NAT‑Server 访问控制，只允许特定源访问服务器

admin

在防火墙或路由器上配置 NAT Server（服务器映射） 时，为了增强安全性，通常需要限制只有特定的源IP或网段能够访问内网服务器。以下是实现这一目标的常见方法（以华为/H3C/Cisco等设备为例）：

---

1. 配置思路

• NAT Server：将内网服务器的私有IP和端口映射到公网IP和端口。
  
• 访问控制：通过ACL（访问控制列表）限制只有特定源IP可以访问映射后的公网地址。
  

---

2. 配置步骤（以华为/H3C设备为例）

(1) 定义ACL规则
首先创建一个ACL，允许特定的源IP访问目标服务器的公网映射端口。

1. # 进入系统视图
2. system-view
4. # 创建高级ACL（例如编号3000，匹配特定源IP和目标端口）
5. acl advanced 3000
6. rule 5 permit ip source <允许的源IP或网段> destination <公网IP> <可选：目标端口>  # 例如：source 192.168.10.0 0.0.0.255 destination 202.100.1.1 eq 80
7. # 或更精确的规则（如仅允许TCP 80端口）：
8. rule 10 permit tcp source <源IP> destination <公网IP> destination-port eq 80

复制代码

(2) 配置NAT Server映射
将内网服务器的私有IP和端口映射到公网IP和端口。

1. # 配置NAT Server（假设内网服务器IP为10.1.1.10，公网IP为202.100.1.1）
2. nat server global <公网IP> <公网端口> inside <内网IP> <内网端口>
3. # 示例：将公网202.100.1.1:80映射到内网10.1.1.10:80
4. nat server global 202.100.1.1 80 inside 10.1.1.10 80

复制代码

(3) 应用ACL到NAT策略
将ACL绑定到NAT Server规则或接口上，限制访问来源。

1. # 方法1：在NAT Server规则中直接引用ACL（部分设备支持）
2. # （具体命令因设备而异，可能需要通过安全策略或流量策略关联ACL）
4. # 方法2：在接口入方向应用ACL（更通用）
5. interface GigabitEthernet0/0/1  # 假设公网接口
6. ip address 202.100.1.1 24
7. packet-filter 3000 inbound   # 应用ACL 3000到入方向

复制代码

(4) 默认拒绝其他流量
确保ACL末尾有隐式拒绝规则（默认所有未匹配的流量被拒绝），或显式配置：

1. acl advanced 3000
2. rule 100 deny ip  # 显式拒绝其他流量（可选）

复制代码

---

3. Cisco ASA/Firepower 配置示例

1. # 定义ACL
2. access-list NAT_ACL extended permit tcp any host <公网IP> eq 80  # 临时放开（需优化为特定源）
3. # 更安全的方式：
4. access-list NAT_ACL extended permit tcp host <允许的源IP> host <公网IP> eq 80
6. # 配置NAT和ACL绑定
7. nat (inside,outside) static <公网IP> <内网IP>
8. access-group NAT_ACL in interface outside  # 应用ACL到公网接口

复制代码

---

4. 关键注意事项

• ACL顺序：ACL规则按顺序匹配，确保允许规则在拒绝规则之前。
  
• 端口匹配：如果服务器使用非标准端口，需在ACL中明确指定。
  
• 双向控制：某些场景需同时控制出方向流量（如服务器主动访问外网）。
  
• 日志监控：启用日志记录被拒绝的访问尝试，便于安全审计。
  
• 测试验证：配置后使用允许的源IP和禁止的源IP测试连通性。
  

---

5. 扩展方案

• 动态ACL：结合RADIUS或TACACS+实现动态权限控制。
  
• VPN接入：对于敏感服务器，建议通过VPN接入后再访问，而非直接暴露在公网。
  
• 云安全组：如果服务器在云平台（如AWS/阿里云），使用安全组规则限制源IP。
  

---

通过以上配置，可以确保只有授权的客户端能够访问NAT映射后的内网服务器，显著提升安全性。