• 全部
  • 經驗案例
  • 典型配置
  • 技術公告
  • FAQ
  • 漏洞說明
  • 全部
  • 全部
  • 大數據引擎
  • 知了引擎
產品線
搜索
取消
案例類型
發布者
是否解決
是否官方
時間
搜索引擎
匹配模式
高級搜索

某局點過設備NAT轉發異常

2024-12-25 發表
  • 0關注
  • 1收藏 889瀏覽
陳陽 五段
粉絲:3人 關注:3人

組網及說明

不涉及

問題描述

設備MSR3620在出口位置,做了NAT Server,將內網一台服務器映射到公網,服務器提供了WEB服務,在WEB上可以訪問服務器上的虛機,虛機地址和服務器地址一樣,但是端口不同

 

interface Ten-GigabitEthernet0/X

ip address X.X.X.X 255.255.255.252

nat outbound

nat server protocol tcp global current-interface A inside 192.168.1.D 443

nat server protocol tcp global current-interface B inside 192.168.1.D Y

nat server protocol tcp global current-interface C inside 192.168.1.D Z

在公網訪問測試,能打開WEB界麵,但是訪問WEB上的虛機時無法連接。

 

 

過程分析

在內網通過WEB界麵訪問虛機正常,說明服務器是正常的,虛機也是正常的,在設備debug,看到訪問過程是正常的:

<H3C>*Nov 18 19:07:26:139 2024 H3C IPFW/7/IPFW_PACKET:

Receiving, interface = Ten-GigabitEthernet0/X

version = 4, headlen = 20, tos = 4

pktlen = 52, pktid = 35599, offset = 0, ttl = 112, protocol = 6

checksum = 34526, s = 221.12.4.143, d = X.X.X.X

channelID = 0, vpn-InstanceIn = 0, vpn-InstanceOut = 0.

VsysID = 1

prompt: Receiving IP packet from interface Ten-GigabitEthernet0/X.

Payload: TCP

  source port = 62060, destination port = B

  sequence num = 0xc0427819, acknowledgement num = 0x00000000, flags = 0x2

  window size = 64240, checksum = 0x8881, header length = 32.

 

*Nov 18 19:07:26:139 2024 H3C NAT/7/COMMON:

 PACKET: (Ten-GigabitEthernet0/20-in-config) Protocol: TCP

    221.12.4.143:62060 -   X.X.X.X:B(VPN:    0)(vsys:    1) ------>

    221.12.4.143:62060 -   192.168.1.D: Y(VPN:    0)(vsys:    1)

 

*Nov 18 19:07:26:140 2024 H3C IPFW/7/IPFW_PACKET:

Sending, interface = Vlan-interface1

version = 4, headlen = 20, tos = 4

pktlen = 52, pktid = 35599, offset = 0, ttl = 111, protocol = 6

checksum = 56483, s = 221.12.4.143, d = 192.168.1.D

channelID = 0, vpn-InstanceIn = 0, vpn-InstanceOut = 0.

VsysID = 1

prompt: Sending IP packet received from interface Ten-GigabitEthernet0/X at interface Vlan-interface1.

Payload: TCP

  source port = 62060, destination port = Y

  sequence num = 0xc0427819, acknowledgement num = 0x00000000, flags = 0x2

  window size = 64240, checksum = 0x9905, header length = 32.

 

 

*Nov 18 19:07:26:140 2024 H3C IPFW/7/IPFW_PACKET:

Receiving, interface = Vlan-interface1

version = 4, headlen = 20, tos = 0

pktlen = 52, pktid = 0, offset = 0, ttl = 64, protocol = 6

checksum = 38583, s = 192.168.1.D, d = 221.12.4.143

channelID = 0, vpn-InstanceIn = 0, vpn-InstanceOut = 0.

VsysID = 1

prompt: Receiving IP packet from interface Vlan-interface1.

Payload: TCP

  source port = Y, destination port = 62060

  sequence num = 0xca824f67, acknowledgement num = 0xc042781a, flags = 0x12

  window size = 29200, checksum = 0x0738, header length = 32.

 

 

*Nov 18 19:07:26:140 2024 H3C NAT/7/COMMON:

 PACKET: (Ten-GigabitEthernet0/X-out-session) Protocol: TCP

   192.168.1.D: Y -    221.12.4.143:62060(VPN:    0)(vsys:    1) ------>

   X.X.X.X:B -    221.12.4.143:62060(VPN:    0)(vsys:    1)

 

*Nov 18 19:07:26:140 2024 H3C IPFW/7/IPFW_PACKET:

Sending, interface = Ten-GigabitEthernet0/X

version = 4, headlen = 20, tos = 0

pktlen = 52, pktid = 0, offset = 0, ttl = 63, protocol = 6

checksum = 17138, s = X.X.X.X, d = 221.12.4.143

channelID = 0, vpn-InstanceIn = 0, vpn-InstanceOut = 0.

VsysID = 1

prompt: Sending IP packet received from interface Vlan-interface1 at interface Ten-GigabitEthernet0/X.

Payload: TCP

  source port = B, destination port = 62060

  sequence num = 0xca824f67, acknowledgement num = 0xc042781a, flags = 0x12

  window size = 29200, checksum = 0xf81b, header length = 32.

 

進一步在內網測試,發現通過軟件登錄時,使用了443端口,而非Y端口,所以懷疑通過WEB訪問時,被重定向到了一個內網端口,從公網發起訪問時,沒有訪問到真正的服務,為驗證猜測,在接口下新增如下配置,轉換時端口不變,新增配置後測試訪問正常。

nat server protocol tcp global current-interface Y inside 192.168.1.D Y

nat server protocol tcp global current-interface Z inside 192.168.1.D Z

解決方法

內網服務器WEB上訪問虛機經過了一次端口跳轉,且跳轉的是內網真實端口,所以該端口也需要在公網進行映射。

該案例對您是否有幫助:

您的評價:1

若您有關於案例的建議,請反饋:

0 個評論

該案例暫時沒有網友評論

編輯評論

舉報

×

侵犯我的權益 >
對根叔知了社區有害的內容 >
辱罵、歧視、挑釁等(不友善)

侵犯我的權益

×

泄露了我的隱私 >
侵犯了我企業的權益 >
抄襲了我的內容 >
誹謗我 >
辱罵、歧視、挑釁等(不友善)
騷擾我

泄露了我的隱私

×

您好,當您發現根叔知了上有泄漏您隱私的內容時,您可以向根叔知了進行舉報。 請您把以下內容通過郵件發送到pub.zhiliao@h3c.com 郵箱,我們會盡快處理。
  • 1. 您認為哪些內容泄露了您的隱私?(請在郵件中列出您舉報的內容、鏈接地址,並給出簡短的說明)
  • 2. 您是誰?(身份證明材料,可以是身份證或護照等證件)

侵犯了我企業的權益

×

您好,當您發現根叔知了上有關於您企業的造謠與誹謗、商業侵權等內容時,您可以向根叔知了進行舉報。 請您把以下內容通過郵件發送到 pub.zhiliao@h3c.com 郵箱,我們會在審核後盡快給您答複。
  • 1. 您舉報的內容是什麼?(請在郵件中列出您舉報的內容和鏈接地址)
  • 2. 您是誰?(身份證明材料,可以是身份證或護照等證件)
  • 3. 是哪家企業?(營業執照,單位登記證明等證件)
  • 4. 您與該企業的關係是?(您是企業法人或被授權人,需提供企業委托授權書)
我們認為知名企業應該坦然接受公眾討論,對於答案中不準確的部分,我們歡迎您以正式或非正式身份在根叔知了上進行澄清。

抄襲了我的內容

×

原文鏈接或出處

誹謗我

×

您好,當您發現根叔知了上有誹謗您的內容時,您可以向根叔知了進行舉報。 請您把以下內容通過郵件發送到pub.zhiliao@h3c.com 郵箱,我們會盡快處理。
  • 1. 您舉報的內容以及侵犯了您什麼權益?(請在郵件中列出您舉報的內容、鏈接地址,並給出簡短的說明)
  • 2. 您是誰?(身份證明材料,可以是身份證或護照等證件)
我們認為知名企業應該坦然接受公眾討論,對於答案中不準確的部分,我們歡迎您以正式或非正式身份在根叔知了上進行澄清。

對根叔知了社區有害的內容

×

垃圾廣告信息
色情、暴力、血腥等違反法律法規的內容
政治敏感
不規範轉載 >
辱罵、歧視、挑釁等(不友善)
騷擾我
誘導投票

不規範轉載

×

舉報說明

提出建議

    +

親~登錄後才可以操作哦!

確定

親~檢測到您登陸的賬號未在http://hclhub.h3c.com進行注冊

注冊後可訪問此模塊

跳轉hclhub

你的郵箱還未認證,請認證郵箱或綁定手機後進行當前操作