Topología: Tráfico entrante > Módem > Enrutador > Conmutador > Resto de la red En esta imagen, observe IEAS-FILESVR, el tráfico entrante va al módem/enrutador "IEASOFFICE" al conmutador, al FILESVR a través de los puertos abiertos, pero debido a Doble conflicto de NAT entre el módem y el enrutador, los puertos no se pueden abrir.
Se configura una DMZ en la página de configuración del módem, lo que permite que el enrutador aparezca como la IP WAN del módem fuera del firewall. Con esto habilitado o deshabilitado, los puertos aún permanecen cerrados. NAT en sí está habilitado tanto en el módem como en el enrutador, ya que cuando están deshabilitados en cualquiera de ellos, se pierde la conexión a Internet.
El módem (ActionTec R1000H) lo proporciona el ISP y no se puede reemplazar, ya que no admite ningún módem que no sea suministrado por el ISP, y el enrutador en cuestión es el TP-Link TL-ER604W.
En la pestaña "Reenvío de puertos" del módem, los puertos 443 y 80 están abiertos en la IP de IEAS-FILESVR, el ISP no bloquea la apertura de estos puertos, cuando se utiliza una herramienta de verificación de puertos en línea, el puerto 23 es el único que parece abierto y en ninguna parte se le indica que se abra. En la sección "Activación de puertos" de TP-Link, los puertos 443 y 80 se activan para abrirse cuando reciben tráfico entrante.
Se intentó resolver este problema utilizando una red PPPoE entre el módem y el enrutador, pero fracasó. Los cortafuegos se han desactivado para ver si causan o contribuyen al problema.
¿Cómo se puede solucionar este doble NAT entre el módem y el enrutador? Como deshabilitar NAT en uno u otro no funciona.
Respuesta1
Con la ayuda de Paul, encontré el problema. La puerta de enlace de ActionTec y el enrutador fueron la causa del doble NAT (obviamente), así que puse el enrutador en la DMZ de ActionTec, para que todo, desde el enrutador, se reenvíe a ActionTec. Aunque puede que esta no sea la mejor o más organizada solución, hizo lo que se suponía que debía hacer. Quitar el enrutador por completo era otra opción, pero debido a los servidores DHCP y las configuraciones de Ethernet ya establecidos en el edificio, eso causaría mucho dolor.