随着业务发展,互联网传输始终还是不太靠谱,越来越多的本地企业选择专线接入到机房,以前还能通过协商分配空闲的私网地址段来给用户端做源NAT避免冲突。专线接入的用户多起来以后,基本上很难找到与各方都不冲突的空闲地址段,这个办法已经不能解决问题了。
思来想去,最好的办法就是在专线接入的防火墙上启用接口源进源出功能,这个功能原本是用于互联网出口防火墙应对多运营商接入的,这里把每条接入的用户企业专线都当成一个运营商来对待。使用双向NAT再搭配10.64.0.0/16位的电信保留地址段来做目的NAT和源NAT。
(一般情况没有局域网会用这个地址段也不太可能与电信业务起冲突)
简单的拓扑图和大致的配置如下:
例如最近遇到的极端情况,企业A有一个172.18.2.10的地址,企业B也用了这个172.18.2.10的地址,两家企业都要访问机房172.18.2.10这样的服务器资源!
企业A终端A访问服务器C的过程:
去程:终端A–企业A局域网–企业A专线路由–运营商传输链路–机房专线接入交换机–防火墙企业A子接口–转换源地址为100.64.2.X–经过机房核心网络–服务器C
回程:服务器C–机房核心网络–专线防火墙–防火墙源进源出的配置将数据包转发至企业A的子接口(源进源出根据会话优先级高于路由)–专线接入交换机根据子接口的vlan号将数据转发至企业A专线接口
双向NAT解决企业与机房资源的地址冲突,源进源出解决不同企业之间的地址冲突。
如果按照最初的协商分配地址方案简直要抓狂,换了新方案之后一切迎刃而解~