很(hěn)多(duō)公司都(dōu)擁有(yǒu)兩個(gè)ISP的Ω¥₩(de)出口，比如(rú)電(diàn)信和(hé)網通(tōng)。公π↓¶司內(nèi)部署了(le)內(nèi)部服務器(qì)供外(w↕δài)網用(yòng)戶訪問(wèn)。要(yào)求內(nèiΩ♣&✘)部服務器(qì)私網地(dì)址10.1.1.1♥分(fēn)别針對(duì)電(diàn)信用(yòng)戶和(hé)網通(§®tōng)用(yòng)戶在防火(huǒ)牆上(shà§₹$ng)配置兩個(gè)NAT Server，供不•≤©♠(bù)同用(yòng)戶訪問(wèn)，即NAT Server雙出•★'口功能(néng)。
配置完成後發現(xiàn)，電(diàn)信用 "(yòng)戶可(kě)以通(tōng)過公網地(dì)★&¥址2.2.2.2訪問(wèn)內(nèi)部服務器(qì)，網通(tōng)✔₽用(yòng)戶也(yě)可(kě)以通(tōng)過$₩©&公網地(dì)址3.3.3.3訪問(wèn)內(n±<×£èi)部服務器(qì)，但(dàn)網通(tōng)用(yòng)戶無$法訪問(wèn)電(diàn)信公網服務器( &↓qì)地(dì)址2.2.2.2，電(diàn)信用(yòng)戶也(yě)"♣ 無法訪問(wèn)網通(tōng)公網服務器(qì)地$©✔↓(dì)址3.3.3.3。
通(tōng)常內(nèi)部服務器επ(qì)以公網地(dì)址對(duì)外(↓ ←wài)提供訪問(wèn)時(shí)，我✘α'們是(shì)通(tōng)過配置全局的(de)NAT Server來©✔(lái)實現(xiàn)的(de)。每配置一(yī)條NAT Serπ×ver後會(huì)生(shēng)成兩張全局映射表，一(yī)張是(sh✘<®☆ì)正向映射表，用(yòng)于外(wài)網用(yòng)戶©±$♣訪問(wèn)內(nèi)部服務器(qì)時(shí)™₹的(de)地(dì)址轉換映射；一(yī)張是(s×✔→hì)反向映射表，用(yòng)于內(nèi)部服務✔≤✘λ器(qì)主動訪問(wèn)外(wài)網時(shí)的(de)地(d¶ "$ì)址映射。
當內(nèi)部服務器(qì)一(yī)個(gè≥<)私網IP地(dì)址映射成兩個(gè)公網IP地(d×₩™ì)址時(shí)，會(huì)建立兩個(gè)反向映射♣←₹表，這(zhè)種情況下(xià)當內(nèπ∑i)部服務器(qì)主動訪問(wèn)外(wài) §←網時(shí)，會(huì)有(yǒu)♠•®兩個(gè)映射關系，這(zhè)是(shì)不(bù)允許的(de)。
在配置NAT Server雙出口過程中，通(tōng)常采用(±®δ£yòng)以下(xià)兩種方式：
1、基于不(bù)同安全區(qū)域進行(xíng)配置✘，将電(diàn)信用(yòng)戶和(hé)網通(tōng)用(y$σòng)戶分(fēn)别劃入不(bù)同安全區<"(qū)域，分(fēn)别提供不(bù)同的(de)公網IP地(dì★→®)址。
此方式下(xià)，內(nèi)部服務器(qì₽€)主動訪問(wèn)外(wài)網時(shí) ₩基于不(bù)同的(de)安全區(qū)域來(lái)選擇相(xiàng)¶應的(de)反向表做(zuò)地(dì)址映射。
[sysname] nat server zone zone1 g"§≤lobal 2.2.2.2 inside 10.1.1.1
[sysname] nat server zoneγ♥δ zone2 global 3.3.3.3 inside 10.1"↑.1.1
zone1對(duì)應電(diànπ&π®)信用(yòng)戶所在安全區(qū)域；zonλβe2對(duì)應網通(tōng)用(yòng)戶所在安全區(qū)域。
2、配置no-reverse參數(shù)，取消反向表的₽↔< (de)建立。
此方式下(xià)，通(tōng)常不(bù)↔≈₹↕允許內(nèi)部服務器(qì)主動訪問(wèn)外(wài)網，如≤↔(rú)果內(nèi)部服務器(qì)需要(yào)主動訪問(wè ←'Ωn)外(wài)網，則要(yào)針對(duì)∑↔此服務器(qì)在上(shàng)另外(wài£π♠✘)配置基于源IP地(dì)址的(de)NAT功能(néng)。
[sysname] nat server gloγ₩bal 2.2.2.2 inside 10.1.1.1 no-γ↑≥≤reverse
[sysname] nat server gl∏♠±obal 3.3.3.3 inside 10ε★←∑.1.1.1 no-reverse
完成上(shàng)述配置後，電(diàn)信用(yòng)戶©←ββ可(kě)以通(tōng)過2.2.2.2地δσ←(dì)址訪問(wèn)內(nèi)部服務器(☆$±qì)，網通(tōng)用(yòng)戶可(kě)以通(tōng)過3.3$γ .3.3地(dì)址訪問(wèn)內(nèi)部服務器(qì)。
當電(diàn)信用(yòng)戶訪問(w ≤èn)網通(tōng)服務器(qì)的(de)地¶♥(dì)址3.3.3.3時(shí)，報(bào✔'₽≤)文(wén)到(dào)達，根據正向映射表将★₹3.3.3.3轉換為(wèi)10.1.1.1，并将報(bào)文(wén)÷ε₩送到(dào)內(nèi)部服務器(qì)；內(nèi)部服務器(qì)回應報φ≠€(bào)文(wén)到(dào)達後，命 ↕中會(huì)話(huà)表，通(tōng)過查找路(l✘≤ù)由，發現(xiàn)是(shì)送往電(diàn)信用✘∑(yòng)戶的(de)報(bào)文(wén)，則就(jiù£×©φ)近(jìn)将報(bào)文(wén)從(cóng)電(diàn)信用(φ≥♠yòng)戶直連接口送出，即報(bào)文(wén)從(cóng)網通≈₽↕(tōng)用(yòng)戶接口到(dà≥φ☆o)達，但(dàn)從(cóng)電(di•↔₩àn)信用(yòng)戶接口送出。
此時(shí)，如(rú)果電(diàn)信用(yòng)戶與β≠£之間(jiān)還(hái)部署了(le)其他(tā)防火(huǒ)牆₽♠Ω設備，并且這(zhè)個(gè)防火(huǒ)牆設備配置了(le)↔' →鏈路(lù)狀态檢測功能(néng)，對(duì)于≥≈≠φ來(lái)回路(lù)徑不(bù)一(yī)緻≠>的(de)報(bào)文(wén)，不(bù)允許通(tōng)過，♠☆•最後導緻報(bào)文(wén)被丢棄。
配置NAT Server雙出口功能(néng)主要(yàoσ×)是(shì)為(wèi)了(le)實現(xiàn)外(✘&wài)網用(yòng)戶就(jiù)近(jìn)訪問(wèn)，建€±Ω議(yì)網通(tōng)用(yòng)戶通(tōng)過網通(tōn÷ ™g)的(de)公網IP地(dì)址訪問(wèn)內(nèi)部服務器(qì)σ，電(diàn)信用(yòng)戶通(tōng)過電(dià$>n)信公網IP地(dì)址訪問(wèn)內(nèi)部服務器(qì&♠)，從(cóng)而實現(xiàn)快(kuài)速訪問(≠≠✘wèn)，盡量避免交叉訪問(wèn)，以免影(yǐng)響正常業(yè≠×→≠)務。