抛一个关于网络架构的题目

[jeblur]

拓扑如下： ---vpn 拨入---Firewall---AC---Switch---Server

Firewall 和 Application Control 各做了端口映射用于对外开放 Server 的部分端口，现在 vpn 拨入后与 server 段地址能够正常 ping 通，但无法访问特定端口，问：什么问题导致的？

其实已经解出来了，但原理有些无法理解，想听听大牛怎么想的。

先感谢大家的回复了！

[blackeeper]

我猜是 nat 端口的问题

[blackeeper]

是 IP+nat 端口导致的路由问题，以前我弄 OpenVPN + Router DNAT 也遇到过，一抓包就知道了。

[yurang]

如果做的端口级的映射的话，能 ping 通不代表 ping 的是 server 也有可能是 NAT 前的地址。
到 server 不通要么是 server 没有回 vpn 地址的回程路由，要么是在 firewall 的 NAT 配置下发了黑洞路由，vpn 入接口和 NAT 下发不在一个口，导致流量命中黑洞路由被丢弃了。如果是 Web 应用的话也有可能是 Server 对 host 字段有要求。
信息比较少，只能这么猜

[jeblur]

@blackeeper 感谢回复，确实是 NAT 问题，测试下来发现 Server 回包时会在 AC 处转换成 AC 与 FW 连接的接口地址，所以会导致不通，但不明白的是我在 AC 处并没有针对 Server 的特定端口做端口映射也还是被转换了。这是部分产品的问题还是是端口映射的原因。。

[jeblur]

感谢各位回复，现在发现是端口映射的问题，由于在 AC 位置对 Server 的其他端口做过了映射，但没有做我需要端口的映射，可在 FW 处抓包发现回包是以 AC 与 FW 连接处端口的地址为源的，所以有此疑问: 如果我把 AC 处针对 Server 的所有端口映射都关闭是否还会生效。（明天会进行测试，今天只是猜测而已）