作者SmallBeeWayn (喵喵叫的蜜蜂猫)
看板Network
标题[问答] 当内部电脑连线到对外IP时发生失败
时间Wed Nov 10 21:37:46 2010
实体架构是所有电脑、伺服器、中华电信主机 都连到同一台Switch
平常的话是电脑用NAT连到伺服器，再从伺服器用公用IP通外界
伺服器有架网站伺服器，平时写网站有时候需要连到网页做测试
因为有使用VirtualHost，所以必须连到网址而不是IP位置
因为连的是网址，DNS给的当然是伺服器的外部IP
这样的话连上网页伺服器的路径变成
电脑====>伺服器====>网路路由器====>伺服器
等於是出外绕一圈....
而且有的时候会连不上，或是部分文件没收到(错误101)
目前的想到的解决方法有三
1.修改电脑的hosts，将网址指向伺服器内部IP
2.在伺服器的Private DNS Server上把网址指向内部IP
3.电脑自己PPPoE拨号
但是我最希望的是第四解
4.修改伺服器的路由将由内部IP通往外部IP的信息收下来
理论上第三解应该是自动的(伺服器知道自己的所有IP，我没有用DMZ)
但是根据tracert的结果，我确信自己经过了两次路由(伺服器+外部路由)才回到伺服器
提供NAT及负责拨号的都是Windows 2008 路由及远端存取服务
网路是中华电信光世代 固1+浮7的形式
解决方法应该是在静态路由或是服务设定之类的地方
想问知道的人该怎麽处理?
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 122.116.180.163
1F：推 wst2080:这样讲好了~ 你都透过FQDN来进行存取,而名称解析就是靠着 11/10 22:36
2F：推 wst2080:Hosts 或者 DNS 来帮你进行解析~ 而你不在内部做解析的话 11/10 22:37
3F：推 wst2080:当然就会透过外部的DNS来帮你解析,解析出来的结果就是外部 11/10 22:37
4F：推 wst2080:的IP~ 当然很多NAT的机制都是拒绝Private IP从WAN导入进来 11/10 22:38
5F：推 wst2080:据我所知的部分,静态路由是无法达到你的需求~ 路由=L3 11/10 22:38
6F：推 wst2080:名称的解析已经超乎L3的能力范围之外了... 11/10 22:39
我希望NAT在收到由内部发到自己外部IP的通讯直接收下来不转送出去
这应该不算名称解析吧?只判断来源IP(是不是区网IP)跟目标IP(是不是自己的对外IP)
7F：推 wst2080:至於服务设定,最快的还是从内部DNS下手会比较快... 11/10 22:39
8F：→ wst2080:忘记说了~ 就算NAT允许Private IP连进来,那也会耗损与浪费 11/10 22:40
9F：推 wst2080:所谓的频宽以及反应时间等等~ (就是要外头DNS询问,然後传 11/10 22:40
10F：→ wst2080:回反映给内部网路的用户端) 避免这样的状况就是在内部设 11/10 22:41
11F：→ wst2080:hosts 或者 内部建置专门解析内部的DNS 会比较妥当 11/10 22:41
12F：→ wst2080:你的需求是要内部用户连线到伺服器所连接的内部介面 11/10 22:42
13F：→ wst2080:我猜想~ 你应该有让Windows 2008担任DNS的工作.... 11/10 22:43
14F：→ wst2080:所以才会发生你不想要用内部DNS伺服器进行来解析内部的 11/10 22:43
15F：→ wst2080:动机也说不定 (个人我是偏好用Bind来处理这样的问题) 11/10 22:44
16F：→ wst2080:以上是我的见解~~ 或许有先进可以提供更好的solution~~ 11/10 22:47
Windows 2008是有开DNS，但主要是AD运作要用的
如果要把DNS给内部用，一是等於必须多维护一个DNS
二是当伺服器挂掉时下面电脑得改DNS选项不然不能自己拨出去
三是AD会自己乱加项目很讨厌(关掉安全更新又会一直送错误...)
虽然都不是很大的问题，但奇模子不是很好就是了
而且之後我打算要重灌，把AD & DNS之类的都拿掉
17F：推 nknudragon:windows 2008有几张网卡 ? 11/11 00:59
18F：→ SmallBeeWayn:只有一张 11/11 01:00
※ 编辑: SmallBeeWayn 来自: 122.116.180.163 (11/11 03:01)
19F：→ infosec:我不懂为什麽要拿server当nat，你的需求加个asa之类的全解 11/11 09:02
20F：→ wst2080:更懒惰的~ 就是在原先的Server建置一台VM,在VM上头跑个 11/11 09:38
21F：→ wst2080:Linux 当作cache-only dns (Forwarder) 使用 11/11 09:39
22F：→ wst2080:然後外部要解析你这部分 看是要委由外部DNS 还是这台VM建 11/11 09:39
23F：→ wst2080:的DNS来解析 而你的AD所搭上的DNS 只要负责解析内部即可 11/11 09:39
24F：→ wst2080:重灌不是个好办法~ 毕竟Server的系统不可能天天重灌的!!! 11/11 09:40
25F：→ wst2080:这我也是一直强调 专机专职 分工合作 各司其职 的道理... 11/11 09:40
26F：→ wst2080:之前我在公司的解决方案也是这样 AD归内部解析使用 11/11 09:41
27F：→ wst2080:外部建置个Linux DNS来帮助外部解析进来 11/11 09:41
28F：→ wst2080:喔 我修正刚刚说的 cache-only dns 这块... 那是另外一个 11/11 09:42
29F：→ wst2080:解决方案~ 而刚说的是外部Linux的DNS,内部用AD的DNS来解析 11/11 09:42
30F：→ wst2080:只有一张网卡就搞NAT 而且还用微软的OS...猛喔!! XDDD 11/11 09:43
31F：→ wst2080:跟我以前帮一间小公司弄的方法类似 不过我是用Linux达成的 11/11 09:43
32F：→ wst2080:只不过bind弹性化蛮大的~ 可以设置外部与内部的用户端查询 11/11 09:44
33F：→ wst2080:仅允许内部用户端Query一个Zone,而外部其他的则是透过另 11/11 09:44
34F：→ wst2080:一个Zone来进行解析~ 这样就达到解析分区的效果了... 11/11 09:45
35F：→ wst2080:然後再设置cache-only的DNS,将内部其他用户需要解析其他 11/11 09:45
36F：→ wst2080:外部的FQDN转发到ISP的DNS上头,这样就很完美了..... 11/11 09:46
37F：→ wst2080:说个离题的~~~ 为什麽原po说的透过路由指向的方式... 11/11 09:49
38F：→ wst2080:会让我想到 Route-Map 啊??? 11/11 09:49
39F：→ wst2080:access-list 101 permit ip 192.168.1.0 0.0.0.255 11/11 09:52
40F：→ wst2080: 1.2.3.4 0.0.0.0 11/11 09:53
41F：→ wst2080:route-map C2S permit 11/11 09:53
42F：→ wst2080:match ip address 101 11/11 09:54
43F：→ wst2080:set ip next-hop 192.168.1.100 11/11 09:55
44F：→ wst2080:只不过这种方法是用在路由协议当中... 我只是突发奇想而已 11/11 09:59
45F：→ wst2080:或者在介面上用 ip policy route-map C2S 11/11 10:02
46F：→ wst2080:所谓的 Policy-Based Routing 这个概念~~~ 11/11 10:02
47F：→ infosec:用台ASA 设定DNS DOCTORING就解决了 11/11 11:07
48F：推 nknudragon:2008只有一张网卡 纳你的router在哪里 ? 11/11 11:24
49F：→ wst2080:会不会弄了半天~只有一台一张网卡的Windows Server 2008啊 11/11 12:55
50F：推 nknudragon:问题好像出在NAT Lookback 但是那是针对ROuter本身 11/11 13:17
53F：推 nknudragon:原PO希望以後2008只提供web service 需要多台ROUTER 11/11 13:36
54F：推 nknudragon:2008 装双网卡提供NAT，设定DNS internal 与external 11/11 13:41
55F：→ nknudragon:正解 : 加台Router or 2008 装双网卡 11/11 13:43
56F：→ wst2080:这要看原po的用途以及规划~ 若是我~ 还是有能力用一台 11/11 14:07
57F：→ wst2080:使用Linux的方式 达到我之前推文所提到的架构 11/11 14:08
58F：→ wst2080:而且还是透过一张网卡搞NAT... XDDD 11/11 14:08
60F：→ wst2080:N大 你说的方法就是我之前用的方法啊 XDDD 11/11 14:11
61F：推 nknudragon:其实2008都架设AD与DNS了 就应该去是使用才对 而不是 11/11 14:24
62F：推 nknudragon:另外去设置一台作业系统造成自己的负担 11/11 14:28
63F：推 nknudragon:以此提为例 2008应该是指处理内部DNS才对 外部请用转寄 11/11 14:33
65F：→ wst2080:哈 对我而言 我是没差啦 毕竟当初他们的经费有限 11/11 14:39
66F：→ wst2080:我只能用最省钱最省力的方法解决他们小公司的问题 11/11 14:39
67F：→ wst2080:只不过至於原po的方法 也不难 找个DNS代管 帮忙处理外部的 11/11 14:40
68F：→ wst2080:解析,而Windows Server 2008 只要负责内部DNS解析就好 11/11 14:40
69F：→ wst2080:我之前弄小公司的case是因为他们有多个Public IP,而他们 11/11 14:41
70F：→ wst2080:希望自己的Domain归自己管辖~ 而不想找代管处理... 11/11 14:41
71F：→ wst2080:而内部的DNS只是负责解决因为NAT导致解析上的问题而已 11/11 14:42
72F：→ wst2080:我自己房间里Run的软路由也兼任内部DNS解析 11/11 14:43
73F：→ wst2080:其中一套软路由是pfsense 然後使用他其中的 dns forwarder 11/11 14:44
74F：→ wst2080:轻轻松松的UI介面来解决类似原po的问题... 11/11 14:44
75F：→ wst2080:不过大家建议了半天 还是不清楚原po到底要甚麽 11/11 14:46
76F：→ wst2080:毕竟在板上也没看到原po回答N大提出的问题... 11/11 14:46
77F：→ wst2080:我也就只能狂瞎猜吧 XDDD 11/11 14:47
78F：推 nknudragon:如果2008拆掉AD&DNS只提供网页伺服器，那的确有架设 11/11 14:57
79F：→ nknudragon:软路由的必要，用硬路由反而会显得更麻烦就是 11/11 14:58
80F：→ nknudragon:W大，有办法用硬路由去解决NAT+内部DNS姐希的问题麽 11/11 15:00
81F：推 wst2080:有啊 Infosec大提供的ASA 还有我刚说的PBR 方案 11/11 15:30
82F：推 wst2080: ASA^DNS Doctoring 11/11 15:33