公网ip查询

CiscoASAHairpinning解决内网使用公网IP访问内部的服务器

ASA防火墙内网PC通过公网IP访问DMZ区服务器

此问题在以前的华三防火墙上也有遇到过，这次是在cisco防火墙上，因为彭博自建行情那个地址需要这么转换。就在网络上抄一下，

按照下面的配置即可。

说来挺拗口，是大部分人都会遇到的问题。特别是没有使用单独的DMZ区对外发布服务器的人必须面对的问题。

情景说明：

通过CiscoASA5520防火墙，使用公网IP8.8.8.8（outside），发布了一台WEB服务器，其私网IP是192.168.1.8(inside)。

希望实现的目标：

公司内部(位于inside)用户计算机，想使用公网IP8.8.8.8（或解析成公网IP的域名）访问这台（位于inside）WEB服务器。

默认情景下，公司内部inside计算机无法通过公网IP访问到这台inside服务器。因自驾游路线查询 为思科的防火墙不允许inside进来的流量，未经其

它接口出去而直接从inside返回（会被ASA直接丢弃）。

为实现在公司内部(inside)也能使用公网IP访问同样在inside的这台WWW服务器，思科至少有几种做法：

一是Alias+staticNAT，配置别名。

原理就是内部的计算机到外部进行DNS查询时，ASA根据别名配置，将返回的公网IP替换成私网IP，这样其实内部计算机直接使用私

网IP访问WWW服务器。（可以使用ping域名查看返回的IP地址进行验证）

二是DNSDoctoring+staticNAT。

原理同Alias，是更新版本IOS的功能。在7.0以上的版本中已不推荐使用Alias（若使用了Alias，则ASDM会提示不支持Alias而无

法加载配置）。

三是Hairpinning+staticNAT。

原理是允许inside进来的流量，未经乳香精油的功效与作用 其它接口出去而直接从in立春的特点 side接口返回。

相关的命令是：same-curity-trafficpermitintra-interface俗称：Hairpinning

为此花了两天时间琢磨了一下，才发现要7.2及以后的IOS版本才支持Hairpinning。晚上将ASA零食广告 5520从7.0顺利升级到8.2，

Hairpinning配置成功。

Hairpinning相关配置如下：

1、same-curity-trafficpermitintra-interface

!---启用Hairpinning功能，允许流量直接原路径返回。

2、nat(inside)1192.168.100.0255.255.255.0

!---为内网用户访问公网定义NAT。

3、global(outside)1interface

!---为内网用户访问公网定义global地址。

4、global(inside)1interface

!---为内网用户使用Hairpinning访问内部服务器定义global地址。

5、static(inside,outside)8.8.8.8192.168.1.8netmask255.255.255.255

!---使用StaticNAT映身一台服务器，公网IP8.8.8.8，内网IP192.168.1.8。

6、static(inside,inside)8.8.8.8192.168.1.8netmask255.255.255.255

!---为Hairpinning流量返回路径定义NAT映射：8.8.8.8---->192.168.1.8。

7、access-listoutside_access_inextendedpermittcpanyhost8.8.8.8eq80

!---配置ACL对外发布WWW服务，端口为80。

8、access-groupoutside_access_inininterfaceoutside

!---将ACL应用到外部接口。

只需红色所示的三条语句，就可实现在内网使用公网域名或公网IP访问内部服务器了。

ASA_8.4后续版本的配置案例：

-----------------------------------------------------------------------------------------

same-curity-trafficpermitintra-interface

objectnetwork10.40.0.0

subnet10.40.0.0255.255.0.0

nat(inside,outside)dynamic220.163.130.27

objectnetwork10.40.20.35_9000_to_9000

host10.40.20.35

nat(inside,outside)static220.163.130.6rvicetcp90009000

objectnetwork10.40.20.35_9000_to_9000_flowback

host10.40.20.35

nat(inside,inside)static220.163.130.6rvicetcp90009000

objectnetwork10.40.0.0_flowback

subnet10.40.0.0255.255.0.0

nat(inside,inside)dynamicinterface

access-list10extendedpermittcpanyhost10.40.20.35eq9000

-----------------------------------------------------------------------

NAT的一些匹配情况：

cis小儿推拿退烧的手法 coasa(config)#shnat

AutoNATPolicies(Section2)

1(inside)to(outside)sourcestatic10.40.20.35_9000_to_9000220.163.130.6rvicetcp90009000

translate_hits=0,untranslate_hits=0

2(inside)to(inside)sourcestatic10.40.20.35_9000_to_9000_flowback220.163.130.6

translate_hits=2,untranslate_hits=91

3(dmz)to(outside)sourcestatic172.16.0.2220.163.130.12

translate_hits=101,untranslate_hits=226

4(inside)to(outside)s园林设计 ourcedynamic10.40.0.0220.163.130.27

translate_hits=143,untranslate_hits=220

5(inside)to(inside)sourcedynamic10.40.0.0_flowbackinterface

translate_hits=94,untranslate_hits=0