NAT Server原理与配置：一个公网IP开放多个内网服务

先问一个很多人都会遇到的场景。公司内网有台文件服务器或者OA、医疗系统、教育系统出差在外的人想随时访问但整个出口就一个公网IP不可能给每台服务器都分一个独立地址。这个问题我几乎隔一阵就被问一次。很多人第一反应是去找各种第三方工具总觉得“没有公网IP就寸步难行”但如果你手头有企业路由器或防火墙比如华为、华三、锐捷这类设备直接在出口上配置NAT Server就能搞定。今天就把NAT Server的原理、配置和踩坑经验一次讲透搞懂之后你会发现外网访问内网服务器真不用兴师动众申请一堆公网IP。这篇文章适合两类人一类是企业网络运维或系统管理员需要在有限公网IP下把内网服务安全地开放出去另一类是技术爱好者自己在家里搭了NAS、监控或开发环境想在外面也能连上。读完你能掌握NAT Server的核心概念、具体配置命令、端口规划思路以及实际排障中最容易踩的坑。1. 先搞明白NAT Server到底做了什么1.1 没有公网IP不等于服务器不能“被访问”先澄清一个关键点标题说“不用公网IP也能搞定”这句话准确理解应该是——不需要为每台内网服务器单独申请公网IP。但你的出口设备上至少要有一个可用的公网IP否则任何常规路由方案都无从谈起。为什么会这样根源还是IPv4地址资源紧张。现在运营商给企业开宽带默认就一个公网IP甚至很多还是动态的。内部服务器如果直接挂公网IP成本高、安全性也差。NAT Server的思路很简单把公网IP上的某个端口和内网某台服务器的某个端口绑定。外部用户访问“公网IP:端口”时出口设备自动把流量转到对应的内网服务器。这个过程在专业术语里叫目的地址转换也就是DNAT。它本质上是给内网服务器开了一扇“定向门”外网只能通过你指定的端口进来其他端口一概不通。相比给服务器直接分配公网IP这种方式的暴露面小得多也更灵活。1.2 NAT Server和普通NAT方向正好相反很多刚开始接触网络的同学容易把NAT Server和普通NAT搞混。普通NAT解决的是“内网上网”问题内网设备访问外网时把私网地址转换成公网地址这叫源地址转换也就是SNAT。而NAT Server解决的是“外网访问内网”问题把到达公网IP的流量转换成私网地址转发给内网服务器。打个比方。普通NAT像小区门口的保安亭业主出门时登记一下车牌回来再对照放行。NAT Server则像传达室里的信件分拣员外面寄来的包裹分拣员看一眼收件人就送到对应住户手里。没有分拣员外面的人根本不知道包裹该往哪送。所以理解NAT Server的关键是记住它做的是“入口方向”的转换而不是“出口方向”。方向搞清楚了后面配置命令时对global和inside的理解就会顺很多。2. 配置前的准备参数、表格和端口规划2.1 信息采集先列一张映射规划表无论设备是什么牌子配置NAT Server之前我强烈建议先做一项工作把映射关系列成一张表。别嫌麻烦这一步能避免80%的低级错误。实际项目里我看到过有人同时映射了好几个服务结果端口写重复了排查半天才发现是规划阶段就出了问题。规划表至少要包含这几列内网服务器IP、内网端口、映射后的公网IP、映射后的公网端口、协议类型、用途说明。举个例子服务名称内网服务器IP内网端口公网IP公网端口协议用途办公OA192.168.1.1080203.0.113.108080TCP外网访问OA系统远程桌面192.168.1.203389203.0.113.1013389TCP运维远程管理SSH管理192.168.1.3022203.0.113.102222TCP服务器命令行管理注意内网IP必须固定。如果服务器启用了DHCP自动获取下次重启换了地址映射就失效了。稳妥做法是给服务器配置静态IP或者在DHCP服务器上做IP-MAC绑定。2.2 端口怎么选默认端口能用但我不建议直接用端口规划是NAT Server里最容易被忽略的环节。很多新手喜欢将外网端口映射成和内网端口完全一样比如内网80就映射公网80内网3389就映射公网3389。问题在于80、443、3389这类常用端口长期被扫描工具盯得很紧弱口令、未修复漏洞都可能被利用。况且在部分网络环境下80和443端口还有额外的接入要求直接用很容易给自己找麻烦。我的习惯是内网服务保持原端口不变外网映射端口尽量避开常用端口。比如内网Web服务跑80外网就映射到8080或者更不常见的端口内网远程桌面3389外网映射成13389。这样外部扫描器扫默认端口时看到的是关闭状态能少很多无谓的攻击尝试。端口选择上还有一条硬性规则同一个公网IP下外网端口不能重复。你不能同时把两台内网服务器的8080端口都映射到同一个公网IP的8080因为外部访问的入口是同一个“公网IP:端口”设备不知道该转给谁。如果确实需要多个服务就分配给它们不同的外网端口。3. 实战配置从一条命令到完整方案3.1 最简场景单公网IP、单台服务器先看最简单的场景。出口路由器或防火墙的WAN口已经配好了公网IP内网有一台服务器需要把它的Web服务映射出去。以华为AR系列路由器为例进入系统视图后配置命令大概是这样的interface GigabitEthernet0/0/0 ip address 203.0.113.10 255.255.255.0 nat server protocol tcp global interface GigabitEthernet0/0/0 8080 inside 192.168.1.10 80这里有两个细节要解释一下。命令里的global后面如果跟interface意思是使用该接口当前的公网IP作为映射入口。这种写法在运营商分配动态公网IP时特别好用IP变了也不用改映射配置。如果公网IP是固定的也可以直接写具体IPnat server protocol tcp global 203.0.113.10 8080 inside 192.168.1.10 80inside后面的内容就是内网服务器的真实IP和端口。外部用户访问203.0.113.10:8080时设备会把流量转发到192.168.1.10:80。需要注意的是如果你用的是防火墙而不是路由器配置完NAT Server后通常还需要放行对应的安全策略否则流量到了设备上会被安全策略拦住。这一点非常容易踩坑我在后面单独展开说。3.2 进阶场景一台公网IP映射多台内网服务器再来一个更贴合实际的场景只有一个公网IP但有三台内网服务器需要被外部访问。基于前面2.1的规划表配置命令可以这样写nat server protocol tcp global 203.0.113.10 8080 inside 192.168.1.10 80 nat server protocol tcp global 203.0.113.10 13389 inside 192.168.1.20 3389 nat server protocol tcp global 203.0.113.10 2222 inside 192.168.1.30 22三条命令核心思路就是“同一个公网IP靠不同端口区分不同内网服务”。外部用户访问OA时输http://203.0.113.10:8080远程桌面就连203.0.113.10:13389SSH就连203.0.113.10:2222。有些设备还支持把端口范围整体映射比如把公网的5000-5010映射到内网同一段端口。这种在特殊情况有用但日常使用不多我建议新手先掌握单端口映射就够用了。这里要特别提醒映射完成后记得检查一下是否和已有配置冲突。我遇到过有人之前在设备上配置过其他映射新加的端口把旧的顶掉了结果两个服务同时异常。配置完后用命令查一下所有NAT Server列表确认无误再收工。3.3 别忘了一件事NAT Server不等于安全放行配置完NAT Server能从外网访问了但这只是第一步。以华为USG防火墙为例NAT Server负责“把流量转进去”而安全策略负责“允许还是拒绝”。只配置了NAT Server却没有配置安全策略外网流量进来时可能直接被安全策略默认动作丢弃。正确思路是NAT Server做“方向引导”安全策略做“访问控制”两者配合使用。安全策略里要放行的目的地址可以是内网服务器的真实IP也可以直接是映射后的公网IP加端口具体要看设备型号和版本。下面是一段典型的USG防火墙放行配置security-policy rule name allow_nat_server source-zone untrust destination-zone trust destination-address 192.168.1.10 0 service tcp 80 action permit这段配置的意思是允许来自不信任区域外网的流量访问内网服务器192.168.1.10的80端口。如果你映射的是RDP就把服务端口改成3389并增加一条对应放行规则。如果你用的是纯路由器没有防火墙模块那安全策略这块通常靠ACL实现或者干脆不过滤。不过从安全角度我强烈建议至少限制一下访问来源具体做法在第5部分说。4. 配置完了连不上常见问题与排查实录4.1 内网用公网IP访问不了自己映射的服务器这是NAT Server配置完成后最经典的问题外网访问正常但你坐在公司内网里用公网IP访问映射的服务死活连不上。原因很简单。内网用户访问公网IP时流量先到了出口设备设备发现目的地址是公网IP转发给运营商运营商又把流量转回出口设备。这个来回绕了一圈很多设备默认不支持这种“内网访问自己公网IP”的回流。解决思路有三种。第一种是内网用户访问时直接用内网IP不走公网IP这是最简单也最推荐的方式。第二种是在出口设备上开启NAT Hairpin功能华为设备可以在接口下配置interface GigabitEthernet0/0/0 nat hairpin enable开启后内网用户通过公网IP访问也能正常回转到内网服务器。第三种是配置DNS视图或域内NAT让内网用户解析到内网地址这个配置相对复杂一般在没有Hairpin功能的设备上才用。我个人的建议是如果公司有内部DNS优先让内网用户直接解析到内网IP如果没有开启Hairpin也足够解决问题。4.2 外网测试的三种方式配置完NAT Server怎么确认真的通了很多人习惯在办公室内网里测试结果测出个“假成功”或“假失败”。我常用的测试方式有三种第一种拔掉WiFi用手机4G/5G网络访问。这是最真实的外网路径不经过公司出口设备能直接验证公网映射是否生效。第二种找一台不在同一个内网的远程电脑用浏览器、远程桌面或者端口扫描工具测试。第三种如果实在没有外网环境用在线端口检测网站输入公网IP和端口看端口是否开放。这里有个细节不要在公司内网ping公网IP来验证。因为很多运营商会封禁ping就算ping不通也不代表服务不可用。更靠谱的方式是直接测TCP端口比如用telnet命令telnet 203.0.113.10 8080如果端口能通会显示连接成功或者进入服务界面如果超时或被拒绝说明中间某个环节有问题再按下面的排查思路一步步查。4.3 display命令三板斧排查NAT Server问题最核心的是看设备上的会话表。华为设备常用的一个命令是display nat session table这个命令能显示当前所有NAT会话。你从外网发起一次访问后再查看会话表如果能看到对应的表项说明NAT转换已经生效问题多半出在安全策略或内网服务本身。如果根本没有会话表项说明流量压根没走到设备或者被前面环节拦截了。对于防火墙还可以查看display firewall session table排查时我习惯按从外到内的顺序来第一确认公网IP能不能ping通不通就查运营商线路和出口设备第二确认NAT Server配置有没有生效命令查看是否在列表里第三确认安全策略是否放行重点看源区域、目的区域和端口号第四登录内网服务器确认服务本身是否正常运行。这个顺序很重要。我见过有人查了半天NAT最后发现是内网服务器上的服务压根没启动。排查不要跳步骤一层层来最快。4.4 问题速查表把日常运维中遇到最多的几个问题整理成一张表方便大家对照排查现象可能原因排查方向外网访问超时公网IP不通或运营商拦截先测试公网IP是否可达端口不通安全策略未放行检查源区域到目的区域策略端口显示开放但服务无响应内网服务本身异常登录服务器本机测试服务内网访问不了公网IPNAT回流未开启配置Hairpin或走内网IP多台映射只有部分能访问外网端口冲突查看NAT Server列表检查端口占用服务器换IP后外网访问失败映射配置未更新查看NAT Server内网IP是否还是旧地址5. 安全配置建议能访问是基础别裸奔5.1 收敛暴露面只开必要的端口NAT Server的天然优势是只暴露指定端口这比把整个服务器直接挂到公网安全得多。但前提是你没有为了省事把大量端口映射出去。我见过有人为了“图方便”把内网服务器的1-1024整段端口全部映射到公网。这等于把服务器的半个身子伸到了公网上任何服务只要监听在端口上外部都能直接访问。这种操作风险极大一旦服务器上有未打补丁的服务很容易被扫描工具发现并利用。正确的做法是只映射明确需要用到的端口映射完在规划表上标注意图每次变更都及时更新。用不到的服务坚决不映射。5.2 用ACL限制访问来源如果业务场景允许最好给NAT Server加上源地址限制。举个例子只有公司分支机构有个固定的公网出口IP那你完全可以只允许这个IP访问映射后的服务其他来源一律拒绝。在华为路由器上可以用ACL配合NAT Server实现acl number 3000 rule 5 permit tcp source 203.0.113.50 0 destination 192.168.1.10 0 destination-port eq 80 rule 10 deny tcp destination 192.168.1.10 0 destination-port eq 80然后在接口下调用interface GigabitEthernet0/0/0 traffic-filter inbound acl 3000这样一来只有203.0.113.50这个来源IP可以访问映射后的OA服务其他来源一律被拒绝。虽然会增加一些配置量但对远程桌面、SSH这类高权限服务来说非常值得。5.3 日志和会话查看多用才安心配置完成不是终点。我通常会在一周后回看一次设备的日志和会话统计确认没有异常的大量连接。华为设备可以用display logbuffer查看系统日志重点看有没有来源IP在短时间内大量尝试连接映射端口。如果发现这种迹象说明端口可能被扫描了要评估是否缩小访问来源范围。另一个实用习惯是定期导出NAT Server配置备份。设备的配置会被改动如果哪天映射突然失效有备份就能快速回找问题。我一般把NAT Server的配置单独拷贝一份放到文档里和前面说的规划表对齐这样不管是自己排查还是交接给同事都清晰明了。配置NAT Server这件事说难不难核心就是一条命令的事。但真正考验人的是你脑子里有没有一张“流量走向图”外部用户从哪里进来经过哪台设备转换成什么地址再到哪台服务器。把这条链路想明白了出问题时你就能快速定位瓶颈。我自己刚开始做网络运维时遇到外网访问不了总喜欢一个命令接一个命令乱试后来发现最有效的办法是先静下心画一遍访问路径再按路径一步步排查。这个方法也分享给你。