如何在Internet上实现对内网服务器的完全控制

　　一个企业，由于有若干服务器对外开放，运营商分配了13个IP地址，218.123.123.2到218.123.123.14，网关是218.123.123.1，掩码是 255.255.255.240。除了服务器以外，公司内部有50多台机器还需要上网。

　　

　　分析：

　　由于主线路是采用固定IP接入方式上网，在配置的时候通过WebUIà快速向导，或者WebUIà基本配置àISP配置，可以很方便的配置，如下图：

　　

　　由于企业内还有服务器，因此还需为它(它们)设置类型为“One2One”的NAT规则。

　　最后，为保证NAT工作正常，还需启用快速转发功能;而由于WAN口是多地址接入，因此还需在WAN口启用NAT类型的ARP代理功能;另外，如果内网用户需要通过公网地址访问内部服务器，还需设置相关的静态路由。

　　下面，我们以内部服务器192.168.1.61和外部IP地址218.123.123.3做一对一NAT映射为例，一步一步来实现上述配置：

　　第一步，在WebUIà高级配置àNAT和DMZ配置àNAT配置做如下配置，并且保存：

　　NAT 规则名：server1

　　NAT类型：One2One

　　外部起始IP地址：218.123.123.3

　　内部起始IP地址：192.168.1.61

　　内部结束IP地址：192.168.1.61

　　绑定：主线路

　　

　　第二步，在WebUIà高级配置à路由配置做如下配置，并且保存：

　　路由设置名：server1

　　目的网络：218.123.123.3

　　网络掩码：255.255.255.255

　　网关地址：218.123.123.2(注意，此处网关一定要指向配置的路由器WAN口IP地址)

　　

　　第三步，在WebUIà基本配置à端口配置àWAN端口配置àARP代理做如下配置，并且保存：

　　

　　ARP代理：Nat

　　注意，“ARP代理”只在ReOS 5.4以上版本才支持配置，ReOS 5.4以下版本请在命令行操作界面下执行以下命令(如何进入HiPER路由命令行界面请参考附录一)：

　　set interface ethernet/2 ip arpproxy NAT

　　write

　　操作如下图：

　　

　　通过以上配置，内部服务器192.168.1.61和外部IP地址218.123.123.2就建立了一对一NAT映射关系，192.168.1.61上网使用218.123.123.2做NAT上网，互联网上的用户访问218.123.123.2同时也被转发到192.168.1.61相应的应用上。在路由器命令行操作界面下执行“show ip nat summary”可以看到各条NAT的配置情况：

　　

　　配置注意事项：

　　1、 One2One的正常工作，必须保证路由器的快速转发功能(WebUIà高级配置à特殊功能à快速转发)启用(路由器默认为启用)。

　　

　　2、 上述配置过程第一步可以通过一条NAT规则建立多个内部地址和外部地址的One2One映射，配置方法如下：

　　NAT 规则名：serverx

　　NAT类型：One2One

　　外部起始IP地址：218.123.123.4

　　内部起始IP地址：192.168.1.64

　　内部结束IP地址：192.168.1.68

　　绑定：主线路

　　

　　配置以上策略，就相当于在内部地址192.168.1.64和外部IP地址218.123.123.4、内部地址192.168.1.65和外部IP地址218.123.123.5、内部地址192.168.1.66和外部IP地址218.123.123.6、内部地址192.168.1.67和外部IP地址218.123.123.7、内部地址192.168.1.68和外部IP地址218.123.123.8之间建立了一对一的NAT映射。

　　每个型号支持的建立的“NAT规则”的数量，可以在WebUIà高级配置àNAT和DMZ配置àNAT规则列表，右上端最右侧的数字查询到。

　　3、 如果线路是接在WAN2端口，上述配置第二步就必须在建立路由的时候，“网关地址”指向WAN2口配置的IP地址，“绑定”在备份线路上。第三步必须将WAN2端口的“ARP代理类型”设置成ARP，命令行如下：

　　set interface ethernet/3 ip arpproxy NAT

　　write

　　4、 配置了One2One映射之后，内网的服务器的TCP/IP属性仍旧配置为内网IP地址，网关指向路由器LAN口IP地址。One2One映射工作之后，服务器将被完全暴露在Internet之上，来自Internet的任何请求都将被转发至映射的内网服务器，请在该内网服务器上安装相关的防火墙、安全软件，并且保持更新。

　　5、 One2One功能在ReOS 4.8版本以上支持，用户可以在UTT网站“下载中心”(http://www.utt.com.cn/downloadcenter.php)下载升级软件(注意：2190NB+/2190NBII/3110(GV版本)/2231CS/3110SOHO等型号在gv439版本开始支持此功能)。

　　附录1 怎样进入HiPER命令行配置界面

　　1通过超级终端进入

　　(1)将串口线和计算机串口相连。

　　(2)运行windowsà单击开始à程序à附件à通讯à超级终端，即可进入超级终端窗口。

　　(3)进入后超级终端后，请输入新建连接名称，单击确定。

　　(4)进入下一窗口，在“连接时使用”一项根据实际连接状况选择，单击确定。

　　(5)进入下一窗口，单击还原为默认值，如下：

　　每秒位数(B) 9600

　　数据位(D) 8

　　奇偶校验(P) 无

　　停止位(S) 1

　　数据流控制(F) 无

　　(6)进入下一窗口，直接输入回车键后，系统会显示欢迎信息和Login：提示符，输入正确的用户名和密码后，系统会显示提示符号和输入光标(hiper%_)，表示登录成功。如输入错误的用户名/口令，系统会再次提示要求输入用户名/口令;如用户连续3 次输入用户名/口令错误，系统会断开本次连接。

　　系统缺省的超级用户名为Default (区分大小写)， 口令为空(或者用户自定义的密码)，该用户拥有最高的权限。输入正确用户名和密码后，回车进入路由器配置界面。

　　2通过Telnet方式进入

　　将控制PC的IP地址设置成和HiPER路由器(出厂IP地址：192.168.16.1)在同一个网段，在DOS提示符下输入telnet 192.168.16.1(路由器的LAN口IP地址或者用户自定义的LAN口的IP地址)，系统会显示欢迎信息和Login：提示符，输入正确的用户名和密码后，系统会显示提示符号和输入光标(hiper%_)，表示登录成功。如输入错误的用户名/口令，系统会再次提示要求输入用户名/口令;如用户连续3 次输入用户名/口令错误，系统会断开本次连接。

　　系统缺省的超级用户名为Default (区分大小写)， 口令为空(或者用户自定义的密码)，该用户拥有最高的权限。输入正确用户名和密码后，回车进入路由器配置界面。