|
双出口映射单网卡服务器解决方案 一、 解决方案应用场景：出口路由器接两家运营商线路，均使用固定公网地址上外网， 内网有一台单网卡的FTP 服务器，现要将其分别映射至两个公网出口，实现外网用户 通过公网地址能正常访问FTP 服务器。 二、 网络拓扑图：  三、 解决方案思路： 1. 内网用户上公网通过在两个公网口分别做nat outbound，电信出接口配置一条默认路由， 网通出接口配置一条优先级低于电信出接口的默认路由并添加目的地址为网通网段的 精细路由； 2. 若双出口上映射同一个FTP 服务器的私网地址，则可能出现端口被占用的情况，为解决 这个问题，给服务器配置两个私网地址，分别用做两个外网口上做nat server 的内部地 址：其中电信出口映射的内部地址为192.168.1.253，网通出口映射的内部地址为 192.168.1.254； 3. 做完以上两个步骤后，电信地址访问电信出口没有问题，网通地址访问网通出口也没有 问题，但是网通地址访问电信出口就会出现数据包来回路径不一致的现象：网通地址访 问电信接口时，首先电信出接口通过nat server 定向至192.168.1.253，服务器回包时一 看源地址为网通地址，就匹配精细路由出去了。同样的电信地址访问网通出接口也可能 出现数据包来回不一致的情况； 4. 为解决第3 步出现的问题，通过定义匹配源的策略路由来解决：源为192.168.1.253 目的 UnRegistered 地址任意的访问下一跳指向电信出口网关，源为192.168.1.254 目的地址任意的访问下一 跳指向网通出口网关。此时网通地址访问电信出接口时，首先电信出接口通过nat server 定向至192.168.1.253，服务器回包时匹配源为192.168.1.253 的策略路由，仍然走电信出 接口出去，这样就实现了数据包的来回一致，电信地址访问网通出接口也是一样。 五、 测试配置文件 出口路由器：MSR30-11 # acl number 2000 rule 0 permit # acl number 3000 //定义源为192.168.1.253 的ACL rule 0 permit ip source 192.168.1.253 0 acl number 3001 //定义源为192.168.1.254 的ACL rule 0 permit ip source 192.168.1.254 0 # vlan 1 # domain system access-limit disable state active idle-cut disable self-service-url disable # user-group system # local-user admin password cipher .]@USE=B,53Q=^Q`MAF4<1!! authorization-attribute level 3 service-type telnet # cwmp undo cwmp enable # interface Aux0 async mode flow link-protocol ppp # interface Ethernet0/0 //此接口为出口路由器的内网口 port link-mode route ip address 192.168.1.1 255.255.255.0 undo ipv6 fast-forwarding ip policy-based-route policy //将匹配源地址为服务器私网地址的策略路由下发至内网口 # interface Ethernet0/1 UnRegistered port link-mode route undo ipv6 fast-forwarding # interface Ethernet3/0 //此接口为电信出接口 port link-mode route description to-dianxin nat outbound 2000 nat server protocol tcp global 10.10.10.1 ftp inside 192.168.1.253 ftp //映射192.168.1.253 ip address 10.10.10.1 255.255.255.252 undo ipv6 fast-forwarding # interface Ethernet3/1 //此接口为网通出接口 port link-mode route description to-wangtong nat outbound 2000 nat server protocol tcp global 20.20.20.1 ftp inside 192.168.1.254 ftp //映射192.168.1.254 ip address 20.20.20.1 255.255.255.252 undo ipv6 fast-forwarding # interface Serial0/0 link-protocol ppp undo ipv6 fast-forwarding # interface NULL0 # policy-based-route policy permit node 0 //匹配ACL3000 的走电信出接口 if-match acl 3000 apply ip-address next-hop 10.10.10.2 policy-based-route policy permit node 5 //匹配ACL3001 的走网通出接口 if-match acl 3001 apply ip-address next-hop 20.20.20.2 # ip route-static 0.0.0.0 0.0.0.0 10.10.10.2 ip route-static 0.0.0.0 0.0.0.0 20.20.20.2 preference 80 ip route-static 3.3.3.0 255.255.255.0 20.20.20.2 //实际配置时需添加网通网段的细化路由 # 电信设备：100F 网通设备：100F 电信和网通之间的互联网段为：3.3.3.0/24，电信：3.3.3.253 网通：3.3.3.254 UnRegistered |
|
|
