Question

设置dmz主机后外网依然不能访问内网FTP服务器

内网有一台台式机，设置的固定IP地址是192.168.100.110，路由器DMZ主机的IP地址就是台式机的IP地址，路由器wan口的地址是192.168.1.2，局域网几台电脑访问FTP://192.168.100.110都可以，就是外网没法访问，serv-u也设置了外网IP。用笔记本连手机热点访问ftp://192.168.1.2:21，访问不了，用flashfxp5访问显示连接超时，也是访问不了，求哪位大神能远程协助一下，设置两天了还没弄好，十脸懵逼。

Answer 1

根据路由器A wan地址192.168.1.2推断，此路由器上端还有另一个路由器B，LAN地址192.168.1.1，如果路由器B的Wan地址是公网地址x.x.x.x，还需要在路由器B上开启DMZ指向192.168.1.2，或者端口映射x.x.x.x:21--192.168.1.2:21。然后外网访问时输入ftp://x.x.x.x即可指向192.168.1.2，路由器A会再指向192.168.100.110完成访问。
笔记本连接手机热点访问ftp：//192.168.1.2：21访问不了需要确认手机网络位置。可以先运行ping命令检测下是否能到达192.168.1.2这个地址。只有处于192.168.100.0和192.168.1.0网络的终端才可以通过ftp://192.168.1.2:21访问到ftp服务器192.168.100.110
另外建议使用和dmz主机不在同一局域网的pc测试公网ip端口是否开放。例手机开启4G，和热点，笔本连接手机热点，然后win+r，输入cmd进入命令行，输入命令 telnet x.x.x.x 21 回车。x.x.x.x是你的公网地址。若笔记本没开启telnet功能，请到控制面板，添加卸载应用程序，左侧添加windows功能，找到telnet客户端，前面打勾。之后在测试21端口。

追问

路由器B就是天翼光猫，天翼光猫好像设置不了DMZ吧？只有一个端口映射。天翼光猫是能看到公网IP的，是在光猫上做端口映射到路由器的192.168.1.2地址吗？还是映射到内网FTP的IP地址？请大神解答下。

追答

映射到192.168.1.2做端口映射即可

追问

我看到光猫里有端口映射这个功能，然后我用光猫做端口映射，映射地址是公网地址，现在外网能访问了，显示连接成功，但是显示目录错误，目录出不来，也看不到文件，用户名是管理员，有最高权限，应该不是用户名权限的问题，这个怎么解决啊大神。

Answer 2

你有公共IP吗？还是通过花生壳实现访问。192的都是局域网IP。外网肯定访问不了，除非有VPN

追问

有公网IP，特地打电话改成了公网IP，我买了花生壳内网穿透，添加了映射，还是不行，就是不能访问，这到底是什么鬼，大神请帮忙指导一下。

Answer 3

1.配置地址和区域
2.配置域间包过滤策略
[SRG]policy interzone dmz untrust inbound
[SRG-policy-interzone-dmz-untrust-inbound]policy 0
[SRG-policy-interzone-dmz-untrust-inbound-0]policy destination 192.168.1.2 0
[SRG-policy-interzone-dmz-untrust-inbound-0]policy service service-set ftp
[SRG-policy-interzone-dmz-untrust-inbound-0]action permit
3.配置NAT server
[SRG]nat server protocol tcp global 2.2.2.1 ftp inside 192.168.1.2 ftp
4.配置NAT地址池
[USG]nat address-group 1 192.168.1.10 192.168.1.20
5.在dmz和untrust域间应用NAT ALG
[SRG]firewall interzone dmz untrust
[SRG-interzone-dmz-untrust]detect ftp
6.创建DMZ和Untrust域间NAT策略
[SRG]nat-policy interzone untrust dmz inbound
[SRG-nat-policy-interzone-dmz-untrust-inbound]polic 0
[SRG-nat-policy-interzone-dmz-untrust-inbound-0]policy source 2.2.2.0 0.0.0.255
[SRG-nat-policy-interzone-dmz-untrust-inbound-0]address-group 1
[SRG-nat-policy-interzone-dmz-untrust-inbound-0]action source-nat

追问

有点复杂，能详细解答下么？

Answer 4

1.家庭宽带，如果小区是一个大的局域网，你怎么穿透？
2.使用花生壳，蒲公英等内网穿透，可以解决此问题
3.如果只是设置了路由器，没做端口映射，那你这个肯定没用
4.希望可以帮助你，请采纳，谢谢

追问

公司宽带，购买了花生壳内网穿透软件，添加了映射，花生壳自诊断端口，域名都正常，用手机开热点，笔记本连接手机热点访问内网的FTP服务器，打不开，没有任何提示。访问的就是花生壳自己生成的外网访问域名。

追答

要加你的端口

Answer 5

那个是路由端口镜像的，需要重设

追问

哪个需要重新设置？DMZ吗？设置DMZ主机后不是默认所有端口全开吗？不用再设置虚拟服务器了吧？