMZ，如果有多个公网地址，需要怎么操作？
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
虚拟服务器这里只能设置一个DMZ，如果有多个公网地址，需要怎么操作？