ros端口映射和回流详解
ros端口映射和回流详解
ros端口映射和回流详解1、什么是端口映射这里说的端口映射是路由器上的端口映射。
一般情况下，网络中路由器都有防火墙功能，互联网用户只能访问到你的路由器WAN口(接ADSL线口或是固定的外网IP地址)，而访问不了局域内部服务器或工作站。
要想让外面用户访问到局域网的电脑，那么就要在路由器上做一个转发设置，也就是端口映射设置，让用户的请求到了路由器后，能够转发到局域内部的机器上，例如游戏服务器或WEB服务器。
这就是端口映射。
在局域网中建建立一个CS服务器，IP地址为:192.168.0.235,端口为27015，此时在局域内部，如果要在外网上访问服务器，就要把192.168.0.235这台机器的27015端口通过路由器映射到外网。
除了CS服务外，其它的服务例如FTP、远程桌面等服务都可以将不同的端口映射出去，以便能在外网通过路由器来访问内网机器。
一般的路由器都带有端口映射功能，以下对目前使较多的ROS软路由的端口映射作一说明，并提出解决外网IP显示及回流设置。
2、ROS 2.96 的端口映射的设置进入winbox,点击IP→ Firewall→Nat打开防火墙设置界面。
点击左上角红色的“+”号，添加一条dstnat规则，其中dst.address 填写你要映射的外网IP，本例为218.87.96.xxx(此处请填入您的外网IP),然后选择protocol协议为6，即TCP协议，设置Dst. port（目标端口）为80。
设置完成后如图1所示。
单击“Action”选项卡，在Action框中，选择“dst-nat” ，在“To.Address”框中填写内网提供服务的IP地址，本例为192.168.1.3,在“To.Port”填写内网提供服务的IP端口，这样基本映射就完成了，如图2所示，此时可以在外网中输入你的外网IP，即可看到内网192.168.1.3WEB服务器上的网站了。
以同样的方法可以设置FTP和远程桌面。
ros多线做端口映射脚本
正文开始，脚本在下面。
我做完ROS加VLAN ADSL多线PCC叠加设置设置后不久，网站开发小组的项目经理就找到我向我提出了需求，因为现在他们的测试服务器是放在我们办公室内网的，我们公司其它部门和其它分公司和我们办公室不是一个局域网，网站开发小组的项目经理想让我们公司的所有同事都能访问到测试服务器做用户体验度测试，想让我帮助实现，当时我一口答应下来，也觉得这是个很简单的事情，但是事情往往出人意料。
我一开始的思路是这样的，第一步就是在IP－>firewall－> nat下面做基于目标的伪装，也就是映射，第二步就是要做回流让内网的客户端也能通过公网IP 访问到服务器，第三步就是做动态映射的计划任务，定时更新第一步里面的目标地址即ADSL的地址，最后一步就要用到DDNS做一个二级域名的动态解析方便同事记忆和输入。
做完以后发现需求基本满足，就是内网客户端不能通过域名访问到服务器，只能通过内网IP访问，为了精益求精，继续研究，baidu和google 上搜索了无数方法均无效，后来在一个论坛里面看到一个高人的回复内容给了我启发，于是再一次尝试配置居然成功了。
不敢独享，现在将思路和脚本整理分享给更多需要的人。
首先我来分析下出现上述问题的原因，因为我们这里的环境是多线叠加的，我们的每个连接在进行路由之前都会对连接进行标记并路由，不同的标记有可能走不同的路由导致数据没办法顺利到达服务器，其内部数据的具体流向以及转换我也不是很清楚，如有高手路过请不吝赐教。
下面进入正题，其实很简单，我们只要在标记里面把目标地址为我们的外网接口地址的数据直接通过就可以解决这个问题了，有几条线就做几个标记，最后要添加计划任务更新标记里的目标地址为对应的外网接口地址，所以加上这最后两步一共是六步，下面就放出每一步的脚本（我的环境是双线叠加的，所以以下脚本都是适合双线的，改成多线的也很容易）1、做映射，这里以把内网的8890端口映射成9000端口为例。
ROS里的限速功能与限速单位详解,映射与回流做法
ROS里的限速功能与限速单位详解,映射与回流做法2009年07月24日星期五 18:34ROS里的限速功能与限速单位详解#-----------------------------------------------------------------------------------------------## ROS批量限速脚本;#Windows下的速度显示#正常上传100KB，正常下载200KB;#突发上传200KB，突发下载800KB;#突发上传100KB，突发下载100KB;#说明:#路由内的限速单位是Kbitp/s(千比特位/秒)/8=Windows下的存储单位KByte(千字节/秒)#K代表的是个数量单位K=1000;另外K和k就没区别了..不要混淆..#b,小写的b全名是bit,bit是网速的基本单位.bps(bits per Second):每秒传输多少位数(二进制)#B,大写的B全名是Byte,Byte是字节的意思,就是Windows的存储单位#8Kb=1KB#有时我们在路由里看到某机器下载速度已经达到10Mbps,#但是实际在windows下看到的速度只是10Mbps/8=1.25MByte#限速脚本内的进制是如何的呢?#比如以下脚本的max-limit=800,000/1600,000,在WINBOX里看的话就是800k和1600k.#后面3个0就是K的意思了.而上面的800,1600就是bps,加一起就是800kbps 和1600kbps#WINDOWS下看到的速度就是800kbps/8=100KB和1600kbps/8=200KB#max-limit:正常的速度限制;上传/下载.#burst-limit:突发速度;上传/下载.#burst-threshold:突发速度阀值;上传/下载.burst-time:突发时间;上传时间/下载时间.#注意,burst-threshold的值不能大于burst-limit#脚本中的time=是控制某些时间限制的.下面脚本就是周1到周7上午11点到晚上11点限速.其余时间不限制.#-----------------------------------------------------------------------------------------------#:for myip from 2 to 254 do={/queue simple add name=("第" . $myip . "号机") target-address=("192.168.0." . $myip . "/32")max-limit=800000/1600000 burst-limit=1600000/6400000burst-threshold=800000/800000 burst-time=30/30 total-queue=default \ time=12h-23h,sun,mon,tue,wed,thu,fri,sat disabled=no }把代码框的内容保存为rsc格式文件.FTP传到路由上.然后用命令im 文件名.rsc激活.到queue里看是否生效.手动限速winbox---queues----simple queues点“+”，NAME里随便填，下面是IP地址的确定①Target Address 不管，Dst. Address里填你要限制的内网机器的IP，比如我这里有个 1号机器 IP为 192.168.1.101，那dst.address 里就填192.168.1.101 然后是/32（这里的32不是指掩码了，个人理解为指定的意思）！②interface里记着要选你连接外网那个卡，我这里分了“local和public”，所以选public③ 其他的不管，我们来看最重要的东西拉，Max limit ，这个东西是你限制的上限，注意的是这里的数值是比特位，比如我要限制下载的速度为 500K 那么就填入多少呢？ 500 X 1000 X 8=400 0000=4M。
端口映射的原理及设置方法
映射端口：介绍端口映射的作用及其配置采用端口映射（Port Mapping）的方法，可以实现从In ternet到局域网内部机器的特定端口服务的访问。
例如，你所使用的机子处于一个连接到Inter net的局域网内，你在机子上所开的所有服务（如FTP），默认情况下外界是访问不了的。
这是因为你机子的IP是局域网内部IP，而外界能访问的只有你所连接的服务器的IP，由于整个局域网在Inter net上只有一个真正的I P地址，而这个IP 地址是属于局域网中服务器独有的。
所以，外部的Inte rnet登录时只可以找到局域网中的服务器，那你提供的服务当然是不起作用的。
所以解决这个问题的方法就是采用PM了。
端口映射在思科设备的配置：router(config)#ip nat insidesourcestatictcp 10.10.10.1 22 210.10.8.1 22 extenda blerouter(config)#ip nat insidesourcestatictcp 10.10.10.2 80 210.10.8.1 80 extenda ble映射端口：路由器端口映射的原理及设置方法介绍端口映射其实就是我们常说的NAT地址转换的一种，其功能就是把在公网的地址转翻译成私有地址，采用路由方式的ADSL宽带路由器拥有一个动态或固定的公网IP，ADSL直接接在HUB或交换机上，所有的电脑共享上网。
这时ADSL的外部地址只有一个，比如61.177.0.7。
而内部的IP是私有地址，比如ADSL设为192.168.0.1,下面的电脑就依次设为192.168.0.2到192.168.0.254。
在宽带路由器上如何实现NA T功能呢？一般路由器可以采用虚拟服务器的设置和开放主机(DMZ Host)。
什么是端口映射,路由端口映射如何设置
= 最后给大家个小知识：端口映射（Port Mapping）如果你是ADSL、MODEM或光纤等宽带接入用户，想在公司或单位内部建一个服务器或WEB站点，并且想让互联网上的用户访问你的服务器，那么你就会遇到端口映射问题。
通常情况下，路由器都有防火墙功能，互联网用户只能访问到你的路由器WAN口(接ADSL的电话线口或路由宽带外网口)，而访问不到内部服务器。
要想让互联网用户访问到你建的服务器，就要在路由器上做一个转发设置，也就是端口映射设置，让互联网用户发送的请求到达路由器后,再转发到你建立的服务器或WEB 站点。
这就是端口映射。
由于各个路由器厂商所取功能名称不一样，有的叫虚拟服务器，有的叫NAT设置端口映射。
其实做端口映射设置很简单，例如要映射一台内网IP地址为192.168.0.5的WEB服务器，只需把WEB服务器的IP地址192.168.0.5和TCP端口80填入到路由器的端口映射表中就OK了。
关于打开端口映射后的安全问题：设置了端口映射后，互联网用户能够通过设置好映射的端口，跳过路由器防火墙访问到你的服务器，在通过攻击你服务器上的漏洞控制你的主机，所以打开端口映射后有必要在你的服务器上再挂一个防火墙也确保安全性。
3389端口是Windows 2000(2003) Server 远程桌面的服务端口,可以通过这个端口,用"远程桌面"等连接工具来连接到远程的服务器,如果连接上了,输入系统管理员的用户名和密码后,将变得可以像操作本机一样操作远程的电脑,因此远程服务器一般都将这个端口修改数值或则关闭.3389端口的关闭：首先说明3389端口是windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是否是你自己开放的。
如果不是必须的，建议关闭该服务。
win2000 server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
ROS中的一些解释
NET-“src-nat”和“dst-nat”其中dst指：destination ：目的，目标其中src指：source：来源, 根源网络地址转换(NAT,Network Address Translation)src-nat是源地址转换,其作用是将ip数据包的源地址转换成另外一个地址,首先我们说一下snat中几个参数的含义,action，这是说明用的哪种转换方式,通常我们用masqurade，nat这两种,在特殊情况下用accept(主要是内网中有公网地址存在的情况)方法，protocol说明对哪些传输协进行转换(通常有tcp,udp等),out-interface说明通过哪一个网卡进行转换(通常是外网卡outside)，to-src-address是将源地址伪装成哪些地址(可以是一个也可以是很多个),to-src-pot是将源端口伪装成哪些端口(可以是一个也可以是很多个),dst-address是指发向哪些主机的数据包要进行伪装(可以一个可以多个)，dst-port是指发向哪些端口的数据包进行伪装(可以一个可以多个)，src-address是指对哪些源地址进行伪装(可以一个可以多个),src-port是指从哪些源端口发出的数据包进行伪装(可以一个可以多个)下面的论述中,ACTION(转换方式)都是以NAT为例.再综合网上其它的相关资料，以我现有的理解，和具体的试验,再作些补充：要做src-nat，除了指明协议\端口\转换成什么地址外,还要谈到是在那块网卡(接口)上做这个“源地址地址转换”。
比如，要让内网的电脑通过ros访问外网，那么就由与公网连接的网卡做snat，在添加src-nat 规则时，general页的out-interface就应选"外网卡",当然,用默认设置"all"也就包含了"外网卡",但这不利于理解src-nat理解了src-nat ,dst-nat就很好理解了,src-nat是ros将内网电脑发出的数据包的地址中的源地址进行转换然后发往外网,在数据包中,被转换的地址是源地址,所以叫源地址转换.而dst-nat则刚好相反,它是ros将公网发来的数据包的地址中的目的地址进行转换(当然这个目的地址就是ros的公网ip),然后发给内网的电脑,在数据包中,被转换的地址是目的地址,所以叫目的地址转换.同样,dst-nat除了指定转换后的地址外,也将涉及是在那块网卡(接口)上进行,例如,要将公网发给ros的a端口的数据包转给内网ip为b的c端口,那么设置好a\b\c的值后,在dst-nat规则general 页的in-interface里,应选择与b地址网段相连的网卡(接口),显然这是一块内网卡,当然,用默认设置"all"也就包含了这块"内网卡",但这不利于理解DST-nat到这里可以明白什么是端口映射了,它就是dst-nat中的一条转换规则.再来谈"回流",引用一段文字--"什么叫回流呢，就是当内网有服务映射到网关后,内网主机也可以用网关外部地址访问"由上面的定义可以清楚"回流"要完成的操作:1、内网电脑向ros发送目的地址为公网ip的数据包（当然这个IP就是ROS的公网IP）.2、ros通过源地址转换规则(SRC-NAT)中选定的A网卡(接口)将数据包地址中的源地址转换为公网IP(目的地址不变,仍为公网IP)3、ROS通过目的地址转换规则(DST-NAT)中选定的B网卡(接口)将数据包地址中的目的地址转换为内网地址,然后发给相应的内网电脑.但是问题来了,如果A网卡(接口)将数据包地址转换后就往公网发送,那么数据包就无法再回到路由器并转发给内网了.如果能让数据包不出路由器,在路由器内完成SRC-NAT和DST-NAT这两种地址转换,那么就可以实现回流了.呵呵,让A=B就可以实现了.就是说,添加一条SRC-NAT和一条DST-NAT规则,而这两条规则中所指定的网卡都是与内网相连的同一块网卡.ROS限速讲解[告诉你英文的意思是什么]一般我们用ros限速只是使用了max-limit，其实ros限速可以更好的运用。
ROS详解
而且需要修改/添加设定地址和路由,请使用以下几步描述.
注释
载入的设备是 NE2000 或兼容的 ISA 网卡你需要在/drivers 菜单下使用add 命令. 实例, 装入网卡的 IO 地址 0x280 和 IRQ
5, 输入完整的命令:
[admin@MikroTik] driver> add name=ne2k-isa io=0x280
password ------------改变密码
ping ----------------发送,回送ICMP数据包
port -----------------串行端口
quit ----------------退出控制
radius---------------Radius客户机设置
[admin@MikroTik] interface> enable 0
[admin@MikroTik] interface> enable ether2
[admin@MikroTik] interface> print
Flags: X - disabled, D - dynamic, R - running
[admin@MikroTik] driver> / 键入 \'/\' 从任一层返回基层的菜单
[admin@MikroTik] > interface /键入 \'interface\' 移动到接口这层菜单
[admin@MikroTik] interface> /ip /键入 \'/ip\'移动到IP这层菜单
undo----------------- 取先前的效果
ROS的一些解释
ROS的一些解释ROS 路由器的一些解释routeros防火墙功能非常灵活。
routeros防火墙属于包过滤防火墙，你可以定义一系列的规则过滤掉发往routeros、从routeros发出、通过routeros转发的数据包。
在routeros防火墙中定义了三个防火墙（过滤）链（即input、forward、output），你可以在这三个链当中定义你自己的规则。
input意思是指发往routeros自己的数据（也就是目的ip是routeros接口中的一个ip地址）；output意思是指从routeros发出去的数据（也就是数据包源ip 是routeros接口中的一个ip地址）；forward意思是指通过routeros转发的（比如你内部计算机访问外部网络，数据需要通过你的routeros进行转发出去）。
禁止ping routeros，我们一般需要在input链中添加规则，因为数据包是发给routeros的，数据包的目标ip是routeros 的一个接口ip地址。
（当然如果你硬是要在output里建立一条规则过滤掉icmp 信息也能做到ping不通，当你ping的数据包到达routeos时，routeos能接收这个数据包并做出回应，当routeros回应给你的包要发出去的时候会检查output的规则并过滤掉回应你的包。
）在每条链中的每条规则都有目标ip，源ip，进入的接口（in interface），非常灵活的去建立规则。
比如ROS禁止PING，禁止外网ping你routeros，只需要在in interface中选择你连外部网络的接口。
禁止内部ping的话可以选择连你内部网络的接口。
如果禁止所有的ping的话，那么接口选择all。
当然禁止ping 协议要选择icmp，action选择drop或reject。
另外要注意的就是，icmp协议并不是就指的是ping，而是ping 是使用icmp协议中的一种（我们ping 出去发送的数据包icmp协议的类型为8 代码为0，在routeros中写为icmp-options=8：0；而我们对ping做出回应icmp类型为0 代码为0），还有很多东西也属于icmp协议。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ros端口映射和回流详解
1、什么是端口映射
这里说的端口映射是路由器上的端口映射。
一般情况下，网络中路由器都有防火墙功能，互联网用户只能访问到你的路由器WAN口(接ADSL线口或是固定的外网IP地址)，而访问不了局域内部服务器或工作站。
要想让外面用户访问到局域网的电脑，那么就要在路由器上做一个转发设置，也就是端口映射设置，让用户的请求到了路由器后，能够转发到局域内部的机器上，例如游戏服务器或WEB服务器。
这就是端口映射。
在局域网中建建立一个CS服务器，IP地址为:192.168.0.235,端口为27015，此时在局域内部，如果要在外网上访问服务器，就要把192.168.0.235这台机器的27015端口通过路由器映射到外网。
除了CS服务外，其它的服务例如FTP、远程桌面等服务都可以将不同的端口映射出去，以便能在外网通过路由器来访问内网机器。
一般的路由器都带有端口映射功能，以下对目前使较多的ROS软路由的端口映射作一说明，并提出解决外网IP显示及回流设置。
2、ROS 2.96 的端口映射的设置
进入winbox,点击IP→ Firewall→Nat打开防火墙设置界面。
点击左上角红色的“+”号，添加一条dstnat规则，其中dst.address 填写你要映射的外网IP，本例为218.87.96.xxx(此处请填入您的外网IP),然后选择protocol协议为6，即TCP协议，设置Dst. port（目标端口）为80。
设置完成后如图1所示。
单击“Action”选项卡，在Action框中，选择“dst-nat” ，在“To.Address”框中填写内网提供服务的IP地址，本例为192.168.1.3,在“To.Port”填写内网提供服务的IP端口，这样基本映射就完成了，如图2所示，此时可以在外网中输入你的外网IP，即可看到内网192.168.1.3WEB服务器
上的网站了。
以同样的方法可以设置FTP和远程桌面。
注意这些服务的端口都是不一样的，例如你有两台内网WEB服务器，80端口已经用掉了，第二台便来能映射到80上了，但可以映射到其它没有使用过的端口上，例如81端口。
例如可以将内网192.168.1.4:80映射到外网218.87.96.xxx:81端口上。
这样就能在同一个外网IP访问两台内网WEB服务器了。
３、IP显示和回流问题解决
经过第二步的基本端口映射设置后，外部可以访问内网了，但存在一些不完善的地方，例如所有的外网访客的地址都是路由器的内网网关，本例为192.168.1.1，如图3所示。
这样就无法统计访客的来源，还有许多的不便，例如WEB中的论坛就无法屏蔽一些会员的IP了，因为大家都是192.168.1.1。
原因是这样造成的：为了使整个内网的所有机子共享上网，在设置ROS时，我们都要设置一条srcnat规则，Action设置为“Amasquerade”，Amasquerade是snat的一个特例,主要用在无固定ip网关的情况下,比如adsl拨号等,masquerade比nat效率低的原因是nat直接指出需要伪装的源地址,而masquerade需要伪装的源地址必须到默网关中寻找,masquerade永远以默认网关地址为ip伪装的源地址,所以首先效率慢了点,其次只能用在外网ip只有一个的情况,如果有多个wan接口就不能用masquerade，而只能用nat,因为nat可以手工指定多个需要伪装的源ip地址，而masquerade却只能找到一个地址,就是默认网关的地址。
由于NAT方设置较Amasquerade 复杂，加上现在大量的ROS教程都是以Amasquerade方式共享上网，所以目前在用的ROS大多数采用Amasquerade设置共享。
通过上面分析，我们可以看出为什么在端口映射后，外网访问的IP都成了内网网关，解决的方法有两种，一是改用nat方式，这种方式有局限性，只能用于固定IP的外网，若是ADSL则不能用；另一个方法是通过调整masquerade的设置来完成显示外网IP,具体操作如下，进入winbox,点击IP→ Firewall→Nat打开防火墙设置界面,双击原来建立的srcnat规则Amasquerade（用于共享上网），在“General”选项卡的“Out. Interface”选中“LAN”即内网网卡，单击将前面的小框，在框中出现“！”，单击“OK”完成此设置。
这样设置完成后，我们可以发现外网访客可以正常访问，而且IP显示也是正确的，但同时导致别一个问题，就是内网用户不能用外部ip访问映射的内部服务器,要按下面方法解决：再增加一条对内网的规则，Action设置为“Amasquerade”，在“General”选项卡中，设置Chain为“srcnat”,Src. Address为“192.168.0.0/21”由于本例中的内网有192.168.0、192.168.1、192.168.7等几个C类网段，所以在此将子网设置为21,也就是255.255.248.0，设置好后如图5所示。
一般的情况，只有一个网段时，例如192.168.1,可以设置子网掩码为24，即255.255.255.0,此处可以填写：192.168.1.0/24,可以根据自己内网情况作相对应的修改。
到此，内外网都能正常访问了且外网访客IP是正确的，此时内网用外网IP访问WEB时，显示的IP是内网网关地址，用这种方法可以实现内外网用户都用网关外部ip访问映射的内部服务,并解决了外部用户显示的ip不正确问题,当然这种方法内网用户显示的ip还是不正确的,要解决内网显示ip问题,可以在routeros中设dns服务器,用域名来访问,内网访问内网ip,外网访问外网ip就能完美解决。
我想我们主要是要知道外网的IP，内网的IP并不重要。
所以至此设置就可以算是完毕了。
下面说一回流的问题，其实所回流，就是将内网源地址为网段的所有机器对所有目标地址的需求全都进行源地址转换为外网IP，然后转发出去。
所有从外网回来的数据通过外网IP再回传到内网的机器，这样就保证了内网上网正常,但这样的效率下降到原来的50%,显然是不合算的。
对于Amasquerade来共享上网时，外网访问的IP显示还是内网网关，所以回流是不可取的。
虽不可取，我们也把方法写出来，供大家参考，添加一条srcnat规则，src.address写上内网的网络地址，请注意，不是主机地址,指提是网段，若内网IP是192.168.0.X网段并且子网掩码是255.255.255.0,那么就填写192.168.0.0/24,dst.address填写的是内网提供服务的主机IP protocol 协议和port 端口请参看本文前面的内容，Ａction选项卡还是选择src-nat to.address则填写映射的外网IP,port 端口。
经过以上设置算是完全搞好了。