服务器公网ip访问接口

2021-03-22 17:35:35 云杰通信 99

服务器公网ip访问接口

  在使用防火墙发布内网服务器的情况下,我们会遇到这样的问题,内网通过服务器映射后的公网IP地址无法访问内部服务器,恰恰用户又需要内外网来回移动必须使用公网IP而无法使用内网IP来访问。作为一个普普通通的需求,却成了个难题,各厂家也给出了解决方案。

  这里以 ASA5510防火墙为例,可以尝试如下解决办法:

  默认情况下,企业内网inside计算机无法通过公网IP访问到inside区域内的服务器。因为Cisco防火墙不允许inside入向流量不经过其它接口而直接从inside返回,如果出现这样的数据包那么防火墙会直接丢弃。

  通过查询互联网信息,目前针对Cisco防火墙主要有3种,

  第一种方式是Alias + static NAT,配置别名。

  原理就是内部的计算机到外部进行DNS查询时,ASA根据别名配置,将返回的公网IP替换成私网IP,这样其实内部计算机直接使用私网IP访问WWW服务器。(可以使用ping 域名查看返回的IP地址进行验证)

  alias (inside) 192.168.0.2 111.10.8.1 255.255.255.255

  static (inside,outside) 111.10.8.1 10.201.80.17 netmask 255.255.255.255 dns

  第二种方式是DNS Doctoring + static NAT。

  原理同Alias,是更新版本IOS的功能。在7.0以上的版本中已不推荐使用Alias(若使用了Alias,则ASDM会提示不支持Alias而无法加载配置)。

  第三种方式是 Hairpinning +static NAT。(需要7.2及7.2以上版本)

  原理是允许inside进来的流量,未经其它接口出去而直接从inside接口返回。

  相关的命令是:same-security-traffic permit intra-interface 俗称:Hairpinning

  摘取Hairpinning相关配置如下:

  1、same-security-traffic permit intra-interface

  !--- 启用Hairpinning功能,允许流量直接原路径返回。

  2、nat (inside) 1 192.168.100.0 255.255.255.0

  !--- 为内网用户访问公网定义NAT。

  3、global (outside) 1 interface

  !--- 为内网用户访问公网定义global地址。

  4、global (inside) 1 interface

  !--- 为内网用户使用Hairpinning访问内部服务器定义global地址。

  5、static (inside,outside) 8.8.8.8 192.168.1.8 netmask 255.255.255.255

  !--- 使用Static NAT映身一台服务器,公网IP 8.8.8.8,内网IP 192.168.1.8。

  6、static (inside,inside) 8.8.8.8 192.168.1.8 netmask 255.255.255.255

  !--- 为Hairpinning流量返回路径定义NAT映射:8.8.8.8 ----> 192.168.1.8。

  7、access-list outside_access_in extended permit tcp any host 8.8.8.8 eq 80

  !--- 配置ACL对外发布WWW服务,端口为80。

  8、access-group outside_access_in in interface outside

  !--- 将ACL应用到外部接口。