網(wǎng)管在做遠程技術支持的時候，需要連接到客戶的內網(wǎng)或者路由器。對于有公網(wǎng)IP的網(wǎng)絡，可以直接通過公網(wǎng)IP或者動態(tài)域名去訪問。由于現(xiàn)在運營商很多都只給內網(wǎng)IP，使得遠程技術支持必須要做內網(wǎng)穿透才可以。所以很多網(wǎng)管在做網(wǎng)絡維護的時候，還需要給用戶安裝FRP或者NPS的內網(wǎng)穿透服務，增加了維護的成本和復雜性。
在本文中，我將介紹如何通過SD-WAN的方式來給客戶提供遠程網(wǎng)管服務。SD-WAN和其他方式相比，可以自動尋址穿透，無需公網(wǎng)IP，也無需云主機轉發(fā)。具體步驟如下：
1. 創(chuàng)建SD-WAN網(wǎng)絡
關注“笨驢信息”的公眾號，然后在菜單中點擊“SD-WAN”進入SD-WAN的配置功能。
添加技術支持的網(wǎng)絡。
2. 把客戶端加入SD-WAN網(wǎng)絡
需要配置客戶的網(wǎng)關設備，把其加入到上一步中創(chuàng)建的“網(wǎng)管技術支持”網(wǎng)段。如圖：
3. 遠程維護終端
網(wǎng)管用來做遠程維護的終端電腦、手機，也需要添加到該網(wǎng)絡中。
通過上述步驟，網(wǎng)管人員就可以從外網(wǎng)直接訪問客戶的網(wǎng)關了。
4. 配置防火墻規(guī)則
默認設置下，各個SD-WAN終端之間是可以互通的。多個客戶時，我們還需要配置SD-WAN的防火墻規(guī)則，只允許網(wǎng)管去訪問客戶，而不允許客戶之間的互訪。
首先要合理規(guī)劃客戶的網(wǎng)段，舉例來說：
假設SD-WAN的網(wǎng)段是10.188.190.0/24（10.188.190.1-10.188.190.254）
我們可以把10.188.190.129/25（10.188.190.129-10.188.190.254）分給客戶（SD-WAN平臺中手動給客戶分配這個范圍的IP地址）。
把10.188.190.1/25（10.188.190.1-10.188.190.127）分給維護終端（SD-WAN平臺中手動給網(wǎng)管分配這個范圍的IP地址）。
然后就可以通過防火墻規(guī)則來禁止客戶之間的互訪。如下圖：
規(guī)則的內容是：
[{"ip":"10.188.190.128/25","not":false,"or":false,"type":"MATCH_IPV4_SOURCE"},{"ip":"10.188.190.128/25","not":false,"or":false,"type":"MATCH_IPV4_DEST"},{"type":"ACTION_DROP"},{"type":"ACTION_ACCEPT"}]
含義是阻止從"10.188.190.128/25"到"10.188.190.128/25"的通訊。從而就禁止了客戶之間的互訪，只有從網(wǎng)管網(wǎng)段才可以訪問到客戶網(wǎng)段。
