分享远程处理SSLVPN端口映射不成功
  

糊糊 4446

【问题现象】
客户反馈新增的端口映射都不生效,只有以前建的192.168.17.211的映射无论哪个端口都生效。
【网络拓扑】
QQ图片20190412152253.png
SSLVPN的外网线路主要用于建立IPSECVPN和提供端口映射,防火墙的线路用于正常上网。
【处理过程】
SSLVPN版本7.5R1
查看网络配置
2.png
检查端口映射,配置没发现异常。根据客户描述,取17.14和17.211两台服务器来做对比观察。
1.jpg

怀疑三种可能导致:1.外网端口不通(被运营商封堵)2.VPN到服务器不通 3.防火墙本机规则
1.外网端口没有封堵
2.sock测试VPN到服务器端口是通的
3.png
3.防火墙规则无拦截

排查配置无果只能抓包观察:
首先测试访问不能映射成功的17.14服务器,根据我的外网IP去过滤数据包,然后进行telnet
4.png 5.png
可以看到外网口有收到数据包,内网口也有转发,但是没收到回包。

那为什么17.211服务器又能访问成功呢?
继续测试17.211服务器,还是根据源IP去过滤,然后telnet测试
wan:
6.png
lan:
7.png
这次看到外网口数据包有来有回,但是内网口一个包都过滤不到
数据包哪去了?



相信大家已经猜到了,我换了过滤规则,根据服务器IP去过滤:
8.png
原来源地址被转换成VPN的内网口地址了

SSLVPN7.5R1版本控制台界面上的端口映射配置是没有源IP转换的,客户应该是之前找过400改过(客户说他新来的不清楚。。。)
已经找出原因了,我也找400
400二线工程师2400响应了我的工单,感谢大佬
最终也验证了我的判断
9.jpg
解决方法:他给客户在后台添加源IP转换,放通防火墙规则等等。

我猜测访问17.13服务器的数据没有回包到VPN是因为三层交换机匹配默认路由把数据包交给防火墙了,大家觉得呢?

建议:好像SSLVPN好多版本端口映射都没有源IP转换配置,希望最好能像AF那样,改进一下。





喜欢这篇文章吗?喜欢就给楼主打赏吧!

打赏
12人已打赏

×
有话想说?点这里!
可评论、可发帖
发表新帖

本版版主

22
28
73

发帖

粉丝

关注

本版热帖

本版达人

新手24268...

本周建议达人

七嘴八舌bar

本周分享达人

新手00087...

本周提问达人