客户的网络拓扑如下客户现状客户端A 可以访问服务器A但客户端B 也想访问服务器A 但因为A 在专网云内部导致无法访问。客户需求让客户端B 可以访问服务器A查看网络配置可以看到防火墙A 上对路由器连接地址200.55.0.5下面有一个 sub ip 10.44.0.8防火墙用这个IP做了对服务器A 的目的地址转换当访问10.2.1.5 时就转到互联网IP 10.44.0.8 这个地址上然后客户A 可以访问服务器A 但客户B 直接路由到运营商那里就无法访问服务器A 了。现在的思路是这样如果B 能路由到防火墙A 那么等同于和客户A 处于同一网络自然可以访问服务器A 了。但是这里有个问题就是B 访问到了A 的出口 但出口是 ISP 的设备通过管理 vlan 进行通信但防火墙B 没有客户端B 的路由因此无法回包从而B 也就无法访问 服务器A 。然后请教了一位网络工程师给出了这样的解决方案在防火墙A 上做双向NAT 既保留了原来把服务器A 映射出去的功能又给它和互联网之间充当了代理网关从而B 实现了对 专网服务器A 的访问需求。至此真的思路豁然开朗NAT 充当双方的网关省去中间无数的繁琐配置只要能到达防火墙两端地址完全不需要路由交互。纸上得来终觉浅绝知此事要躬行真的是学无止境与朋友们共勉
