打通内外网，到底是做双网卡、NAT 还是 VRRP？一文说透

号主：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部

这题又是实战里天天有人踩坑的经典：

“我想让一台服务器既能访问内网，又能上外网，咋搞？” “是插两个网卡？还是搞个 NAT？听说还有 VRRP 也能搞？”

其实很多人连问题都没搞清楚，就开始瞎配，最后不是访问异常就是默认路由打架。

一、先搞清楚：你到底是想“谁打通谁”？

不同业务需求，对“打通”的定义是完全不一样的：

场景一：内网服务器要访问公网（比如更新系统、连云服务）

→ 打通方向是 内网 → 外网

场景二：公网用户要访问内网服务（比如远程办公、公网访问私有接口）

→ 打通方向是 外网 → 内网

场景三：内外网同时访问同一台服务器（比如办公网与公网都调一套接口）

→ 这时候就涉及 双向访问 + 路由选路问题

明白这个，才能知道用哪个方案。

二、3 种方案到底各自干嘛用？

1. 双网卡：一台设备插两张网卡，连两个网段

适用场景：

• 某些服务器既要在内网接业务，又要连公网拉镜像
• 不想依赖 NAT，直接路由出网

优点：

• 简单粗暴，一边一张卡，走哪张卡就看路由表

缺点：

• 最容易出问题！默认路由冲突是大坑
• 一不小心公网数据走内网卡，全网都能 sniff 到你的访问
• 靠人写静态路由，一改 IP 路由全错

实战建议：

• 一定要配静态路由清清楚楚

  route add 0.0.0.0/0 gw 公网网关 dev 公网网卡
  route add 内网段 gw 内网网关 dev 内网网卡

• 不建议让“非专业”系统搞这个，太容易误配置

2. NAT（源地址转换/目标地址转换）

适用场景：

• 内网设备访问公网
• 公网访问通过端口映射进入内网服务器

优点：

• 安全性高，内网 IP 不暴露
• 路由简单，只有默认路由通向 NAT 网关即可

缺点：

• 会引入连接数限制、状态表溢出风险
• 对某些协议（SIP、FTP）要特殊处理
• 内网服务开放给公网，要配 DNAT（目标地址转换）规则

实战建议：

• 最稳搭配：出口路由器 + SNAT内网设备统一出 NAT，不需要配静态路由

• 要公网访问内网服务？配 DNAT + 安全策略

  ip nat inside source static 192.168.1.10 123.123.123.10

3. VRRP（虚拟路由冗余协议）

适用场景：

• 高可用网关、主备切换、出口冗余
• 不负责打通，而是保证网关不中断

优点：

• 主路由挂了自动切备
• IP 是“浮动的”，设备无感知切换

缺点：

• 不是用来打通内外网的手段！
• 很多人误解 VRRP 可以实现“自动内外通”，其实它只是搞网关冗余

实战建议：

• 打通 + 高可用？NAT + VRRP 一起用比如两台防火墙做 VRRP，高可用出口，内网照样 NAT 出网

三、实际场景怎么选？

四、别再用错工具了：打通是路由问题，不是冗余问题

很多人听说 VRRP 就一股脑想用它解决所有问题，但别忘了：

★ VRRP ≠ 路由打通 ≠ NAT  ≠ 安全策略

真正在企业网里搞“内外网打通”，你该关注的是：

• 地址规划：内外是否冲突？是否重叠？
• 路由策略：数据怎么走？默认路由是谁？
• 访问控制：哪些端口放行？公网能访问谁？
• 高可用性：设备挂了能不能切？

VRRP 是为了解决单点网关问题，不是“能不能上网”的解决方案。

最后送你一个经典实战配法（最稳组合）：

★ 内网设备访问公网：

• 出口设备做 SNAT
• 配默认路由指向 NAT 网关
• 出口设备双机做 VRRP，保障高可用

★ 公网访问内网服务：

• 申请公网地址做 DNAT
• 安全策略限源 IP+端口
• 出口双机同样上 VRRP，提高可用性