问题描述：
拓扑如下：
网络描述：
1、内部视频服务器 192.168.1.10和192.168.1.20 分别对外提供客户端登陆和视频点播服务，业务流程中会有数据交互，交互过程比较复杂，设计到多个映射后的端口，拓扑图中未全部标注完。
2、防火墙互联网口做nat server,nat outbound；内网口开启 nat hairpin enable，使内网用户通过NAT地址访问内网服务器。
3、防火墙域间策略全通，未做任何限制。
问题描述：
1、
外网用户通过客户端访问防火墙映射后的 222.1.1.1 560 或其他地址可以正常登陆并点播视频。
内网192.168.1.100用户直接访问服务器192.168.1.10/20可以正常 登陆并点播视频。
内网192.168.1.100用户访 防火墙映射后的 222.1.1.1 560 或其他地址可以正常登陆但大多数情况下不能点播视频，偶尔可以看到视频，100次点播能看到10次左右的概率。
2、其他业务可以通过NAT地址访问内网服务器。
3、我看了防火墙的会话发现服务器没有回包，我访问的目的地址是222.1.1.4，但是回包的目的地址变成了222.1.1.1，这是不是因为内网用户出去后nat outbound 转换成的外网接口主地址的原因？
4、可以登陆但不能点播视频，是不是说明网络这块都没问题？
- 2019-02-13提问
- 举报
-
(0)
最佳答案
把NAT hairpin换成nat server + nat outbound试试
- 2019-02-13回答
- 评论(4)
- 举报
-
(0)
怎么理解 内网口也做nat server + nat outbound吗？我其他的业务同样通过NAT地址访问内网服务器也可以 这个不影响吧
是的，感觉和多通道协议做alg有关，NAT alg转换异常。其实你的外网用公网地址访问和内网用公网地址访问的唯一区别就是内网源地址做了次NAT outbound，而外网访问的时候不改变源地址。可以这样测试一下：内网口用nat server + nat static，nat static的作用是端口也会一一对应，这样转换既保证了实现nat hairpin的功能，又保证了源地址转换以后端口不会变，nat static的global地址的字符长度要保证和local地址的一样，比如1.1.1.1和2.2.2.2补鞥呢是1.1.1.1和2.2.2.22
大佬能否以上面的拓扑图举个例，写一下这样测试的命令，谢谢啊
大佬目前解决了，内网口用nat server + NAT outbound，把nat hairpin undo了。应为这里的视频流用的RTSP协议，他们的应用自定义了多个RTSP的端口，最后再加上 port-mapping application rtsp port 560 port-mapping application rtsp port 558 port-mapping application rtsp port 7087 port-mapping application rtsp port 554 port-mapping application rtsp port 555 现在没问题了
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
大佬目前解决了，内网口用nat server + NAT outbound，把nat hairpin undo了。应为这里的视频流用的RTSP协议，他们的应用自定义了多个RTSP的端口，最后再加上 port-mapping application rtsp port 560 port-mapping application rtsp port 558 port-mapping application rtsp port 7087 port-mapping application rtsp port 554 port-mapping application rtsp port 555 现在没问题了