内网经过域名或公网IP访问ERP处理方案Nov 18,20XX
关键字
公网IP、路由回流、 NAT、 DNS、 DNSMapping。
1.需求分析
ERP系统安装布署完成后常常会碰到这么问题就是外网用户能够使用公网IP能正常访问ERP系统不过内网用户却无法使用公网IP访问ERP系统这个问题会常常碰到处理方法也有很多。那么为何会出现这么问题处理问题前首先介绍一下路由回流。
2.路由回流
当用路由器防火墙等设备将内网服务器公布到公网上供Internet用户访问过程中出现一个现象就是你发觉web服务器已经成功公布了 Internet用户也已经能够经过你路由器公网接口地址成功访问了而你却发觉自己在内网中和web服务器同网段主机上直接访问那个路由器公网地址是无法访问到web服务器页面内容这就是路由回流。
造成路由回流原因关键是出口设备路由器或是防火墙做了NAT/PAT 也被称作源地址转换和端口映射也被称为目标地址转换造成。
举例说明 内网PCIP地址为 192. 168. 1. 10 内网ERP服务器IP地址为 192. 168. 1. 100路由器外网接口IP地址为 202. 103. 100. 100外网经过 当然在出口设备上目标地址转换已经完成。
ERP服务器
当内网PC通源地址为 192. 168. 1. 10 目标地址为 202. 103. 100. 100内网PC发觉202. 103. 100. 100和自己IP地址192. 168. 1. 10不在一个网段会查找路由表将数据包发给路由器。当路由器接到请求后做目标地址转换此时源地址不变还是192. 168. 1. 10不过目标地址变为 192. 168. 1. 100。 内网WEB服务器会应答应答源地址为自己IP地址 192. 168. 1. 100 目标地址为 192. 168. 1. 10此时源地址和目标地址在同一个网段不需要查找路由表也就是说不需要经过路由器只需要在交换机上查找MAC地址表做转发就能够了。
问题就出现在上面 内网ERP服务器做出应答 内网PC收到后发觉应答源地址是192. 168. 1. 100而不是202. 103. 100. 100 内网PC收到数据包后会把数据包丢弃然后内网PC会一直等啊等等源地址为
202. 103. 100. 100 目标地址为自己IP 192. 168. 1. 10数据包不过一直到超时全部等不到最终止果可想而知。
一样 192. 168. 1. 100等候192. 168. 1. 10应答也一样等到超时也等不到应答。
HTTP协议是基于TCP 以上发生在TCP三次握手阶段 TCP三次握手无法完整建立。
说明后面配置全部以此拓扑图为例。
3.处理方案
已经知道了路由回流是造成内网用户无法使用公网IP访问ERP系统原因那么怎么处理呢处理方法有多个下面分别介绍多个处理方案。
3.1内部NAT处理方案
路由器上除了 g0/0/1接口上配置端口映射 目标地址转换 外网用户经过访问 http://
202. 103. 100. 100就能够访问 ERP服务器192. 168. 100 了假如要内网用户也能够经过http://
202. 103. 100. 100访问ERP服务器192. 168. 100还需要在路由器g0/0/0接口上配置端口映射目标地址转换。这里以华为路由器为例其它厂商路由器请自己查找相关资料配置。
[R1]acl number 20XX
[R1-acl-basic-20XX]rule 0 permit source 192. 168. 1.0 0.0.0.255
[R1-acl-basic-20XX]rule 1 deny
[R1-acl-basic-20XX]quit
[R1] interface GigabitEthernet 0/0/2
[R1-GigabitEthernet0/0/2]nat outbound 20XX
[R1-GigabitEthernet0/0/2]nat server protocol tcp global 202. 103. 100. 100 80 inside 192. 168. 1. 100 80[R1-GigabitEthernet0/0/2]quit
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]nat outbound 20XX
[R1-GigabitEthernet0/0/0]nat server protocol tcp global 202. 103. 100. 100 80 inside 192. 168. 1. 100 80
红色字体部门就是内部NAT配置。
3.2内网DNS处理方案
根据我们通常习惯访问网站通常采取域名这么方便记忆一样访问明源ERP系统时候采取域名比采取IP要方便注册域名让公网IP同域名绑定外网用户就能够使用域名访问明源ERP系统了。那么内网用户怎样才能使用域名正常访问明源ERP系统呢
ERP服务器
内网用户能否直接使用外网域名访问明源ERP系统能直接访问是不行 因为还是存在路由回流问题所以需要在内网配置一台DNS服务器内网全部用户端DNSIP全部填写这台内网DNS服务器IP地址那么问题来了 内网用户要想访问外网像百度这么网站该怎么办呢这个很轻易处理只需要在内网DNS服务器上配置转发器转发器中填写公网上运行商DNS服务器IP地址就能够处理问题了。内网DNS服务器能够搭建在Windows Server 20XX/20XX上。
3.3防火墙DNS Mapping处理方案
DNS Mapping应用于内网用户经过域名访问内网服务器设置DNS Mapping后 当内网用户发送DNS请求时候防火墙设备主动将域名解析成服务器内网IP地址返回给用户端用户端实际是直接访问服务器内网I P不需要经过NAT转换。
域名填写erp.mysoft.com.cn公网IP地址填写202. 103. 100. 100内网IP地址填写 192. 168. 1. 100。
假如企业内部没有DNS服务器假如有防火墙防火墙支持DNS Mapping也能够处理路由回流问题。注意不是全部防火墙全部支持路由回流购置前请咨询防火墙厂商。
说明该截图为深信服防火墙配置界面。
3.4路由器DNS Mapping处理方案
路由器DNS Mapping和防火墙类似只是将出口防火墙换成路由器而已配置略有差异这里以华为路由器为例配置DNS Mapping其中ERP服务器域名为 erp.mysoft.com.cn内网IP地址为 192. 168. 1. 10080为ERP服务器端口号 tcp是因为http协议是基于TCP。
[R1] nat dns-map erp.mysoft.com.cn 192. 168. 1. 100 80 tcp
3.5其它处理方案
这种处理方案不是常规处理方案不过在一些情况能够考虑。通常服务器有多块网卡此处是给服务器另外一块网卡配置公网IP不过该服务器这块网卡不能直接配置网关需要使用命令配置 同时该网卡网关在关键交换机上。这么使用公网IP访问ERP服务器时候不需要经过出口防火墙或路由器直接经过关键交换机实现不一样VLAN之间路由。
ERP服务器
ERP服务器上在命令行下输入route add 192. 168. 1.0 mask 255.255.255.0 202. 103. 100. 101 –p
关键交换机上配置
[switch]vlan 100
[switch-vlan100]quit
[switch] interface GigabitEthernet 0/0/1
[switch-GigabitEthernet0/0/1]port link-type access
[switch-port-group-defa]port default vlan 100
[switch-port-group-defa]quit
[switch] interface vlan 100
[switch-Vlanif100] ip address 202. 103. 100. 101 255.255.255.0
[switch-Vlanif100]quit
4.小结
上述多个处理方案中 内网DNS处理方案最符合通常人习惯安装配置也是最简单不过需要一台DNS服务器假如访问量不大能够考虑将DNS服务器和其它服务器合并假如是域环境首选内网DNS处理方案 因为域控制器需要有DNS支持。
内部NAT处理方案在企业级路由器或防火墙上很容实现不过难度比内网DNS方案略大。
防火墙DNS Mapping和路由器DNS Mapping需要防火墙和路由器支持现在大多数防火墙和路由器支持不过购置前请咨询厂商。
其它处理方案不是推荐处理方案通常要求ERP服务器要能连接到三层交换机上才能实现。
diyvm怎么样?diyvm这是一家低调国人VPS主机商,成立于2009年,提供的产品包括VPS主机和独立服务器租用等,数据中心包括香港沙田、美国洛杉矶、日本大阪等,VPS主机基于XEN架构,均为国内直连线路,主机支持异地备份与自定义镜像,可提供内网IP。最近,DiyVM商家对香港机房VPS提供5折优惠码,最低2GB内存起优惠后仅需50元/月。点击进入:diyvm官方网站地址DiyVM香港机房CN...
pigyun怎么样?PIGYunData成立于2019年,2021是PIGYun为用户提供稳定服务的第三年,目前商家提供香港CN2线路、韩国cn2线路、美西CUVIP-9929、GIA等线路优质VPS,基于KVM虚拟架构,商家采用魔方云平台,所有的配置都可以弹性选择,目前商家推出了七月优惠,韩国和美国所有线路都有相应的促销,六折至八折,性价比不错。点击进入:PIGYun官方网站地址PIGYUN优惠...
ucloud6.18推出全球大促活动,针对新老用户(个人/企业)提供云服务器促销产品,其中最低配快杰云服务器月付5元起,中国香港快杰型云服务器月付13元起,最高可购3年,有AMD/Intel系列。当然这都是针对新用户的优惠。注意,UCloud全球有31个数据中心,29条专线,覆盖五大洲,基本上你想要的都能找到。注意:以上ucloud 618优惠都是新用户专享,老用户就随便看看!点击进入:uclou...