防火墙NAT地址映射引起的网络管理思考

☆ 吴智辉

（丹阳市教育信息中心，江苏丹阳 212300）

作为一个园区网络，一个城域网MAN（Metropolitan Area Networks）网络的结构中，通常是由各种类型的设备搭建组成。而教育城域网作为一个比较典型的MAN结构网络，通常由边界安全设备、核心骨干设备、用户认证及流量、行为管理系统以及数据中心及应用系统组成，为接入单位提供网络出口和相关服务。笔者所在教育城域网下属有100多个中小学、幼儿园，平时主要功能之一就是管理和维护门户网站平台，为整个教育系统实现公文流转、资源共享、政务公开等软环境建设提供有效的技术保障。因此，技术人员的配备、科学合理的部署、安全有序的管理成为一个城域网网络中心管理至关重要的三个因素，无论哪一环节出现错误，都势必给城域网网络中心造成安全隐患。

一、城域网网站服务器故障情况描述

中心一台Web服务器配置在硬件防火墙的DMZ区，服务器网卡设置的ip地址是合法的公网地址，然后在硬件防火墙做了内网地址nat映射，内外网络用户在访问服务器的时候都经过硬件防火墙转换进行访问。近期因为主网站服务器运行缓慢，网站打开报错，初步怀疑流量过大引起网络堵塞，由于这台服务器有双网卡的特性，中心技术人员准备让一块网卡配置内部地址，直接对内提供www服务，另外一块网卡配置合法的公网地址，存放在硬件防火墙的dmz区，通过地址映射对外提供服务。拓扑简图如图1所示：

图1 拓扑简图

服务器区通过交换机两条线路分别连接至防火墙和内网核心，并在交换机上配置两条路由指向防火墙和内网两个方向。在防火墙上对内网用户访问外网资源做基于源地址的NAT映射。

二、服务器访问出现故障原因分析

内网终端用户通过公网地址访问服务器区的服务器时，访问失败。

根据路由基于目的地址转发原理，终端用户通过公网地址访问服务器区，目的地址为公网地址，源地址为内网地址。数据包在防火墙进行转发，由于原先防火墙上对服务器网段进行了SourceNATStatic映射，因此，目的地址（公网地址）将被转换为相应的服务器真实地址。但服务器接收到终端用户的访问请求时，其报文结构如下。

（1）Source IP Address为终端用户内部IP。

（2）Destination I PAddress为服务器公网网卡地址。

服务器进行回包，目的地址为内网地址，但源地址则成为了服务器的真实地址。且数据包不会经过防火墙，而直接依据本地的静态路由，由新连接的内部网卡地址进行路由选路，由于未经过防火墙的地址映射，所以，当内网终端接收到这个数据包时，发现源地址并非是请求的目的地址，终端上层应用则会丢弃这个数据包。因此，导致访问失败。

三、问题解决方案

在防火墙上服务器区和内网区域之间做源地址映射Dynamic Source NAT，把服务器的回复强行指向了服务器的外网口，防火墙对终端的数据包的源地址进行转换，使得终端接收到的数据包的源地址仍为服务器的公网地址。

四、网络故障引起的管理思考

近年来，我市紧紧围绕“创建江苏省优质均衡发展县市”的发展目标，全面实施教育现代化，努力建设“数字教育”，取得了显著成效。目前，随着优质均衡化发展建设的深入推进，全市在原有硬件和软件的基础上追加投入7700万元，用于改善和提高学校信息化水平，学校目前信息化各项指标都已经达到或者远远超过江苏省信息化I类标准，正努力向国家信息化示范标准靠齐。硬件的完善、软件功能的提高，使得信息技术在教学、管理领域广泛应用，但是，如果脱离了网络环境，任何手段和资源就变成了局部化，违背了当今共享、交流和完善的指导思想，所以，设备的正常运作，网络的畅通与否直接关系到信息技术手段是否能更好地服务于“学校的管理、教师的教学、学生的学习”，因此，从一件小的网络配置事故，笔者认为无论是教育城域网的技术人员也好，还是学校的电教主任或者网络管理员也好，我们都要高度重视自己工作的职责，从细节抓起，从小事做起，让信息技术这个“小平台”能更好地发挥“大作用”，努力做好以下几个方面的工作。

1.强化科学合理部署

一个网络建网初期和后期硬件升级改造，不论是决策层还是技术层，我们都应该本着“事先规划、科学论证、实践探讨”的原则，重视方案的可实施性，科学合理部署，切勿随意根据个人意愿进行部署和实施，引起故障，造成不可挽回的损失。当然，作为一项新的技术应用，本身也需要经过理论研究和实践检验，在不改变原网络架构和功能运作的前提下，我们也推荐技术人员适当地进行模拟实验，一起研究探讨和解决。

2.提升技术人员水平

网络是否能正常运作最关键的还是在于人。技术管理人员的技术水平高低、相互之间的合作分工、定期的交流是保证正常运作的三要素。首先，技术水平是决定一个网络技术维护和管理的层次。作为县市级教育城域网或者学校网络管理中心，很大一部分技术人员都是来自教育系统内部，理论和技术水平不是很高，因此，相互的合作、定期的交流也显得十分重要。合作分工不仅仅是技术人员水平共同提高的一个方面，也是为了细化工作，实现一岗双责、互为补充的一个重要方面。其次，工作内容从硬件上来划分可以分为交换机管理和维护、服务器管理和维护、行为管理流量控制管理和维护几个方面。从大方面来说，所有中心工作技术人员应该一起研究和讨论，从具体工作方面来讲，一块工作涉及的人员不宜过多，建议设立AB两岗就行。在实际操作过程中，人员太多会给管理带来诸多不便，一个技术人员临时配置或修改细节，如果不及时汇总沟通的话，越积越多，最终因为忽视造成设备配置和参数每人不统一，形成比较混乱局面。因此，更多时候我们建议以A岗为主，B岗为辅的机制，互为补充，确保每项工作能有序合理开展，加上定期交流，最终形成一个面上的统一。第三，定期的交流不能仅限于专项工作人员之间，也不能过于形式化，建议每周专项工作人员即AB岗人员之间进行交流，每月或者每季度全局技术人员之间进行交流和通报。在交流过程中，我们要细化过程，不能因为时间或者其他技术人员对此不了解而一带而过，要详细地介绍工作细节并作出合理化解释。只有这三个方面的工作踏踏实实做好后，才能确保网络核心正常运作，并为基层单位提供更优质的服务。

3.重视安全有序管理

安全有序的管理不仅仅体现在中心的制度和设备上，笔者认为更体现在单位工作人员的意识上。要让每一位成员形成一种主人翁的意识，在平时工作中，有制度可依、主动参与，尤其是注重过程性资料的积累，不仅仅为个人提供绩效考核依据，也为日后维护和管理提供保障。

综上所述，为优化网络管理，充分发挥网络的服务优势，需要网络管理人员共同协作、加强管理、提升意识，才能更好地服务于中小学教育教学应用，提升信息技术引领地位。