![ADSL 设备提供无 NAT DMZ 和 NAT(IPv4)](https://linux22.com/image/1406460/ADSL%20%E8%AE%BE%E5%A4%87%E6%8F%90%E4%BE%9B%E6%97%A0%20NAT%20DMZ%20%E5%92%8C%20NAT%EF%BC%88IPv4%EF%BC%89.png)
我有一个可执行 NAT 的 ADSL 调制解调器/路由器/交换机。它甚至对可配置为提供 DMZ 的一台主机执行此操作。
我希望能够从特定主机执行 Nmap 扫描,并且该主机不应发生 NAT。目前我无法在 NAT 后面执行的操作之一是nmap --traceroute
使用除 ICMP 之外的任何操作。同时,我希望网络上的其他主机位于 NAT 后面。我的 ISP 为我分配了一个 IPv4 地址,但我认为,作为企业客户,我可以请求一个额外的地址。
从技术上来说,设备是否能够提供此类功能?是否有一类设备可以提供此功能?
补充:为什么 nmap --traceroute 不起作用
以下工作按预期进行:-
nmap -sP -PE --traceroute scanme.nmap.org
TRACEROUTE (using proto 1/icmp)
HOP RTT ADDRESS
1 16.00 ms my.router (192.168.1.1)
2 55.00 ms lo0.10.central10.ptn-bng01.plus.net (195.166.128.228)
3 42.00 ms irb.10.ptw-cr02.plus.net (84.93.249.2)
4 37.00 ms 10gigabitethernet5-1.core1.lon1.he.net (5.57.80.128)
5 33.00 ms 10ge3-1.core1.lon2.he.net (72.52.92.222)
6 100.00 ms 100ge1-1.core1.nyc4.he.net (72.52.92.166)
7 183.00 ms 10ge9-7.core1.sjc2.he.net (184.105.213.197)
8 179.00 ms 10ge3-2.core3.fmt2.he.net (184.105.222.13)
9 176.00 ms router3-fmt.linode.com (65.49.10.218)
10 168.00 ms scanme.nmap.org (74.207.244.221)
Nmap done: 1 IP address (1 host up) scanned in 5.58 seconds
这没有按预期工作:-
nmap -sP -PS80 --traceroute scanme.nmap.org
TRACEROUTE (using port 80/tcp)
HOP RTT ADDRESS
1 ... 9
10 166.00 ms scanme.nmap.org (74.207.244.221)
Nmap done: 1 IP address (1 host up) scanned in 6.15 seconds
我对此的理解是,my.router 丢弃了来自中间跳的 ICMP 超时消息,我认为这是因为 my.router 期望 TCP 响应其 NAT 表中的 TCP 条目,并认为 ICMP 响应无效。
(我在网络工程中提出了这个问题的原始版本并建议在这里询问)
答案1
IPv4 NAT(准确地说是 SNAT/MASQUERADE)无法在网关模式下关闭。这是消费级互联网网关设备的基本操作模式。
如果可能的话,您必须切换到桥接模式,并从您选择的主机使用 PPPoE 拨号。这样,所选主机(并且只有此主机)将拥有不受过滤的互联网访问权限。
您不会获得额外的地址,这通常是商业合同的一个特点。您的路由器可能无论如何都无法处理它。
被称为 DMZ 的主机实际上是“暴露主机”。它基本上将所有传入端口转发到此主机。当然,这实际上不是 DMZ。