TIPTOP隔离网闸映射访问配置案例.doc

TIPTOP隔离网闸映射访问配置案例2009-4-7版权声明本手册中的内容是TIPTOP隔离网闸映射访问配置案例。本手册的相关权力归深圳市利谱信息技术有限公司所有。手册中的任何部分未经本公司许可，不得转印、影印或复印。 20052007 深圳市利谱信息技术有限公司Shenzhen Tiptop Information Technology Co., Ltd.All rights reserved.TIPTOP隔离网闸映射访问配置案例本手册将定期更新，如欲获取最新相关信息，请访问公司网站：您的意见和建议请发送至：postmaster深圳市利谱信息技术有限公司地址：深圳市福田区泰然工业园泰然四路210栋东座7B 电话：[phone] 邮编:518040传真：[phone]网址：电子信箱：postmaster目 录1网络拓扑12客户需求13网络配置23.1内网网络端口一配置23.2外网网络端口一配置24网闸具体配置34.1需求一FTP服务器的访问配置34.1.1FTP访问规则配置34.1.1.1透明方式访问FTP44.1.1.2网关模式访问数据库74.1.1.3映射模式访问数据库94.2需求二WEB访问端口自定义协议转换配置114.2.1WEB访问配置规则114.2.1.1透明方式访问数据库124.2.1.2网关模式访问数据库154.2.1.3映射模式访问数据库171 网络拓扑说明：1 网闸的内网管理端口地址默认为：192.168.8.1，如果与已有网络冲突可以在管理界面上进行更改。2 管理主机为PC3，其地址要求与网闸的管理端口（内端网口一）地址在同一个网段。3 管理主机与网闸的内网管理端口相连接，其管理登陆地址为：https:/192.168.8.1 用户名为：admin 密码为：admin 注意：管理主机要使用管理端口进行管理时必须使用加密key才可以使用。2 客户需求TCP访问 需求一： FTP服务器的访问。 内网主机192.168.8.12通过访问规则不使用代理方式可以直接访问外网的FTP服务器94.4.19.123。 需求二： WEB服务器浏览端口自定义协议转换 内网主机通过IE浏览器，http:/192.168.8.100:8000，访问到外网的94.4.19.103服务器基于tcp80端口的WEB服务3 网络配置3.1 内网网络端口一配置默认IP地址为：192.168.8.1 子网掩码：255.255.255.0如需修改按如下方法配置：在左边窗口中选择“网闸网络设置”-“内网网络参数设置”，系统显示以下界面内网网络端口配置在上面的相应项输入网闸内网网络的IP地址及其它网络设置，网闸内端机上有三个网络接口（标准配置），可连接三个不同的内网网段。如果内端机还有更多的网络接口，可以继续添加。（注：设置的该内端机IP必须是合法的未被占用的IP）3.2 外网网络端口一配置默认IP地址为：94.4.19.33 子网掩码：255.255.255.0如需修改按如下方法配置：在左边窗口中选择“网闸网络设置”-“外网网络参数设置”，系统显示以下界面：在上面的相应项输入网闸外网网络的IP地址，外网网络的IP地址与内网网络的IP地址没有关联, 外端机上也有三个网络接口（标准配置），可连接三个不同的外网网段。4 网闸具体配置4.1 需求一FTP服务器的访问配置4.1.1 FTP访问规则配置 网闸其他服务设置网络映射与路由设置 系统显示如下界面：该项功能提供各种复杂环境下内外网之间的数据库访问。网络映射和路由设置有三种工作方式：透明模式、网关模式和映射方式：透明模式：提供内（外）网到外（内）网的透明代理（Transparent Proxy）访问，这种模式下保留源地址的真实IP，访问时访问真实目的IP。网关模式：提供内（外）网到外（内）网通过网关模式（NAT）访问，这种模式下所有的源地址经过了SNAT（源地址转换）。映射方式：提供内（外）网到外（内）网通过映射方式（PNAT）访问，这种模式把目的ip和端口转化外网闸外（内）端的虚拟IP，访问时访问映射的虚拟IP。注释:（透明模式：提供内（外）网到外（内）网的透明访问，这种模式下网闸对内外网的主机是透明的。映射方式：提供内（外）网到外（内）网的都通过内网或外网的接口的访问或接受服务，这种模式下，对内外网的主机相互之间都是不可见的。通过网闸来提供或者接受服务。网关模式：提供内（外）网到外（内）网的统一接口的访问，这种模式下内网的主机对外网来说都是不可见的，内（外）网（即访问源）都通过网闸向外访问服务。）4.1.1.1 透明方式访问FTP网闸其他服务设置网络映射与路由设置添加新任务 协议类型：FTP设置方式如下图表示：在内网192.168.8.12机器上，使用已有的FTP用名密码直接访问外网FTP的服务器94.4.19.123注意：此方式访问时内网机器的网关必须指向网闸的内网口一，外网的机器的网关必须指向外网口一。 解释： 访问过程数据包走向为： 源IP (内网客户端主机，可缺省)入口设备（即为网闸的内网网卡一，不可缺省）出口设备（即为网闸的外网网卡一，不可缺省）目的IP（所要访问的外网数据库IP，不可缺省）1. 源IP若加了限定则表明访问时只能限定在IP 为192.168.8.12/24（掩码根据需要也可不加）这一个段的机器上对目的IP 为94.4.19.123的FTP进行访问，可缺省。2. 源端口是指限定访问机器的源访问端口，可缺省。3. 内网网关接口是指当内网的客户端（源IP主机）与入口设备不在同一个网段需要经过路由时添加的如下图：表明192.168.8.10为一个连接10.0.0.3与网闸的内网端的路由设备IP .4. 入口设备表示数据包进入网闸的网络接口，不可缺省。5. 入口设备IP为数据包进入网闸入口设备时使用的IP，可缺省。6. 入口设备端口表示数据包经过网闸入口设备是走的端口,可缺省。7. 出口设备表示数据包转发出网闸的网络接口，不可缺省。8. 出口设备IP为数据包转发出网闸出口设备时使用的IP，可缺省。9. 出口设备端口表示数据包经过网闸出口设备是走的端口，可缺省。10. 外网网关接口指当外网的目的端（目的IP主机）与出口设备（即网闸外端IP ）不在同一个网段需要经过路由时添加的如下图：表明94.4.19.36为一个连接目的IP为195.3.6.103与网闸的外网端的路由设备的IP 。11. 目的端口为访问目的主机的数据库端口，如FTP服务端口为21，不可缺省12. 目的IP为访问的目的数据库IP，不可缺省。4.1.1.2 网关模式访问数据库网闸其他服务设置网络映射与路由设置添加新任务 协议类型：FTP设置方式如下图表示：在内网192.168.8.12机器上，使用已有的FTP用户名密码直接访问外网FTP的服务器94.4.19.123注意：此方式访问时内网机器的网关必须指向网闸的内网口一解释： 访问过程数据包走向为： 源IP (内网客户端主机，可缺省)入口设备（即为网闸的内网网卡一，不可缺省）出口设备（即为网闸的外网网卡一，不可缺省）目的IP（所要访问的外网FTP服务器IP，不可缺省）1. 源IP若加了限定则表明访问时只能限定这一个段的机器上对目的IP 为94.4.19.123的数据库进行访问，可缺省。2. 源端口是指限定访问机器的源访问端口，可缺省。3. 内网网关接口是指当内网的客户端（源IP主机）与入口设备不在同一个网段需要经过路由时添加的如下图：表明192.168.8.10为一个连接10.0.0.3与网闸的内网端的路由设备IP .4. 入口设备表示数据包进入网闸的网络接口，不可缺省。5. 入口设备IP为数据包进入网闸入口设备时使用的IP，不可缺省。6. 入口设备端口表示数据包经过网闸入口设备是走的端口，不可缺省。7. 出口设备表示数据包转发出网闸的网络接口，不可缺省。8. 出口设备IP为数据包转发出网闸出口设备时使用的IP，可缺省。9. 出口设备端口表示数据包经过网闸出口设备是走的端口，可缺省。10. 外网网关接口指当外网的目的端（目的IP主机）与出口设备（即网闸外端IP ）不在同一个网段需要经过路由时添加的如下图：表明94.4.19.36为一个连接目的IP为195.3.6.103与网闸的外网端的路由设备的IP 。11. 目的端口为访问目的主机的数据库端口，如FTP为21，不可缺省12. 目的IP为访问的目的数据库IP，不可缺省。4.1.1.3 映射模式访问数据库网闸其他服务设置网络映射与路由设置添加新任务 协议类型：FTP设置方式如下图表示在内网192.168.8.12机器上，使用已有的FTP用户名密码直接访问映射后的IP 192.168.8.100，就相当于访问的是外网FTP的服务器94.4.19.123。解释： 访问过程数据包走向为： 源IP (内网客户端主机，可缺省)入口设备（即为网闸的内网网卡一，不可缺省）出口设备（即为网闸的外网网卡一，不可缺省）目的IP（所要访问的外网数据库IP，不可缺省）1. 源IP若加了限定则表明访问时只能限定IP与之相同的机器 上对目的IP 为94.4.19.103的FTP进行访问，可缺省。2. 源端口是指限定访问机器的源访问端口，可缺省。3. 内网网关接口是指当内网的客户端（源IP主机）与入口设备不在同一个网段需要经过路由时添加的如下图：表明192.168.8.10为一个连接10.0.0.3与网闸的内网端的路由设备IP .4. 入口设备表示数据包进入网闸的网络接口，即也就是将目的IP地址映射到入口IP地址上，访问的目的IP的时候实际上是访问入口设备IP这个地址，不可缺省。5. 入口设备IP为数据包进入网闸入口设备时使用的IP，也就是将目的IP映射到内网的入口设备IP上，不可缺省。6. 入口设备端口表示数据包经过网闸入口设备是走的端口，也就是将目的端口映射到内网的入口设备端口，不可缺省。7. 出口设备表示数据包转发出网闸的网络接口，不可缺省。8. 出口设备IP为数据包转发出网闸出口设备时使用的IP，不可缺省。9. 出口设备端口表示数据包经过网闸出口设备是走的端口，可缺省。10. 外网网关接口指当外网的目的端（目的IP主机）与出口设备（即网闸外端IP ）不在同一个网段需要经过路由时添加的如下图：表明94.4.19.36为一个连接目的IP为195.3.6.103与网闸的外网端的路由设备的IP 。11. 目的端口为访问目的主机的FTP服务器端口，如FTP为21，不可缺省12. 目的IP为访问的目的数据库IP，不可缺省。4.2 需求二WEB访问端口自定义协议转换配置4.2.1 WEB访问配置规则 网闸其他服务设置网络映射与路由设置 系统显示如下界面：该项功能提供各种复杂环境下内外网之间的数据库访问。网络映射和路由设置有三种工作方式：透明模式、网关模式和映射方式：透明模式：提供内（外）网到外（内）网的透明代理（Transparent Proxy）访问，这种模式下保留源地址的真实IP，访问时访问真实目的IP。网关模式：提供内（外）网到外（内）网通过网关模式（NAT）访问，这种模式下所有的源地址经过了SNAT（源地址转换）。映射方式：提供内（外）网到外（内）网通过映射方式（PNAT）访问，这种模式把目的ip和端口转化外网闸外（内）端的虚拟IP，访问时访问映射的虚拟IP。注释:（透明模式：提供内（外）网到外（内）网的透明访问，这种模式下网闸对内外网的主机是透明的。映射方式：提供内（外）网到外（内）网的都通过内网或外网的接口的访问或接受服务，这种模式下，对内外网的主机相互之间都是不可见的。通过网闸来提供或者接受服务。网关模式：提供内（外）网到外（内）网的统一接口的访问，这种模式下内网的主机对外网来说都是不可见的，内（外）网（即访问源）都通过网闸向外访问服务。）4.2.1.1 透明方式访问数据库网闸其他服务设置网络映射与路由设置添加新任务 协议类型：TCP设置方式如下图表示：在内网192.168.8.12机器上，使用IE访问外网WEB服务器94.4.19.103的8000端口，来达到访问80端口服务的目的。注意：此方式访问时内网机器的网关必须指向网闸的内网口一，外网的机器的网关必须指向外网口一。解释： 访问过程数据包走向为： 源IP (内网客户端主机，可缺省)入口设备（即为网闸的内网网卡一，不可缺省）出口设备（即为网闸的外网网卡一，不可缺省）目的IP（所要访问的外网数据库IP，不可缺省）1. 源IP若加了限定则表明访问时只能限定在IP 为192.168.8.12/24（掩码根据需要也可不加）这一个段的机器上对目的IP 为94.4.19.103的WEB服务器进行访问，可缺省。2. 源端口是指限定访问机器的源访问端口，可缺省。3. 内网网关接口是指当内网的客户端（源IP主机）与入口设备不在同一个网段需要经过路由时添加的如下图：表明192.168.8.10为一个连接10.0.0.3与网闸的内网端的路由设备IP .4. .入口设备表示数据包进入网闸的网络接口，不可缺省。5. 入口设备IP为数据包进入网闸入口设备时使用的IP，可缺省。6. 入口设备端口表示数据包经过网闸入口设备是走的端口,可缺省。7. 出口设备表示数据包转发出网闸的网络接口，不可缺省。8. 出口设备IP为数据包转发出网闸出口设备时使用的IP，可缺省。9. 出口设备端口表示数据包经过网闸出口设备是走的端口，可缺省。10. 外网网关接口指当外网的目的端（目的IP主机）与出口设备（即网闸外端IP ）不在同一个网段需要经过路由时添加的如下图：表明94.4.19.36为一个连接目的IP为195.3.6.103与网闸的外网端的路由设备的IP 。11. 目的端口为访问目的主机的数据库端口，如FTP服务端口为21，不可缺省12. 目的IP为访问的目的数据库IP，不可缺省。4.2.1.2 网关模式访问数据库网闸其他服务设置网络映射与路由设置添加新任务 协议类型：TCP设置方式如下图表示：在内网192.168.8.12机器上，使用IE访问外网FTP的服务器94.4.19.123即在IE 输入：http:/94.4.19.123注意：此方式访问时内网机器的网关必须指向网闸的内网口一解释： 访问过程数据包走向为： 源IP (内网客户端主机，可缺省)入口设备（即为网闸的内网网卡一，不可缺省）出口设备（即为网闸的外网网卡一，不可缺省）目的IP（所要访问的外网FTP服务器IP，不可缺省）1. 源IP若加了限定则表明访问时只能限定这一个段的机器上对目的IP 为94.4.19.123的数据库进行访问，可缺省。2. 源端口是指限定访问机器的源访问端口，可缺省。3. 内网网关接口是指当内网的客户端（源IP主机）与入口设备不在同一个网段需要经过路由时添加的如下图：表明192.168.8.10为一个连接10.0.0.3与网闸的内网端的路由设备IP .4. 入口设备表示数据包进入网闸的网络接口，不可缺省。5. 入口设备IP为数据包进入网闸入口设备时使用的IP，不可缺省。6. 入口设备端口表示数据包经过网闸入口设备是走的端口，不可缺省。7. 出口设备表示数据包转发出网闸的网络接口，不可缺省。8. 出口设备IP为数据包转发出网闸出口设备时使用的IP，可缺省。9. 出口设备端口表示数据包经过网闸出口设备是走的端口，可缺省。外网网关接口指当外网的目的端（目的IP主机）与出口设备（即网闸外端IP ）不在同一个网段需要经过路由时添加的如下图：表明94.4.19.36为一个连接目的IP为195.3.6.103与网闸的外网端的路由设备的IP 。10. 目的端口为访问目的主机WEB服务器端口，如WEB为21，不可缺省11. 目的IP为访问的目的数据库IP，不可缺省。4.2.1.3 映射模式访问数据库网闸其他服务设置网络映射与路由设置添加新任务 协议类型：TCP设置方式如下图表示在内网192.168.8.12机器上，使用IE访问映射后的IP 192.168.8.26的8000端口，就相当于访问的是外网FTP的服务器94.4.19.123。即在IE上输入：http:/192.168.26:8000解释： 访问过程数据包走向为： 源IP (内网客户端主机，可缺省)入口设备（即为网闸的内网网卡一，不可缺省）出口设备（即为网闸的外网网卡一，不可缺省）目的IP（所要访问的外网数据库IP，不可缺省）1. 源IP若加了限定则表明访问时只能限定IP与之相同的机器 上对目的IP 为94.4.19.103的FTP进行访问，可缺省。2. 源端口是指限定访问机器的源访问端口，可缺省。3. 内网网关接口是指当内网的客户端（源IP主机）与入口设备不在同一个网段需要经过路由时添加的如下图：表明192.168.8.10为一个连接10.0.0.3与网闸的内网端的路由设备IP .4. 入口设备表示数据包进入网闸的网络接口，即也就是将目的IP地址映射到入口IP地址上，访问的目的IP的时候实际上是访问入口设备IP这个地址，不可缺省。5. 入口设备IP为数据包进入网闸入口设备时使用的IP，也就是将目的IP映射到内网的入口设备IP上，不可缺省。6. 入口设备端口表示数据包经过网闸入口设备是走的端口，也就是将目的端口映射到内网的入口设备端口，不可缺省。7. 出口设备表示数据包转发出网闸的网络接口，不可缺省。8. 出口设备IP为数据包转发出网闸出口设备时使用的IP，不可缺省。9. 出口设备端口表示数据包经过网闸出口设备是走的端口，可缺省。10. 外网网关接口指当外网的目的端（目的IP主机）与出口设备（即网闸外端IP ）不在同一个网段需要经过路由时添加的如下图：表明94.4.19.36为一个连接目的IP为195.3.6.103与网闸的外网端的路由设备的IP 。11. 目的端口为访问目的主机的WEB服务器端口，如WEB为80，不可缺省12. 目的IP为访问的目的数据库IP，不可缺省。