网工排错日记：NAT SERVER的内网回环问题（内网用户无法访问映射成公网的服务器）_内网无法访问映射出去的公网ip

网络拓扑如下：

2、问题分析：
1> 因外网用户（200.1.1.254）可正常访问服务器，初步判定NAT SERVER配置不存在问题。
2> 内网用户（10.1.1.1）访问200.1.1.1:80的路径为：Client1==>LSW1==>FW2==>FW2将200.1.1.1转换为10.1.1.2==>LSW1==>Server1，此时Server1收到的数据包为源IP：10.1.1.1，目的IP：10.1.1.2，到这个阶段未出现异常
3>当Server1向Client1返回数据包时：Server1发现10.1.1.1属于自己同网段的IP（即便不同网段，只要在同一个内网都会出现这种情况），所以将数据直接转给10.1.1.1，此时10.1.1.1收到的数据包为源IP：10.1.1.2，目的IP：10.1.1.1。因为Client1访问的是200.1.1.1，对于10.1.1.2回复的数据包它不会接收，此问题便为无法访问的根因。

3、解决方式：
分析：只需要使得Client1使用200.1.1.1:80去访问Server1的时候，Server1收到的数据包源地址不是内网地址，内网中的网络设备就不会直接把数据包传给Client1，便可以恢复正常。
方案：在防火墙上新建一条SNAT，规定Client1（10.1.1.1）访问Server1（10.1.1.2）时，将源IP转换成公网IP（拓扑中为200.1.1.1），即可解决问题。
注：SNAT策略中为什么目的地址是10.1.1.2？因为Client1访问200.1.1.1：80时，FW2会根据NAT SERVER将200.1.1.1:80转换成10.1.1.2:80