请教各位老师，如何让外网用户正常访问内网服务！

[xfz916]

网络拓扑如下：

已做设置：
1、 防火墙R1上已做NAT,lan1所有用户均能正常上网。
2、 交换机为普通2层交换机，没有划分VLAN,LAN1为用户PC上网，LAN2为服务器，约5台。
3、 防火墙R2上已做NAT,lan2所有服务器能正常上网。LAN2下的服务器能PING通LAN1中的pc。
4、 防火墙R1上已做好端口映射，例如:
nat server 8 protocol tcp global interface GigabitEthernet0/0/1 7777 inside
192.168.1.99 3389（假设LAN2中有台服务器IP为192.168.1.99）
nat server 9 protocol tcp global interface GigabitEthernet0/0/1 25 inside
192.168.1.100 25
等等
5、 防火墙R1上除默认路由ip route-static 0.0.0.0 0.0.0.0 1.1.1.2（默认路由）外
新增了一条静态路由:ip route-static 192.168.1.0 255.255.255.0 192.168.0.249：

问题如下：1、LAN2中的服务器能PING通LAN1中的PC，但LAN1中的PC不能PING通LAN2中的服务器。是否是我静态路由设置有问题？
2、如何让外网用户正常访问LAN2中的服务？
3、R1为华为USG2205.R2为华为USG5310.
请各位老师、大神不吝赐教，谢谢！

[牛W牛]

單單看你的圖理解，
第1個問題：你lan1用戶要訪問服務器端，你必須在R2上做路由指向，你在R1上做有啥用？又不經過R1處理的？應該做一條ip route-static 192.168.0.0 255.255.255.0 192.168.1.0這樣一條路由，
至於第2個我的理解是，外網用戶需要使用VPN撥號進來，看你給外網用戶使用哪個網段，再在R2上做路由指向允許訪問服務器應該就可以了
我也是初學，不是很懂，這個是自己大概的看法，希望有用，如有不對見諒，謝謝

[xfz916]

谢谢回答，
1我去试试看，
2是这样的，以前这是两个外网段，现在需要合并，省掉一条光纤，没改之前用户访问服务直接用http://ip:端口，就能直接访问服务了，不用VPN拨号，改动后如图所示后，您的意思是说现在需要在R2上做端口映射，不用在R1上做，是么？但有个问题，不在R1上做映射，外网用户好像用http://外网IP:端口来访问吧，
总之，谢谢您的解答！

[amoisoft]

可以采用端口映射

[Destiny7number]

1.主网段是0段，1段由于用了nat是二级路由，相当于全部转换成0.249这个地址发给0.1 2.如果要实现0段和1段互通，需要将R2不用nat，用默认路由扔给0.1，R1写回执路由。 3.如果R2用nat，需要外部访问LAN2，需要做两次端口映射，第一次R2将服务器映射到0.249这个地址，第二次R1将0.249映射到公网地址 如果网络改成刚刚我写的第二条，可以R1将服务器直接映射到公网

[yugiant]

在边界路由器上做端口映射

[Lz__Heng]

端口映射 或者是边界路由上面做个VPN

[老麻雀在洞庭]

反向代理Nginx