AR路由器NAT之后無法訪問外網(wǎng)FTP服務(wù)器
2014/10/17 15:25:30點(diǎn)擊：
問題描述
內(nèi)網(wǎng)用戶訪問外網(wǎng)FTP服務(wù)、總公司FTP服務(wù)時(shí)有中斷現(xiàn)象，無法正常連接；外網(wǎng)用戶訪問內(nèi)網(wǎng)FTP服務(wù)器時(shí)也有中斷現(xiàn)象，無法正常連接；
告警信息
無
處理過程
在現(xiàn)網(wǎng)AR路由器上使能ALG功能可以使NAT設(shè)備識別被封裝在報(bào)文數(shù)據(jù)部分的IP地址或端口信息，并根據(jù)映射表項(xiàng)進(jìn)行替換，實(shí)現(xiàn)報(bào)文正常穿越NAT。
根因
1.查看分支A到總部FTP、互聯(lián)網(wǎng)FTP可達(dá)性信息。經(jīng)核對，ACL保護(hù)數(shù)據(jù)流、應(yīng)用接口、安全策略均配置無誤；Ping、Tracert目的地址均可達(dá)；
2.用抓包軟件WireShark抓包發(fā)現(xiàn)問題：
FTP主動(dòng)模式：
當(dāng)互聯(lián)網(wǎng)FTP服務(wù)器采用主動(dòng)模式時(shí)，內(nèi)網(wǎng)Client向FTP Server發(fā)送自己的（私網(wǎng)）IP地址和隨機(jī)端口號等待FTP Server從第二信道進(jìn)行連接； 當(dāng)FTP Server收到Client的Port報(bào)文后，查看Client所提供的IP地址為私網(wǎng)IP地址，所以在FTP Server回應(yīng)的數(shù)據(jù)包中ISP路由器查看數(shù)據(jù)包目的地址不可達(dá)將報(bào)文丟棄，導(dǎo)致FTP業(yè)務(wù)中斷；
FTP被動(dòng)模式：
當(dāng)內(nèi)網(wǎng)FTP Server收到Client的報(bào)文后，在回應(yīng)報(bào)文的FTP載荷中將FTP Server的私網(wǎng)IP地址發(fā)送給外網(wǎng)的客戶端，外網(wǎng)Client收到后嘗試拿FTP Server的私網(wǎng)IP地址進(jìn)行連接，結(jié)果目的地址不可達(dá)，連接失��；
2.用抓包軟件WireShark抓包發(fā)現(xiàn)問題：
FTP主動(dòng)模式：
當(dāng)互聯(lián)網(wǎng)FTP服務(wù)器采用主動(dòng)模式時(shí)，內(nèi)網(wǎng)Client向FTP Server發(fā)送自己的（私網(wǎng)）IP地址和隨機(jī)端口號等待FTP Server從第二信道進(jìn)行連接； 當(dāng)FTP Server收到Client的Port報(bào)文后，查看Client所提供的IP地址為私網(wǎng)IP地址，所以在FTP Server回應(yīng)的數(shù)據(jù)包中ISP路由器查看數(shù)據(jù)包目的地址不可達(dá)將報(bào)文丟棄，導(dǎo)致FTP業(yè)務(wù)中斷；
FTP被動(dòng)模式：
當(dāng)內(nèi)網(wǎng)FTP Server收到Client的報(bào)文后，在回應(yīng)報(bào)文的FTP載荷中將FTP Server的私網(wǎng)IP地址發(fā)送給外網(wǎng)的客戶端，外網(wǎng)Client收到后嘗試拿FTP Server的私網(wǎng)IP地址進(jìn)行連接，結(jié)果目的地址不可達(dá)，連接失��；
建議與總結(jié)
隨著多媒體應(yīng)用的逐漸廣泛，在復(fù)雜網(wǎng)絡(luò)及不同應(yīng)用需求情況下基本NAT功能已經(jīng)遠(yuǎn)遠(yuǎn)不能滿足客戶需求。本案例主要是針對用戶兩條外線出口，兩條外網(wǎng)同時(shí)對外提供FTP服務(wù)，內(nèi)網(wǎng)用戶也有訪問外網(wǎng)FTP需求時(shí)產(chǎn)生的問題。
一般情況下，NAT只能對IP報(bào)文頭的IP地址和TCP/UDP頭部的端口信息進(jìn)行轉(zhuǎn)換。對于一些特殊協(xié)議，例如DNS、FTP等，它們報(bào)文的數(shù)據(jù)部分可能包含IP地址或端口信息，這些內(nèi)容不能被NAT有效的轉(zhuǎn)換，從而無法正確完成通信。
使能ALG（Application Level Gateway）功能可以使NAT設(shè)備識別被封裝在報(bào)文數(shù)據(jù)部分的IP地址或端口信息，并根據(jù)映射表項(xiàng)進(jìn)行替換，實(shí)現(xiàn)報(bào)文正常穿越NAT。
一般情況下，NAT只能對IP報(bào)文頭的IP地址和TCP/UDP頭部的端口信息進(jìn)行轉(zhuǎn)換。對于一些特殊協(xié)議，例如DNS、FTP等，它們報(bào)文的數(shù)據(jù)部分可能包含IP地址或端口信息，這些內(nèi)容不能被NAT有效的轉(zhuǎn)換，從而無法正確完成通信。
使能ALG（Application Level Gateway）功能可以使NAT設(shè)備識別被封裝在報(bào)文數(shù)據(jù)部分的IP地址或端口信息，并根據(jù)映射表項(xiàng)進(jìn)行替換，實(shí)現(xiàn)報(bào)文正常穿越NAT。
- 上一篇：愛立信收購數(shù)據(jù)中心服務(wù)公司Sentilla 2014/10/17
- 下一篇：AC6605升級過程中報(bào)錯(cuò)問題 2014/10/17