內部NAT回流問題分析實作

在虛擬IP的環境下，routeros裡區網中有一台WEB伺服器也是虛擬ip，外部要經過wan 的public ip 訪問這台web server主要做兩步驟，也就是在ip=>firewall=>nat裡加兩條規則即可，第一針對此台web server ip作src-nat，此時web server已經可以對外通訊，出去的ip為ros中的對外public ip；第二欲讓外部ip訪問此台server則必須做Dst-nat將ros上的public ip映射80 port到此台server。
以上兩規則所指定的界面都是wan介面，基本上沒什麼問題。

但是欲實現區網Client透過此台pubic ip訪問區網中web伺服器，則必須做NAT回流，在此必須先分析一下觀念，設定起來才比較清楚。請先看下圖....

如上圖，黃色虛線即是錯誤通訊，客戶機經router os公網ip欲回到本身同區網訪問web server，也是加兩條規則即可，第一針對客戶機對區網作src-nat但是"out-interface要指定routeros裡的內網介面"；第二針對server作dst-nat並"in-interface要指定routeros的內網介面"，說簡單一點就是對外通訊的兩條nat規則除了介面不同其他設定值一樣。

這裡有一個重要觀念就是在routeros中要將nat分成外網跟內網才不會造成錯誤通訊。撇除介面在將routeros的公網跟內網ip想成都是屬於routeros並針對介面不同去做設定。

以下在分享從網路找到的兩張圖，參考看看

參考資料：
http://ewangsoft.blog.163.com/blog/static/7721558220105581734591/
http://ewangsoft.blog.163.com/blog/static/77215582201062361238621/