这是一个创建于 2024 天前的主题，其中的信息可能已经有所发展或是发生改变。
拓扑如下： ---vpn 拨入---Firewall---AC---Switch---Server
Firewall 和 Application Control 各做了端口映射用于对外开放 Server 的部分端口，现在 vpn 拨入后与 server 段地址能够正常 ping 通，但无法访问特定端口，问：什么问题导致的？
其实已经解出来了，但原理有些无法理解，想听听大牛怎么想的。
先感谢大家的回复了！
 |
1
blackeeper 2019-05-21 22:03:36 +08:00
我猜是 nat 端口的问题
|
|
2
blackeeper 2019-05-21 22:15:43 +08:00
是 IP+nat 端口导致的路由问题，以前我弄 OpenVPN + Router DNAT 也遇到过，一抓包就知道了。
|
 |
3
yurang 2019-05-21 22:19:13 +08:00 via iPhone
如果做的端口级的映射的话，能 ping 通不代表 ping 的是 server 也有可能是 NAT 前的地址。
到 server 不通要么是 server 没有回 vpn 地址的回程路由，要么是在 firewall 的 NAT 配置下发了黑洞路由，vpn 入接口和 NAT 下发不在一个口，导致流量命中黑洞路由被丢弃了。如果是 Web 应用的话也有可能是 Server 对 host 字段有要求。 信息比较少，只能这么猜 |
 |
4
jeblur OP @blackeeper 感谢回复，确实是 NAT 问题，测试下来发现 Server 回包时会在 AC 处转换成 AC 与 FW 连接的接口地址，所以会导致不通，但不明白的是我在 AC 处并没有针对 Server 的特定端口做端口映射也还是被转换了。这是部分产品的问题还是是端口映射的原因。。
|
|
5
jeblur OP 感谢各位回复，现在发现是端口映射的问题，由于在 AC 位置对 Server 的其他端口做过了映射，但没有做我需要端口的映射，可在 FW 处抓包发现回包是以 AC 与 FW 连接处端口的地址为源的，所以有此疑问: 如果我把 AC 处针对 Server 的所有端口映射都关闭是否还会生效。（明天会进行测试，今天只是猜测而已）
|
Select Language