李 刚,刁成海

(朝阳师范高等专科学校 信息技术中心,辽宁 朝阳 122000)

0 引言

随着互联网技术的飞速发展和普及,各大高校为广大师生提供了海量的数字资源,助力本校的科研和创新,然而,内网用户的HTTP数据请求经常会出现经过边界防火墙时耗费大量路由代价又重新返回边界防火墙造成目标地址不一致,数据请求直接被丢弃的情况,从而无法通过域名或公网IP访问内网资源[1-2].本文重点讨论NAT 静态回流技术的原理以及通过在校园网络边界防火墙上挖掘并开启NAT 回流功能,解决校内用户无法像校外用户一样通过域名或公网IP访问获取校内数字资源的问题,提升校园内网用户访问本校数字资源的体验.

1 NAT静态回流技术

1.1 NAT 回流拓扑

典型的NAT 回流拓扑结构如图1所示,启用NAT 功能的防火墙部署在校园网和互联网的边界处.

拓扑说明:

Client1为内网用户,IP地址配置为:10.10.50.40/24.

Server1为内网服务器,IP地址配置为:10.10.50.41/24,为校内和校外用户提HTTP服务.

ge0/0配置为内网用户和服务器出口(Trust区),网关IP地址为:172.172.2.253/24.

Client2模拟外网用户,IP地址配置为:192.168.2.81/16.

ge0/1模拟公网网口(Untrust区),公网IP配置为:218.90.16.252.

1.2 NAT 回流技术原理

未配置NAT 回流功能数据包请求响应过程如图2所示,整个过程导致了客户端请求的目标地址为公网地址:218.90.16.252,而Web服务器响应请求的源地址为:10.10.50.41,致使本次会话直接中断,数据包被丢弃.

配置NAT 回流功能数据包请求响应过程如图3所示,整个过程数据包到达防火墙后,防火墙进行DNAT 转换,此时数据包的源地址为:218.90.16.252,目标地址:10.10.50.40,数据包……