堡垒机无法登录web服务，并且登录后无法访问资产

一、组网结构

二、问题描述

1、只映射修改后的8000端口，出现无法访问web服务问题

更改了web服务和应用发布服务的端口，在外网防火墙做配置nat server Tcp 外网IP 8000 inside 网闸外端口 8000，同时网闸的通道配置成TCP形式，但是无法连接到堡垒机的，显示无法访问此网站，此网站拒绝访问 

2、将web服务和应用端口服务端口及修改后的端口都映射到外网出现无法访问资产的问题 

 2.1、通过SSH访问资产提示Network error:Connection refused

 2.2、堡垒机通过RDP资产，提示the error code from connect is UNDEFINEDCONNECTERROR”，“freerdp_connect Failed to destination xx.xx.xx.xx

三、排查过程

1、确定网络和端口是否可达

2、在防火墙上将应用发布服务和WEB服务端口的端口都通过防火墙映射到外网

图中的字符端口，及更改后的端口都需要映射到外网

3、检查堡垒机的22端口是否被映射到外网

  通过外网telnet堡垒机的22端口，并检查网关设备上的nat配置

4、检查各个字符端口是否被映射到外网

   通过外网telnet堡垒机的各个字符端口，并检查网关设备上的nat配置

5、当在系统设置 > 系统 > 基本设置 > 端口配置中修改了运维审计系统的字符访问端口，请检查相应的端口是否连通

   Telnet修改后的端口

6、检查服务器远程桌面配置，看服务器端勾选了“仅允许使用网络级别身份验证的远程桌面的计算机连接（建议）”这个选项

四、解决办法

将堡垒机上修改后的端口和原因的字符端口全部映射到外网，包括字符端口22

五、经验总结

堡垒机的工作原理是，外网设备若是想访问内部资产，需要先访问堡垒机的对应字符端口，在通过堡垒机去访问资产的端口，所以，当在网关设备上配置NAT时需要将堡垒机的字符端口和修改的服务端口都映射到公网上，这样才能通过外网访问堡垒机的资产。