Chinaunix

标题: 关于secondary IP的一个问题 [打印本页]

作者: 流沙211 时间: 2009-06-03 14:38
标题: 关于secondary IP的一个问题
端口A，有203.x.x.x（primary）和192.x.x.x（secondary）两个地址，作为内部接口。
端口B，有202.x.x.x一个地址，作为外部出口。
也就是说， A接口通过secondary IP的方式同时接了203和192两个地址段。
B接口作为出口，上联到internet。

对于203这个段，在路由表中有静态路由指向，所以可以直接从B端口转发到internet；
192地址是内网地址，需要做nat，翻译成202的地址段，然后再从B端口转发出去。

按照我的理解：

当数据包进入A接口的时候，按照ios操作顺序，应该是先查nat表，再查路由表。
且针对同一个物理端口A，应该遵循同一个操作。我感觉此时接口A整个接口工作
在nat的模式。

所以，当源地址为192段的包进入A接口时，按照操作顺序，先会被匹配到了nat表项，
变成202段的地址（源地址）从B出去。而源地址为203段的包进入A时候，
会不会因为没有匹配到nat表项，而直接被丢弃呢？

如果被丢弃，那么它实际上就没有办法在去匹配路由表中针对203地址段的路由了。
所以，可能会出现，只有源地址是192段的数据包可以nat之后，转发到internet。
而源地址为203段的数据包，则无法转发到internet。

[ 本帖最后由流沙211 于 2009-6-3 15:05 编辑 ]

作者: ssffzz1 时间: 2009-06-03 14:46
没看明白。再重新组织一下。

作者: 流沙211 时间: 2009-06-03 15:05
标题: 回复 #2 ssffzz1 的帖子
又重新编辑了一下, 请大侠过目。

作者: ssffzz1 时间: 2009-06-03 15:30
不会的。在做NAT的时候有个ACL表是控制谁进行NAT的。203网段不符合这个规则的话NAT过程就跳过继续进行后续的操作了。

SNAT在查路由表以后。DNAT在查路由表以前。这个是有区别的。

你上面的例子的NAT发生在查路由表以后，在出接口上进行。

作者: 流沙211 时间: 2009-06-03 15:52

原帖由 ssffzz1 于 2009-6-3 15:30 发表
不会的。在做NAT的时候有个ACL表是控制谁进行NAT的。203网段不符合这个规则的话NAT过程就跳过继续进行后续的操作了。

SNAT在查路由表以后。DNAT在查路由表以前。这个是有区别的。

你上面的例子的NAT发生在 ...

明白啦！！
多谢大侠！！！

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)