NAT‑Server 访问控制，只允许特定源访问服务器
在防火墙或路由器上配置 NAT Server（服务器映射） 时，为了增强安全性，通常需要限制只有特定的源IP或网段能够访问内网服务器。以下是实现这一目标的常见方法（以华为/H3C/Cisco等设备为例）：1. 配置思路
[*]NAT Server：将内网服务器的私有IP和端口映射到公网IP和端口。
[*]访问控制：通过ACL（访问控制列表）限制只有特定源IP可以访问映射后的公网地址。
2. 配置步骤（以华为/H3C设备为例）
(1) 定义ACL规则
首先创建一个ACL，允许特定的源IP访问目标服务器的公网映射端口。
# 进入系统视图
system-view
# 创建高级ACL（例如编号3000，匹配特定源IP和目标端口）
acl advanced 3000
rule 5 permit ip source <允许的源IP或网段> destination <公网IP> <可选：目标端口># 例如：source 192.168.10.0 0.0.0.255 destination 202.100.1.1 eq 80
# 或更精确的规则（如仅允许TCP 80端口）：
rule 10 permit tcp source <源IP> destination <公网IP> destination-port eq 80
(2) 配置NAT Server映射
将内网服务器的私有IP和端口映射到公网IP和端口。
# 配置NAT Server（假设内网服务器IP为10.1.1.10，公网IP为202.100.1.1）
nat server global <公网IP> <公网端口> inside <内网IP> <内网端口>
# 示例：将公网202.100.1.1:80映射到内网10.1.1.10:80
nat server global 202.100.1.1 80 inside 10.1.1.10 80
(3) 应用ACL到NAT策略
将ACL绑定到NAT Server规则或接口上，限制访问来源。
# 方法1：在NAT Server规则中直接引用ACL（部分设备支持）
# （具体命令因设备而异，可能需要通过安全策略或流量策略关联ACL）
# 方法2：在接口入方向应用ACL（更通用）
interface GigabitEthernet0/0/1# 假设公网接口
ip address 202.100.1.1 24
packet-filter 3000 inbound # 应用ACL 3000到入方向
(4) 默认拒绝其他流量
确保ACL末尾有隐式拒绝规则（默认所有未匹配的流量被拒绝），或显式配置：
acl advanced 3000
rule 100 deny ip# 显式拒绝其他流量（可选）
3. Cisco ASA/Firepower 配置示例
# 定义ACL
access-list NAT_ACL extended permit tcp any host <公网IP> eq 80# 临时放开（需优化为特定源）
# 更安全的方式：
access-list NAT_ACL extended permit tcp host <允许的源IP> host <公网IP> eq 80
# 配置NAT和ACL绑定
nat (inside,outside) static <公网IP> <内网IP>
access-group NAT_ACL in interface outside# 应用ACL到公网接口
4. 关键注意事项
[*]ACL顺序：ACL规则按顺序匹配，确保允许规则在拒绝规则之前。
[*]端口匹配：如果服务器使用非标准端口，需在ACL中明确指定。
[*]双向控制：某些场景需同时控制出方向流量（如服务器主动访问外网）。
[*]日志监控：启用日志记录被拒绝的访问尝试，便于安全审计。
[*]测试验证：配置后使用允许的源IP和禁止的源IP测试连通性。
5. 扩展方案
[*]动态ACL：结合RADIUS或TACACS+实现动态权限控制。
[*]VPN接入：对于敏感服务器，建议通过VPN接入后再访问，而非直接暴露在公网。
[*]云安全组：如果服务器在云平台（如AWS/阿里云），使用安全组规则限制源IP。
通过以上配置，可以确保只有授权的客户端能够访问NAT映射后的内网服务器，显著提升安全性。
页:
[1]