问题请教：请大师给予解决方案，谢谢啦

bbkfeng

应该放在10.115.238.39上,外网再通过用花生壳的内网穿透.

yunnanyaic

个人经验之谈，望对楼主有点帮助！
准备工作：
1、增加一台Juniper硬件防火墙+路由器（普通型号即可，一般2500~3500元左右的，企业已经用固定IP专线，应该不会为投入硬件防火墙+路由器而纠结吧）；
2、堡垒主机上安装免费版TeamView进行远程管理（可选，如果要用手机远程管理的话）。
实现方法：
1、将公网固定IP配置到Juniper的WAN口，先开通全网段内、外网所有协议的访问；
2、硬件防火墙上配置企业内网网段为安全区，其他网段为非安全区，然后设置策略：A允许安全区网段访问非安全区网段的所有端口和协议（在此若要做带宽限制和访问控制请自定义就行）；B允许非安全区网段访问安全区网段中的自定义端口和协议；
3、建议MySQL数据库安装在单独的内网服务器网段（手动配置服务器IP，便于管理识别），企业用户则在另一网段中（防火墙非安全区定义中启用DHCP自动分配IP），通过硬件防火墙策略控制以便提高服务器网段的安全性，即：安全区内网服务器网段和企业用户网段可以双向互访，或者更严格的访问服务器策略；
4、硬件防火墙开通DMZ端口，访问权限配置给你的堡垒主机用于远程管理，当然也可不开通DMZ，只配置策略：允许非安全区网段访问堡垒主机上TeamView对应的端口、协议；
5、外网访问MySQL数据库无非就是多加条策略，即：允许非安全区网段访问MySQL数据库内网安全区网断的端口和协议。
最后记得定期审计防火墙的安全日志

补充：
1台Juniper硬件防火墙+路由器，1~2个WAN口，4~6个LAN口；
1WAN固定IP，另1口备用，1LAN配置DMZ或直接接堡垒主机，1LAN接内网服务器网管交换机，1LAN接内网企业用户网管交换机
2台24口或48口可网管交换机；
1台接内网服务器，1台接内网企业用户，不够再加

wallyhost

如果端口映射的话，要改成10.115.238.39吧，如何改，只能改IP最后一段数字。

wallyhost

bbkfeng 发表于 2016-11-24 14:12
应该放在10.115.238.39上,外网再通过用花生壳的内网穿透.

我将当期的情况和我的需求，打电话给花生壳客服，打了两次，他们说不可行，花生壳实现不了。

wallyhost

不好意思，是我描述不够清楚。
刚才证实了，局域网所有端口都没开放，通过代理服务器可以上外网的。这样的话，估计就更没戏了吧。

wangxiao13611

我只想说，只开80端口还想有其他需求，实在是太难了....

jiangchuankyo

十分不建议用花生壳,我用过,它的内网穿透愿你实际上就是VPN服务器转发而已,也就是说别人访问你网的所有数据都是需要通过去它花生壳的网站服务器转一圈再给你转发过来,那速度你受得了,而且是会占用它们公司网络带宽流量的,所以会涉及到流量限制,同一时间最大连接数限制,带宽限制等等....
数据库最好是放在网站的同网络下最好是直接放本机,否则读取速度会很慢....
放在内网IP的话要银映射外网IP的1433端口到你数据库使用那的台内网电脑上