WatchGuard，外部IP，不同端口

Question

我有很少的外部IP地址，但我想使用一个，和NAT到它不同的个人电脑。

应该是这样的。

123.123.123这是我的IP，我想在不同端口上安装3台PC，例如3111,3112,3113。

我知道如何NAT内部端口，但我不知道如何设置，我可以连接到那个IP与RDP在这些端口。

123.123.123.123:3111 -> 10.10.10.101
123.123.123.123:3112 -> 10.10.10.102
123.123.123.123:3113 -> 10.10.10.103

有什么想法吗？我认为这可能与SNAT有关(但在外部IP上没有设置端口)，或者有策略吗？

对不起，我的留言太乱了，我希望你能理解我的意思。

诚挚的问候

Answer 1

实际上，WatchGuard上的SNAT被分成两部分，以使它更易于使用。但是，这会导致理解用户在一步内处理SNAT的设置方面出现问题，这些用户习惯于使用解决方案。

第一步是SNAT操作。它们只定义了外部2内部IP地址转换和您想要转换到的内部端口的不同组合。这只是一张你像化名一样设置的可能性列表。除非在防火墙规则中使用它们，否则它们都是活动的。

对于RDP连接，可以设置如下的SNAT操作：

Name: Ext_123-RDP_101
SNAT Members: 123.123.123.123 -> 10.10.10.101:3389 

Name: Ext_123-RDP_102
SNAT Members: 123.123.123.123 -> 10.10.10.102:3389 

Name: Ext_123-RDP_103
SNAT Members: 123.123.123.123 -> 10.10.10.103:3389 

这就是翻译部分。接下来，您需要设置防火墙规则。因为保留开放的RDP端口从来都不是明智的，所以我会使用属于组‘leave’的经过身份验证的用户(通过https://firewall_IP:4100对他们进行身份验证)。

您将需要3条规则，它们将使用您已经定义的SNAT操作。由于端口3111-311x没有标准服务，因此您将创建一个名为SNAT的自定义模板，并添加TCP端口范围3111-3113，然后根据该模板创建3个新的防火墙规则。

Name the new rules something like 'RDP-IN-101', 'RDP-IN-102' and 'RDP-IN-103'

'RDP-IN-101':
In the FROM: field put the authenticated users name (if it is for the access to his own PC) 
       or the 'Allow-RDP' groupname (if it is for the access to a shared computer).
In the TO: field put the Ext_123-RDP_101 SNAT Action

'RDP-IN-102':
In the FROM: field put the authenticated users name (if it is for the access to his own PC) 
       or the 'Allow-RDP' groupname (if it is for the access to a shared computer).
In the TO: field put the Ext_123-RDP_102 SNAT Action

'RDP-IN-103':
In the FROM: field put the authenticated users name (if it is for the access to his own PC) 
       or the 'Allow-RDP' groupname (if it is for the access to a shared computer).
In the TO: field put the Ext_123-RDP_103 SNAT Action

要对发生的情况有一定的控制，还应该打开这些规则的日志记录。

但仅此而已。上传到FB和享受。

在这种情况下，SNAT操作并不是真正的简化。但是，如果您有一些更通用的SNAT，例如对于某个服务器，您只需要为所有规则提供一个“可重用”的SNAT操作，即从一个外部IP地址连接到该服务器。当端口转换加入游戏时，SNAT操作不是‘可重用的’，所以您看不到它的好处。

Answer 2

如果我正确地理解了您，如果您想使用RDP访问这些内部服务器，您需要执行以下操作：

123.123.123.123:3111 -> 10.10.10.101:3389
123.123.123.123:3112 -> 10.10.10.102:3389
123.123.123.123:3113 -> 10.10.10.103:3389

RDP使用TCP/UDP 3389端口，您可以通过在Watchguard中对端口转发执行NAT来实现这一点。读这个：https://en.wikipedia.org/wiki/Remote_桌面_协议

见这里的说明：

配置静态NAT

如何在Watchguard XTM 2上配置端口转发？