【系统集成】linux和windows的路由转发

B网络的防火墙是hillstone的E系列山石下一代防火墙，我在这台防火墙上配置了开放b服务器所有资源权限的终端到站点的SSL-VPN；

然后A网络的a服务器，通过hillstone的sc-vpn客户端，登录VPN，使其可以访问B网络的b服务器；

这里值得一说的是，正常情况下，sslvpn是客户端到站点拨号连接，也就是单方面的访问资源，但事实上，特殊情况下两边是可以互相通信的。

这一案例中，hillstone的sslvpn，会给a分配一个ip比如为192.168.1.10，网关是192.168.1.1，虚拟网卡；

而a服务器本身有一个ip：192.168.2.10，b服务器ip则为192.168.3.10，网关是hillstone防火墙192.168.3.1。

如此，我a服务器使用1.10这个ip便可以互相访问b服务器3.10，类似于直连间路由。

但是b服务器访问不了a服务器的2.10这个ip；这个时候就需要在hillstone防火墙上添加一条vpn的路由策略，即隧道间路由，到2.0网段的数据路由走192.168.1.1；

但是这个时候，我发现b仍然访问不了a的2.10的ip，这是为什么呢？

百思不得其解，想到为什么a可以访问b的3.10，因为vpn隧道形成了类似于直连网络，可以直接路由通信。

但是为什么反过来就不行了呢？192.168.2.10和1.10都是a服务器上的ip，为什么只能通其一不能通其二。

因为无法路由，服务器没有开启tcp/ip协议的路由转发功能。

是不是豁然开朗，今天的重点来了，在windows服务器a上开启路由转发功能，从而实现a的2.10和b的3.10互相通信。

毕竟1.10和1.1是vpn隧道的两端交点ip，一般不做为服务监听ip使用哦。

并在此基础上，我在A网络的另外一台服务器c上ip为192.168.2.11，配置一条路由，访问b服务器的网关是192.168.2.10。

便可实现，c和b服务器的互相通信，这个不难理解。

当然任何一个网络的配置，都要受当下网络架构和设备的影响，应看具体情况来规划配置。

在本案例中，需求就是让a和b，c和b之间互相通信，方法有很多，有时候就是灵机一动的问题，你还不要不信，想到了很简单，但是一般是想不到的，就会觉得难。所以在维护工作中，一定不能不假思索的处理一些事情，多想多看多请教，除非是很有把握的事情。当然很多工作中也是有严格要求的，并不能让我们为所欲为的搞一下，在这个案例中让其两边市场购买专用的vpn设备，配置ipsec这种站点到站点的vpn最为稳妥和提倡的。因为在大型网络中你配置的越多维护和交接越困难，出问题也更难排查。

注意，事实上这个时候已经可以实现路由转发功能了，但某些时候可能还受限一下本地网络策略影响，具体针对；

当然有必要我们也可以配置服务器管理里面的功能角色：路由和远程访问、有兴趣的可以研究研究。

注意这里启用的是路由间转发功能，是有别于系统本身外出访问配置的静态路由的，不要有疑惑哦。

比如上面我们说到，另外一台服务器c-2.11，需要和b通信，中间经过a的路由转发，则需要在c上添加一条默认路由；

C:\Users\Administrator>route add -p 192.168.3.10/32 192.168.2.10
 操作完成!
C:\Users\Administrator>route print
===========================================================================
永久路由:
 网络地址 网络掩码 网关地址 跃点数
 0.0.0.0 0.0.0.0 192.168.2.1 默认
 192.168.3.10 255.255.255.255 192.168.2.10 1
===========================================================================

这里“-p”是永久添加的意思，当然这里c是widnows服务器，如果是linux服务器则怎么办呢？

[root@Moni ~]# route add -host 192.168.3.10 gw 192.168.2.10

当然linux中命令添加路由只是临时的重启则失效，windows和linux有关默认路由的配置可以参考以下博文：

【系统集成】win、linux系统添加静态路由