如何通过外部 IP 访问我的内部服务器？

Question

我们正在尝试配置 Cisco 5505，并且已通过 ASDM 完成。

有一个我们无法解决的大问题，那就是当你从里到外再回来的时候。

例如，我们有一个“内部”服务器，如果我们在内部或外部，我们希望能够使用相同的地址访问该服务器。

问题是添加一个规则，允许从内部到外部的流量，然后再返回。

Answer 1

ASA 防火墙无法路由流量。您需要将内部地址伪装成外部地址。

解决方案 1：使用静态 NAT 进行 DNS 修改

假设您的外部网站 IP 地址是 1.2.3.4，然后再次通过端口转发（或直接 NAT 转换）到内部 IP 地址 192.168.0.10。使用 DNS 篡改，将发生以下情况：

1. 里面的客户端请求http://www.companyweb.com，最初翻译为 1.2.3.4
2. ASA 拦截 DNS 回复数据包，并将 A 记录替换为 192.168.0.10
3. 客户非常高兴，因为它现在可以打开公司网站了 :-)

有关如何启用此功能的更多详细信息：http : //www.cisco.com/en/US/products/ps6120/products_configuration_example09186a00807968d1.shtml

解决方案 2：内部 DNS 服务器

如果您只有一个外部 IP，并且您将此 IP 端口转发到不同服务器上的许多内部服务（假设端口 80 和 443 转到 192.168.0.10，端口 25 转到 192.168.0.11 等），则此方法很有用。

它不需要更改 ASA 上的配置，但需要您在内部 DNS 服务器上复制外部域（Active Directory 内置了此功能）。您只需创建与现在完全相同的记录，仅使用您内部拥有的服务的内部 IP。

“解决方案” 3：DMZ 接口与公共 IP

我不打算详细介绍这个，因为它要求您从 ISP 获取 IP 地址子网，然后路由到您的 ASA。这些天 IPv4 饥饿非常困难。