网通电信双线网络可能存在的问题及解决方案..doc

网通电信双线网络可能存在的问题及解决方案 点击小图打开大图 ??? 在上图示的双线中，网通和电信直接相连的路由器以及左侧用户接入用的双线路由器中，均会针对网通和电信IP端做路由表。当网通用户请求访问最左侧的双线路由器及其内部服务器的电信IP时， 请求通信数据包到达“网通骨干路由器”时，由于目的地址是电信网络段上的，因此将数据包交付给与自己相连的“电信骨干路由器”，最终网通用户请求访问双线 路由器及其内部服务器的电信IP的通信的路径为上图红色箭头所示路径。双线路由器应答这个来自网通用户的请求时，应答数据包的目的地址为网通网络段（网通 用户的IP），由于双线路由器上有策略路由，因此应答时的数据通信路径为上图紫色箭头所示路径。 ??? 这样，访问通信就不是“从哪里来，还从哪里回”了。 ??? 从哪里来，却不从那里回，对于包通信来说，这并没有什么问题。互联网网际层正是利用包传递可多路径性来保证某些链路失效时，包仍然可以选择另外一条链路来完成通信的。 ??? 但实际中为什么会遇到通信不能完成的情况呢，产生的原因可能如下： ??? 1、网通驻地路由器上做了禁止数据包的源IP地址为电信网段的包通过网通路由器。 ????????? 一般，在骨干网络上，路由设备不会对包通信做任何限制或者检测，骨干网上的路由器会根据路由表对包做尽可能快的转发。访问控制，一般都发生在驻地网设备上。 ??? 2、应答通信经过的线路中，某些设备开启了“状态保持（检测）”功能，发现“没从我这儿进，缺想从我这儿出”的通信就禁止掉。 ???????? 此种情况也一般发生在驻地网设备中。 ??? 总上述，如果驻地网做了上述的任何一种配置，要想保证通信的完成，就需要双线路由器记住：请求从哪里来，应答就得从哪里回。也就是记住外部主动连接的状态（一般记录这种状态的方法是根据IP+端口），以便有此连接的应答通信时，还走原路。 一、发布内部的服务器： ??? 在 【原创之NAT】在ROS中做NAT时指明IP或接口和不指定时的差异?一 文中我们知道，当向外发布内部服务器时，外部与内部之间的数据包的源和目的IP地址可能经过多次更改，这样就给记录某个连接带来了难度（记录连接基于 IP+端口，通信由于NAT包的IP会多次变化，使得连接状态变化多次，不利于记录）。此时，我们可以通过给内部服务器和双线路由器配置两套内部IP地 址，一套内部地址对应发布到一个公网IP，外部与内部服务器间的通信细化到两个独立的通信体系中，每个通信体系按照常规的发布服务器配置即可。在ROS中的具体配置如下： 1、给服务器和ROS的LAN接口配置两套内部IP地址（也可以使用一个网段的两个不同IP）： ?????服务器：192.168.1.11/24和192.168.10.11/24 ???? ROS的LAN：192.168.1.1/24和192.168.10.1/24 2、发布ROS的网通IP服务器，共两条NAT： ???? 1）DST-NAT配置： DST-NAT，Dst address 为ROS网通公网地址 in interface为接网通线路接口 DST-NAT，映射到内部服务器IP ??????? 2）SRC-NAT配置：? SRC-NAT，Dst-add为内部服务器IP，In-Interface为ROS的LAN SRC-NAT，TO address为ROS对应于发布服务器IP的那组内部地址 ?????? 上述SRC-NAT配置方式，是为了将外部与内部服务器间的通信，变为由ROS代理，这样内部服务器可不配置网关，对于内部服务器来说，它不能主动的与外部通信，只能被动的与ROS通信。内部服务器与外部的通信全变为与ROS之间的通信，这样可增强服务器的安全性。此问题在 【原创之NAT】通过NAT技术来增强内部服务器的安全性（应用举例：ISA）?一文中有详细说明。 ?3、发布电信线路上的服务器： ?????上面是针对发布到网通公网IP的配置，使用的内部地址组为192.168.1.0/24，发布到电信公网IP 的配置，将192.168.1.1用192.168.10.1代替，192.168.11用192.168.10.11代替即可（如果使用一个网段的两个 IP，就分别代替原来的IP即可）。 4、针对两套地址的服务器应答外部的通信，做策略路由，注意，只对源端口为80的服务器通信做路由，这样可避免服务器与外部其他通信受其影响。如果服务器使用一个网段的两个IP，那么src address就是服务器设置的那两个IP： 路由标记：针对发布到网通线路的服务器的通信 做路由标记 做策略路由 ?二、双线路由器上的服务与外部通信 ????????? 外部到路由器的通信较单一，可以很明确的标记出某个连接，下面展示了ROS中，不管电信