# 思科路由器上配置端口映射只允许特定IP访问

明白 ✅，你是要在 **Cisco 3945 路由器** 上做 **NAT 端口映射 (外网 → 内网)**，并且加 **访问控制**，只允许 `122.144.131.26` 访问。

内网服务器：

- IP：`192.168.0.5`
- 端口：`389`

外网：

- 公网映射端口：`44389`
- 允许访问的公网 IP：`122.144.131.26`

---

## 配置步骤

### 1. 定义 ACL，限制访问源 IP

```cisco
ip access-list extended LDAP-ACCESS
 permit tcp host 122.144.131.26 any eq 44389
 deny   ip any any

```

这里：

- 只允许源 IP `122.144.131.26` 访问本路由器的 `44389` 端口
- 其他来源一律拒绝

---

### 2. 配置 NAT 静态端口映射

假设路由器的公网接口是 `GigabitEthernet0/0`，公网 IP 是 `X.X.X.X`：

```cisco
ip nat inside source static tcp 192.168.0.5 389 interface GigabitEthernet0/0 44389

```

作用：

- 把 **外网 X.X.X.X:44389** 转发到 **内网 192.168.0.5:389**

---

### 3. 接口应用 ACL

在公网出口接口（例如 `GigabitEthernet0/0`）入方向应用 ACL：

```cisco
interface GigabitEthernet0/0
 ip access-group LDAP-ACCESS in

```

---

## 配置汇总

最终配置大致如下：

```cisco
ip access-list extended LDAP-ACCESS
 permit tcp host 122.144.131.26 any eq 44389
 deny   ip any any

interface GigabitEthernet0/0
 ip address X.X.X.X 255.255.255.0
 ip nat outside
 ip access-group LDAP-ACCESS in

interface GigabitEthernet0/1
 ip address 192.168.0.1 255.255.255.0
 ip nat inside

ip nat inside source static tcp 192.168.0.5 389 interface GigabitEthernet0/0 44389

```

---

## 验证

1. 从允许的公网 IP 测试：

```bash
telnet X.X.X.X 44389

```

应能连接成功。

2. 从其他公网 IP 测试应被拒绝。

---

要不要我顺便帮你写一个 **完整的安全加固配置（比如限制最大连接数、防止暴力破解）**，这样你的 389/44389 服务就更安全？