羅祖川
摘 要 端口映射是NAT技術(shù)的一種,功能是把在公網(wǎng)的地址轉(zhuǎn)翻譯成私有地址。要實(shí)現(xiàn)兩個(gè)獨(dú)立的內(nèi)網(wǎng)網(wǎng)絡(luò)部分資源的互訪,本文論述了可行的三種方案,并分析了三個(gè)方案在實(shí)際應(yīng)用中的優(yōu)缺點(diǎn)。綜合考慮方案成本和實(shí)施難度后,通過在兩個(gè)網(wǎng)絡(luò)中間增加一普通無(wú)線路由器后實(shí)現(xiàn)了兩個(gè)網(wǎng)絡(luò)的互連,使用端口映射和DMZ主機(jī)的方式實(shí)現(xiàn)兩個(gè)網(wǎng)絡(luò)部分資源互訪。通過Netstat命令查找不常見應(yīng)用的通信端口,成功實(shí)現(xiàn)視頻資源通過端口映射到其他網(wǎng)絡(luò)。
關(guān)鍵詞 虛擬服務(wù)器 端口映射 DMZ主機(jī) 網(wǎng)絡(luò)互聯(lián)
中圖分類號(hào):TP393 文獻(xiàn)標(biāo)識(shí)碼:A 文章編號(hào):1007-0745(2021)06-0013-02
1 網(wǎng)絡(luò)情況
單位的內(nèi)網(wǎng)是10.25.1.X/24網(wǎng)段(以下簡(jiǎn)稱網(wǎng)絡(luò)一),通過網(wǎng)關(guān)10.25.1.254訪問上級(jí)單位的網(wǎng)絡(luò),上級(jí)單位在防火墻上做了策略,只有10.25.1.X的IP能夠訪問其網(wǎng)絡(luò)。另一網(wǎng)絡(luò)是一個(gè)內(nèi)部視頻監(jiān)控網(wǎng)絡(luò),IP段是192.0.0.X/24(以下簡(jiǎn)稱網(wǎng)絡(luò)二),可以通過瀏覽器訪問這些視頻監(jiān)控資源。這兩個(gè)網(wǎng)絡(luò)通過一臺(tái)Cisco二層交換機(jī)連接起來(lái),未做任何管理限制策略。在網(wǎng)絡(luò)二中有一臺(tái)控制電腦,這臺(tái)電腦設(shè)置有網(wǎng)絡(luò)一和網(wǎng)絡(luò)二的雙IP,既可以實(shí)現(xiàn)通過網(wǎng)絡(luò)二的IP對(duì)視頻監(jiān)控系統(tǒng)控制,又可以通過網(wǎng)絡(luò)一的IP訪問內(nèi)網(wǎng),網(wǎng)絡(luò)一的任一電腦還可以訪問這臺(tái)控制電腦的共享文件夾?,F(xiàn)在要增加一個(gè)功能,實(shí)現(xiàn)在網(wǎng)絡(luò)一中任一電腦訪問網(wǎng)絡(luò)二的兩個(gè)視頻監(jiān)控資源,同時(shí)還要滿足之前的功能。
2 方案規(guī)劃
因?yàn)橹笆窃诳刂齐娔X上通過設(shè)置網(wǎng)絡(luò)一和網(wǎng)絡(luò)二的雙IP實(shí)現(xiàn)的同時(shí)訪問兩個(gè)網(wǎng)絡(luò)的資源,除了這臺(tái)控制電腦,兩個(gè)網(wǎng)絡(luò)的其他終端之間并不能直接通信,網(wǎng)絡(luò)二中的視頻監(jiān)控終端也不支持雙IP,設(shè)計(jì)了多個(gè)方案來(lái)實(shí)現(xiàn)這些功能。方案一將網(wǎng)絡(luò)二的IP段全部改為網(wǎng)絡(luò)一的IP段,兩個(gè)資源完全處于同一網(wǎng)絡(luò)中,這個(gè)方案一方面網(wǎng)絡(luò)改動(dòng)多,網(wǎng)絡(luò)二中的所有主機(jī)都需要更改IP,視頻配置也需要做相應(yīng)更改,另一方面也不利于網(wǎng)絡(luò)安全管理。方案二是增加一個(gè)三層設(shè)備,添加網(wǎng)絡(luò)一和網(wǎng)絡(luò)二之間的路由,網(wǎng)絡(luò)二的終端添加網(wǎng)關(guān),這兩個(gè)網(wǎng)絡(luò)通過三層路由實(shí)現(xiàn)互聯(lián),但是三層設(shè)備比較貴,也沒有現(xiàn)成的三層設(shè)備,而且網(wǎng)絡(luò)二中所有的終端都需要添加網(wǎng)關(guān),改動(dòng)比較多。方案三是在這兩個(gè)網(wǎng)絡(luò)中間增加路由器,網(wǎng)絡(luò)二通過NAT轉(zhuǎn)換訪問網(wǎng)絡(luò)一,并將網(wǎng)絡(luò)二的控制電腦和兩個(gè)視頻資源通過端口映射出去,網(wǎng)絡(luò)一中任一電腦都能訪問這三個(gè)資源,正好單位有很多TP-link的無(wú)線路由器即可實(shí)現(xiàn)上述功能,而且這個(gè)方案改動(dòng)不多,所以采用方案三來(lái)實(shí)現(xiàn)。
3 端口映射的定義
通過TP-LINK無(wú)線路由器的虛擬服務(wù)器功能可以將內(nèi)部資源對(duì)外開放到指定端口,在保證內(nèi)部資源安全的前提下實(shí)現(xiàn)外部網(wǎng)絡(luò)對(duì)指定端口的內(nèi)部資源的訪問,其實(shí)質(zhì)就是端口映射。
端口映射是NAT地址轉(zhuǎn)換的一種,NAT技術(shù)可以把公網(wǎng)的IP地址轉(zhuǎn)翻譯成私有IP地址,采用路由方式的ADSL寬帶路由器擁有一個(gè)動(dòng)態(tài)或固定的公網(wǎng)IP[1]。實(shí)現(xiàn)NAT有三種方式,靜態(tài)轉(zhuǎn)換、動(dòng)態(tài)轉(zhuǎn)換和端口多路復(fù)用。端口多路復(fù)用是指改變外出數(shù)據(jù)包的源端口并進(jìn)行端口轉(zhuǎn)換,即端口地址轉(zhuǎn)換(PAT,Port Address Translation)。目前網(wǎng)絡(luò)中應(yīng)用最多的就是端口多路復(fù)用方式[2]。
4 網(wǎng)絡(luò)互聯(lián)設(shè)計(jì)和實(shí)現(xiàn)
因?yàn)椴恍枰獰o(wú)線網(wǎng)絡(luò)功能,且需要連接內(nèi)部網(wǎng)絡(luò),無(wú)線網(wǎng)絡(luò)存在一定網(wǎng)絡(luò)安全隱患,所以關(guān)閉無(wú)線路由器的無(wú)線功能,將無(wú)線路由器的WAN口接入網(wǎng)絡(luò)一的交換機(jī)中,將LAN口接入網(wǎng)絡(luò)二的交換機(jī)中,連接如圖1所示。
對(duì)無(wú)線路由器和網(wǎng)絡(luò)二的資源進(jìn)行配置。將無(wú)線路由器的LAN口IP設(shè)置為網(wǎng)絡(luò)二的IP 192.0.0.1,此IP也是網(wǎng)絡(luò)二中終端的網(wǎng)關(guān)IP。WAN口IP設(shè)置為網(wǎng)絡(luò)一的IP 10.25.1.28/24,網(wǎng)關(guān)是10.25.1.254。網(wǎng)絡(luò)二中的控制電腦的IP設(shè)置為192.0.0.207/24,網(wǎng)關(guān)為無(wú)線路由器的LAN口IP 192.0.0.1。這樣可以實(shí)現(xiàn)控制電腦對(duì)網(wǎng)絡(luò)二的控制和通過網(wǎng)關(guān)IP 192.0.0.1以NAT的方式訪問網(wǎng)絡(luò)一資源,也能訪問上級(jí)單位的網(wǎng)絡(luò)資源(源IP地址已經(jīng)全部轉(zhuǎn)換成合法的IP地址10.25.1.28)。通過查詢要實(shí)現(xiàn)windows系統(tǒng)文件夾共享需要4個(gè)端口,UDP的137,138,TCP的139,445。在路由器的虛擬服務(wù)器設(shè)置頁(yè)面添加一條規(guī)則,外部端口是137,內(nèi)部端口是137,IP地址是網(wǎng)絡(luò)二的控制電腦IP 192.0.0.207,協(xié)議是UDP。138,139和445的端口映射設(shè)置與137差不多。它們?cè)诼酚善魃系亩丝谟成淙绫?。修改兩個(gè)視頻監(jiān)控的網(wǎng)絡(luò)信息,增加網(wǎng)關(guān)IP 192.0.0.1.網(wǎng)絡(luò)二的其中一個(gè)視頻資源在配置的時(shí)候配置了其端口是8000,所以其端口映射設(shè)置如表1,而另一個(gè)視頻監(jiān)控不知道其端口,所以使用了DMZ功能,DMZ主機(jī)IP地址設(shè)置為視頻監(jiān)控的IP地址 192.0.0.200,這樣外部網(wǎng)絡(luò)訪問沒有在虛擬服務(wù)器中設(shè)置的其他10.25.1.28的資源時(shí),無(wú)線路由器會(huì)全部轉(zhuǎn)發(fā)給DMZ主機(jī)192.0.0.200,因?yàn)槭峭ㄟ^瀏覽器以http協(xié)議訪問的視頻監(jiān)控資源,所以要將兩個(gè)視頻監(jiān)控資源的80端口映射出去。
最后可以實(shí)現(xiàn)在網(wǎng)絡(luò)二的控制電腦對(duì)網(wǎng)絡(luò)二的視頻監(jiān)控的控制,也能訪問網(wǎng)絡(luò)一的資源。網(wǎng)絡(luò)一的任一電腦能夠通過訪問無(wú)線路由器的WAN口IP加端口的方式訪問網(wǎng)絡(luò)二控制電腦的共享文件夾和兩個(gè)視頻監(jiān)控資源。
但是后來(lái)在使用過程中發(fā)現(xiàn)兩個(gè)視頻監(jiān)控一段時(shí)間后就出現(xiàn)無(wú)法訪問的情況,通過重啟無(wú)線路由器可以解決,但是過段時(shí)間又不能訪問,有時(shí)重啟無(wú)線路由器也無(wú)法訪問。最后發(fā)現(xiàn)不能超過一臺(tái)電腦同時(shí)通過DMZ方式訪問網(wǎng)絡(luò)二的視頻監(jiān)控資源。所以必須使用端口映射的方式,但是現(xiàn)在不知道視頻監(jiān)控所使用的端口??梢允褂脀indows系統(tǒng)的netstat命令查看全部網(wǎng)絡(luò)連接來(lái)找出視頻監(jiān)控使用的端口。在網(wǎng)絡(luò)二中的控制電腦上通過瀏覽器訪問視頻監(jiān)控,訪問成功后,在cmd中輸入命令netstat-a-n,可以列出此時(shí)這臺(tái)電腦的所有網(wǎng)絡(luò)連接,找到和視頻監(jiān)控的連接信息。其中有一條TCP 192.0.0.207:65515 192.0.0.150:554 ESTABLISHED,其中554就是視頻監(jiān)控使用的端口。在無(wú)線路由器虛擬服務(wù)器中添加554的端口映射后解決了這個(gè)問題。
5 結(jié)語(yǔ)
兩個(gè)網(wǎng)絡(luò)的互連可以有很多種方法,但是針對(duì)本文實(shí)際情況,使用無(wú)線路由器來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)互聯(lián),通過虛擬服務(wù)器的方式實(shí)現(xiàn)業(yè)務(wù)的互訪,成本極低,改動(dòng)不大,施工難度也很低,基本不會(huì)影響兩網(wǎng)絡(luò)原來(lái)的業(yè)務(wù),經(jīng)濟(jì)效率得解決這個(gè)網(wǎng)絡(luò)互聯(lián)問題。
參考文獻(xiàn):
[1] 李娟芳,陳瑞志.計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)與應(yīng)用[J].中國(guó)鐵道出版社,2013(09):142.
[2] 鄭洪霞.基于NAT的IP尋址方式在信息安全中的應(yīng)用研究[J].移動(dòng)信息,2016(06):151.