admin管理员组

文章数量:1567739

2024年6月4日发(作者：)

Cisco ASA Hairpinning解决内网使用公网IP访问内部的服务器

ASA防火墙内网PC通过公网IP访问DMZ区服务器

此问题在以前的华三防火墙上也有遇到过，这次是在cisco防火墙上，因为彭博自建

行情那个地址需要这么转换。就在网络上抄一下，按照下面的配置即可。

说来挺拗口，是大部分人都会遇到的问题。特别是没有使用单独的DMZ区对外发布

服务器的人必须面对的问题。

情景说明：

通过Cisco ASA 5520 防火墙，使用公网IP 8.8.8.8（outside），发布了一台WEB服

务器，其私网IP是192.168.1.8(inside)。

希望实现的目标：

公司内部(位于inside)用户计算机，想使用公网IP 8.8.8.8（或解析成公网IP的域名）

访问这台（位于inside）WEB服务器。

默认情景下，公司内部inside计算机无法通过公网IP访问到这台inside服务器。因

为思科的防火墙不允许inside进来的流量，未经其它接口出去而直接从inside返回（会被

ASA直接丢弃）。

为实现在公司内部(inside)也能使用公网IP访问同样在inside的这台WWW服务器，

思科至少有几种做法：

一是Alias + static NAT，配置别名。

原理就是内部的计算机到外部进行DNS查询时，ASA根据别名配置，将返回的公网

IP替换成私网IP，这样其实内部计算机直接使用私网IP访问WWW服务器。（可以使用

ping 域名查看返回的IP地址进行验证）

二是DNS Doctoring + static NAT。

原理同Alias，是更新版本IOS的功能。在7.0以上的版本中已不推荐使用Alias（若

使用了Alias，则ASDM会提示不支持Alias而无法加载配置）。

三是 Hairpinning +static NAT。

原理是允许inside进来的流量，未经其它接口出去而直接从inside接口返回。

相关的命令是：same-security-traffic permit intra-interface 俗称：Hairpinning

为此花了两天时间琢磨了一下，才发现要7.2及以后的IOS版本才支持Hairpinning。

晚上将ASA5520从7.0顺利升级到8.2，Hairpinning配置成功。

Hairpinning相关配置如下：

1、same-security-traffic permit intra-interface

!--- 启用Hairpinning功能，允许流量直接原路径返回。

本文标签： 公网使用访问允许返回

版权声明：本文标题：内网使用公网IP访问内部的服务器 内容由热心网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://www.elefans.com/dianzi/1717489454a576735.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。