SecPath F100-A-SI 双出口映射内网单一服务器

双出口映射单网卡服务器解决方案

一、              解决方案应用场景：出口路由器接两家运营商线路，均使用固定公网地址上外网，内网有一台单网卡的FTP服务器，现要将其分别映射至两个公网出口，实现外网用户通过公网地址能正常访问FTP服务器。

二、              网络拓扑图：

三、              解决方案思路：

1.       内网用户上公网通过在两个公网口分别做nat outbound，电信出接口配置一条默认路由，网通出接口配置一条优先级低于电信出接口的默认路由并添加目的地址为网通网段的精细路由；

2.       若双出口上映射同一个FTP服务器的私网地址，则可能出现端口被占用的情况，为解决这个问题，给服务器配置两个私网地址，分别用做两个外网口上做nat server的内部地址：其中电信出口映射的内部地址为192.168.1.253，网通出口映射的内部地址为192.168.1.254；

3.       做完以上两个步骤后，电信地址访问电信出口没有问题，网通地址访问网通出口也没有问题，但是网通地址访问电信出口就会出现数据包来回路径不一致的现象：网通地址访问电信接口时，首先电信出接口通过nat server定向至192.168.1.253，服务器回包时一看源地址为网通地址，就匹配精细路由出去了。同样的电信地址访问网通出接口也可能出现数据包来回不一致的情况；

4.       为解决第3步出现的问题，通过定义匹配源的策略路由来解决：源为192.168.1.253目的地址任意的访问下一跳指向电信出口网关，源为192.168.1.254目的地址任意的访问下一跳指向网通出口网关。此时网通地址访问电信出接口时，首先电信出接口通过nat server定向至192.168.1.253，服务器回包时匹配源为192.168.1.253的策略路由，仍然走电信出接口出去，这样就实现了数据包的来回一致，电信地址访问网通出接口也是一样。

五、   测试配置文件

出口路由器：MSR30-11

#

acl number 2000

 rule 0 permit

#

acl number 3000   //定义源为192.168.1.253的ACL

 rule 0 permit ip source 192.168.1.253 0

acl number 3001     //定义源为192.168.1.254的ACL

 rule 0 permit ip source 192.168.1.254 0

#

vlan 1

#

domain system

 access-limit disable

 state active  

 idle-cut disable

 self-service-url disable

#

user-group system

#

local-user admin

 password cipher .]@USE=B,53Q=^Q`MAF4<1!!

 authorization-attribute level 3

 service-type telnet

#

cwmp

 undo cwmp enable

#

interface Aux0

 async mode flow

 link-protocol ppp

#

interface Ethernet0/0   //此接口为出口路由器的内网口

 port link-mode route

 ip address 192.168.1.1 255.255.255.0

 undo ipv6 fast-forwarding

 ip policy-based-route policy   //将匹配源地址为服务器私网地址的策略路由下发至内网口

#              

interface Ethernet0/1

 port link-mode route

 undo ipv6 fast-forwarding

#

interface Ethernet3/0   //此接口为电信出接口

 port link-mode route

 description to-dianxin

 nat outbound 2000

 nat server protocol tcp global 10.10.10.1 ftp inside 192.168.1.253 ftp //映射192.168.1.253

 ip address 10.10.10.1 255.255.255.252

 undo ipv6 fast-forwarding

#

interface Ethernet3/1  //此接口为网通出接口

 port link-mode route

 description to-wangtong

 nat outbound 2000

 nat server protocol tcp global 20.20.20.1 ftp inside 192.168.1.254 ftp //映射192.168.1.254

 ip address 20.20.20.1 255.255.255.252

 undo ipv6 fast-forwarding

#

interface Serial0/0

 link-protocol ppp

 undo ipv6 fast-forwarding

#

interface NULL0

#

policy-based-route policy permit node 0    //匹配ACL3000的走电信出接口

   if-match acl 3000

   apply ip-address next-hop 10.10.10.2

policy-based-route policy permit node 5    //匹配ACL3001的走网通出接口

   if-match acl 3001

   apply ip-address next-hop 20.20.20.2

#

 ip route-static 0.0.0.0 0.0.0.0 10.10.10.2

 ip route-static 0.0.0.0 0.0.0.0 20.20.20.2 preference 80

 ip route-static 3.3.3.0 255.255.255.0 20.20.20.2   //实际配置时需添加网通网段的细化路由