外网访问内网(外网访问内网web服务器)学会了吗-文章憎命网

外网访问内网(外网访问内网web服务器)学会了吗

2025-04-21 04:33:27 来源：文章憎命网分类：{typename type="name"/}

点击上方网络技术干货圈，外网外网务器选择设为星标优质文章，访问访问b服及时送达
转载请注明以下内容：来源：公众号【网络技术干货圈】作者：圈圈ID：wljsghq外网用户通过外网地址访问内网服务器配

外网访问内网(外网访问内网web服务器)学会了吗

点击上方网络技术干货圈，内网内网选择设为星标优质文章，外网外网务器及时送达

转载请注明以下内容：来源：公众号【网络技术干货圈】作者：圈圈ID：wljsghq外网用户通过外网地址访问内网服务器配置举例1.组网需求某公司内部对外提供Web、FTP和SMTP服务，内网内网而且提供两台Web服务器。外网外网务器

公司内部网址为10.110.0.0/16其中，访问访问b服内部FTP服务器地址为10.110.10.3/16，内网内网内部Web服务器1的外网外网务器IP地址为10.110.10.1/16，内部Web服务器2的访问访问b服IP地址为10.110.10.2/16，内部SMTP服务器IP地址为10.110.10.4/16。内网内网

公司拥有202.38.1.1至202.38.1.3三个公网IP地址需要实现如下功能：外部的外网外网务器主机可以访问内部的服务器选用202.38.1.1作为公司对外提供服务的IP地址，Web服务器2对外采用8080端口。访问访问b服

2.组网图

外网用户通过外网地址访问内网服务器配置组网图3.配置步骤按照组网图配置各接口的IP地址，具体配置过程略进入接口GigabitEthernet1/0/2 system-view[Router] interface gigabitethernet 1/0/2。

配置内部FTP服务器，允许外网主机使用地址202.38.1.1、端口号21访问内网FTP服务器[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 21 inside 10.110.10.3 ftp。

配置内部Web服务器1，允许外网主机使用地址202.38.1.1、端口号80访问内网Web服务器1[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 80 inside 10.110.10.1 http。

配置内部Web服务器2，允许外网主机使用地址202.38.1.1、端口号8080访问内网Web服务器2[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 8080 inside 10.110.10.2 http。

配置内部SMTP服务器，允许外网主机使用地址202.38.1.1以及SMTP协议定义的端口访问内网SMTP服务器[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 smtp inside 10.110.10.4 smtp。

4.验证配置以上配置完成后，外网Host能够通过NAT地址访问各内网服务器通过查看如下显示信息，可以验证以上配置成功[Router] display nat allNAT internal server information:。

Totally 4 internal servers.Interface: GigabitEthernet1/0/2Protocol: 6(TCP)Global IP/port: 202.38.1.1/21

Local IP/port : 10.110.10.3/21Rule name : ServerRule_1NAT counting : 0Service card : Slot 2Config status : Active

Global flow-table status: ActiveLocal flow-table status: ActiveInterface: GigabitEthernet1/0/2Protocol: 6(TCP)

Global IP/port: 202.38.1.1/25Local IP/port : 10.110.10.4/25Rule name : ServerRule_4NAT counting : 0

Service card : Slot 2Config status : ActiveGlobal flow-table status: ActiveLocal flow-table status: Active

Interface: GigabitEthernet1/0/2Protocol: 6(TCP)Global IP/port: 202.38.1.1/80Local IP/port : 10.110.10.1/80

Rule name : ServerRule_2NAT counting : 0Service card : Slot 2Config status : ActiveGlobal flow-table status: Active

Local flow-table status: ActiveInterface: GigabitEthernet1/0/2Protocol: 6(TCP)Global IP/port: 202.38.1.1/8080

Local IP/port : 10.110.10.2/80Rule name : ServerRule_3NAT counting : 0Service card : Slot 2Config status : Active

Global flow-table status: ActiveLocal flow-table status: ActiveNAT logging:Log enable : Disabled

Flow-begin : DisabledFlow-end : DisabledFlow-active : DisabledPort-block-assign : Disabled

Port-block-withdraw : DisabledAlarm : DisabledNO-PAT IP usage : DisabledNAT mapping behavior:

Mapping mode : Address and Port-DependentACL : ---Config status: ActiveNAT ALG:DNS : Enabled

FTP : EnabledH323 : EnabledICMP-ERROR : EnabledILS : EnabledMGCP : EnabledNBT : Enabled

PPTP : EnabledRTSP : EnabledRSH : EnabledSCCP : EnabledSIP : EnabledSQLNET : Enabled

TFTP : EnabledXDMCP : EnabledStatic NAT load balancing: Disabled通过以下显示命令，可以看到Host访问FTP server时生成NAT会话信息。

[Router] display nat session verboseSlot 0:Total sessions found: 0Slot 2:Initiator:Source IP/port: 202.38.1.10/1694

Destination IP/port: 202.38.1.1/21DS-Lite tunnel peer: -VPN instance/VLAN ID/Inline ID: -/-/-Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2Responder:Source IP/port: 10.110.10.3/21Destination IP/port: 202.38.1.10/1694

DS-Lite tunnel peer: -VPN instance/VLAN ID/Inline ID: -/-/-Protocol: TCP(6)Inbound interface: GigabitEthernet1/0/1

State: TCP_ESTABLISHEDApplication: FTPRule ID: -/-/-Rule name:Start time: 2012-08-15 14:53:29 TTL: 3597s

Initiator->Responder: 7 packets 308 bytesResponder->Initiator: 5 packets 312 bytes

Total sessions found: 1外网用户通过域名访问内网服务器配置举例（地址不重叠）1.组网需求某公司内部对外提供Web服务，Web服务器地址为10.110.10.2/24该公司在内网有一台DNS服务器，IP地址为10.110.10.3/24，用于解析Web服务器的域名。

该公司拥有两个外网IP地址：202.38.1.2和202.38.1.3。需要实现，外网主机可以通过域名访问内网的Web服务器。2.组网图

外网用户通过域名访问内网服务器配置组网图（地址不重叠）3.配置思路外网主机通过域名访问Web服务器，首先需要通过访问内网DNS服务器获取Web服务器的IP地址，因此需要通过配置NAT内部服务器将DNS服务器的内网IP地址和DNS服务端口映射为一个外网地址和端口。

DNS服务器回应给外网主机的DNS报文载荷中携带了Web服务器的内网IP地址，因此需要将DNS报文载荷中的内网IP地址转换为一个外网IP地址外网地址分配可以通过出方向动态地址转换功能实现，转换载荷信息可以通过DNS ALG功能实现。

4.配置步骤按照组网图配置各接口的IP地址，具体配置过程略开启DNS协议的ALG功能 system-view[Router] nat alg dns配置ACL 2000，允许对内部网络中10.110.10.2的报文进行地址转换。

[Router] acl basic 2000[Router-acl-ipv4-basic-2000] rule permit source 10.110.10.2 0[Router-acl-ipv4-basic-2000] quit

创建地址组1[Router] nat address-group 1添加地址组成员202.38.1.3[Router-address-group-1] address 202.38.1.3 202.38.1.3。

[Router-address-group-1] quit在接口GigabitEthernet1/0/2上配置NAT内部服务器，允许外网主机使用地址202.38.1.2访问内网DNS服务器[Router] interface gigabitethernet 1/0/2。

[Router-GigabitEthernet1/0/2] nat server protocol udp global 202.38.1.2 inside 10.110.10.3 dns在接口GigabitEthernet1/0/2上配置出方向动态地址转换，允许使用地址组1中的地址对DNS应答报文载荷中的内网地址进行转换，并在转换过程中不使用端口信息，以及允许反向地址转换。

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 1 no-pat reversible5.验证配置以上配置完成后，外网Host能够通过域名访问内网Web server。

通过查看如下显示信息，可以验证以上配置成功[Router] display nat allNAT address group information:Totally 1 NAT address groups.

Address group ID: 1Port range: 1-65535Address information:Start address End address202.38.1.3 202.38.1.3

NAT outbound information:Totally 1 NAT outbound rules.Interface: GigabitEthernet1/0/2ACL: 2000Address group ID: 1

Port-preserved: N NO-PAT: Y Reversible: YService card: Slot 2Config status: ActiveGlobal flow-table status: Active

NAT internal server information:Totally 1 internal servers.Interface: GigabitEthernet1/0/2Protocol: 17(UDP)

Global IP/port: 202.38.1.2/53Local IP/port : 10.110.10.3/53Rule name : ServerRule_1NAT counting : 0

Service card : Slot 2Config status : ActiveGlobal flow-table status: ActiveLocal flow-table status: Active

NAT logging:Log enable : DisabledFlow-begin : DisabledFlow-end : Disabled

Flow-active : DisabledPort-block-assign : DisabledPort-block-withdraw : DisabledAlarm : Disabled

NO-PAT IP usage : DisabledNAT mapping behavior:Mapping mode : Address and Port-DependentACL : ---

Config status: ActiveNAT ALG:DNS : EnabledFTP : EnabledH323 : EnabledICMP-ERROR : Enabled

ILS : EnabledMGCP : EnabledNBT : EnabledPPTP : EnabledRTSP : EnabledRSH : Enabled

SCCP : EnabledSIP : EnabledSQLNET : EnabledTFTP : EnabledXDMCP : EnabledStatic NAT load balancing: Disabled

通过以下显示命令，可以看到Host访问Web server时生成NAT会话信息[Router] display nat session verboseSlot 0:Total sessions found: 0。

Slot 2:Initiator:Source IP/port: 200.1.1.2/1694Destination IP/port: 202.38.1.3/8080DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-Protocol: TCP(6)Inbound interface: GigabitEthernet1/0/2Responder:

Source IP/port: 10.110.10.2/8080Destination IP/port: 200.1.1.2/1694DS-Lite tunnel peer: -VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)Inbound interface: GigabitEthernet1/0/1State: TCP_ESTABLISHEDApplication: HTTPRule ID: -/-/-

Rule name:Start time: 2012-08-15 14:53:29 TTL: 3597sInitiator->Responder: 7 packets 308 bytes

Responder->Initiator: 5 packets 312 bytesTotal sessions found: 1外网用户通过域名访问内网服务器配置举例（地址重叠）

1.组网需求某公司内网使用的IP地址为192.168.1.0/24该公司内部对外提供Web服务，Web服务器地址为192.168.1.2/24该公司在内网有一台DNS服务器，IP地址为192.168.1.3/24，用于解析Web服务器的域名。

该公司拥有三个外网IP地址：202.38.1.2、202.38.1.3和202.38.1.4。需要实现，外网主机可以通过域名访问与其地址重叠的内网Web服务器。2.组网图

外网用户通过域名访问内网服务器配置组网图（地址重叠）3.配置思路这是一个典型的双向NAT应用，具体配置思路如下外网主机通过域名访问Web服务器，首先需要访问内部的DNS服务器获取Web服务器的IP地址，因此需要通过配置NAT内部服务器将DNS服务器的内网IP地址和DNS服务端口映射为一个外网地址和端口。

DNS服务器回应给外网主机的DNS报文载荷中携带了Web服务器的内网IP地址，该地址与外网主机地址重叠，因此在出方向上需要为内网Web服务器动态分配一个NAT地址，并将载荷中的地址转换为该地址NAT地址分配可以通过出方向动态地址转换功能实现，转换载荷信息可以通过DNS ALG功能实现。

外网主机得到内网Web服务器的IP地址之后（该地址为NAT地址），使用该地址访问内网Web服务器，因为外网主机的地址与内网Web服务器的真实地址重叠，因此在入方向上也需要为外网主机动态分配一个NAT地址，可以通过入方向动态地址转换实现。

NAT设备上没有目的地址为外网主机对应NAT地址的路由，因此需要手工添加静态路由，使得目的地址为外网主机NAT地址的报文的出接口为GigabitEthernet1/0/24.配置步骤按照组网图配置各接口的IP地址，具体配置过程略。

开启DNS协议的ALG功能 system-view[Router] nat alg dns配置ACL 2000，允许对内部网络中192.168.1.0/24网段的报文进行地址转换[Router] acl basic 2000。

[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255[Router-acl-ipv4-basic-2000] quit

创建地址组1[Router] nat address-group 1添加地址组成员202.38.1.2[Router-address-group-1] address 202.38.1.2 202.38.1.2。

[Router-address-group-1] quit创建地址组2[Router] nat address-group 2添加地址组成员202.38.1.3[Router-address-group-2] address 202.38.1.3 202.38.1.3。

[Router-address-group-2] quit在接口GigabitEthernet1/0/2上配置NAT内部服务器，允许外网主机使用地址202.38.1.4访问内网DNS服务器[Router] interface gigabitethernet 1/0/2。

[Router-GigabitEthernet1/0/2] nat server protocol udp global 202.38.1.4 inside 192.168.1.3 dns在接口GigabitEthernet1/0/2上配置出方向动态地址转换，允许使用地址组1中的地址对DNS应答报文载荷中的内网地址进行转换，并在转换过程中不使用端口信息，以及允许反向地址转换。

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 1 no-pat reversible在接口GigabitEthernet1/0/2上配置入方向动态地址转换，允许使用地址组2中的地址对外网访问内网的报文进行源地址转换，并在转换过程中使用端口信息。

[Router-GigabitEthernet1/0/2] nat inbound 2000 address-group 2配置到达202.38.1.3地址的静态路由，出接口为GigabitEthernet1/0/2，下一跳地址为20.2.2.2（20.2.2.2为本例中的直连下一跳地址，实际使用中请以具体组网情况为准）。

[Router] ip route-static 202.38.1.3 32 gigabitethernet 1/0/2 20.2.2.25.验证配置以上配置完成后，外网Host能够通过域名访问内网相同IP地址的Web server。

通过查看如下显示信息，可以验证以上配置成功[Router] display nat allNAT address group information:Totally 2 NAT address groups.

Address group ID: 1Port range: 1-65535Address information:Start address End address202.38.1.2 202.38.1.2

Address group ID: 2Port range: 1-65535Address information:Start address End address202.38.1.3 202.38.1.3

NAT inbound information:Totally 1 NAT inbound rules.Interface: GigabitEthernet1/0/2ACL: 2000Address group ID: 2

Add route: N NO-PAT: N Reversible: NService card: Slot 2Config status: ActiveGlobal flow-table status: Active

NAT outbound information:Totally 1 NAT outbound rules.Interface: GigabitEthernet1/0/2ACL: 2000Address group ID: 1

Port-preserved: N NO-PAT: Y Reversible: YService card: Slot 2Config status: ActiveGlobal flow-table status: Active

NAT internal server information:Totally 1 internal servers.Interface: GigabitEthernet1/0/2Protocol: 17(UDP)

Global IP/port: 202.38.1.4/53Local IP/port : 200.1.1.3/53Rule name : ServerRule_1NAT counting : 0