配置了服务器静态映射后,外部网络无法访问内部服务器

发布时间:  2014-09-20 浏览次数:  846 下载次数:  0
问题描述
如图39-1所示,某公司在网络边界处部署了NGFW作为安全网关,通过在NGFW上部署服务器静态映射功能,对外发布的Global地址为1.1.1.10,使外部网络中的客户和出差员工可以访问公司的内部网络资源。
图39-1 网络环境示意图

实际使用中,发现外部网络中的用户(地址为211.1.1.3)无法访问内部FTP服务器Server A(地址为10.2.0.8)。 
处理过程
没有找到源地址为211.1.1.3的会话表项。
可能原因及相应的处理步骤如下:
1. Internet上没有达到Global地址1.1.1.10的路由
检查Internet中的路由设备是否存在到达Global地址的路由。可能需要联系ISP管理员确认。
2. Internet上的其他设备将报文丢弃
检查Internet中是否存在设备将报文丢弃,如果存在,请检查并调整该设备的配置信息。
3. NGFW的基础配置不正确
检查GigabitEthernet 1/0/1和GigabitEthernet 1/0/2是否配置了正确的IP地址并加入了安全区域。
4. NGFW上配置了黑名单将报文丢弃
选择“策略 > 安全防护 > 黑名单”,搜索目的地址为1.1.1.10的表项以及和源地址为211.1.1.3的表项。如果找到则删除此表项,否则请进行其他项目的检查。
5. NGFW上配置的安全策略不正确
选择“策略 > 安全策略 > 安全策略”,查找“源地址”包含211.1.1.3,“目的地址”包含1.1.1.10的表项,存在该条表项且“动作”为“允许”,则该项配置正确,否则请参考安全策略重新调整安全策略的配置。
6. NGFW上没有配置到达内部服务器的路由
本举例中,内部服务器与NGFW直接相连,不涉及路由问题,因此不需要考虑本原因。如果NGFW没有直接与内部服务器所在的网络相连,就需要在NGFW上配置到达内部服务器的路由。
选择“网络 > 路由 > 路由表”,查找是否存在正确的公网路由表项。详细信息请参考IP路由。
7. NGFW上没有存在内部服务器的ARP表项
内部服务器与NGFW直接相连的情况下,如果NGFW无法获取内部服务器的MAC地址,在丢包统计信息中会出现ARP miss字段。此时请您检查内部服务器的IP地址设置或者内部服务器与NGFW的相连线路的问题。
存在会话表项,但是会话表项错误。例如:表项中没有目的地址1.1.1.10的转换记录、转换后目的地址不正确。
可能原因及相应的处理步骤如下:
8. 目的地址没有被转换
选择“策略 > NAT策略 > 服务器映射”,找到“公网地址”包含1.1.1.10的表项。存在该条表项则该项配置正确,否则请参考配置服务器映射重新调整静态映射的配置。
9. 目的地址转换错误
选择“策略 > NAT策略 > 服务器映射”,找到“公网地址”包含1.1.1.10的表项,检查其“私网地址”是否配置正确,否则请参考配置服务器映射重新调整静态映射的配置。
已经建立了正确的会话表项。
可能原因及相应的处理步骤如下:
10. 内部服务器故障
检查内部服务器是否故障,能否正常提供的服务。
检查内部服务器的网关设置是否正确,网关应设置为NGFW连接内部服务器所在网络接口的IP地址。
11. 内部网络中的其他设备将报文丢弃
检查内部网络中是否存在其他设备将回程的报文丢弃,如果存在,请检查并调整该设备的配置信息。
12. NGFW上配置了黑名单将回程报文丢弃
请参考步骤4检查处理。
13. NGFW上没有去往Internet的路由
选择“网络 > 路由 > 路由表”,查找是否存在去往Internet的路由。详细信息请参考IP路由。

END