ASA的内网访问DMZ服务器域名解决方案.docVIP

ASA的内网访问DMZ服务器解决方案 ? ?? ? 我们在实际工作中，经常遇到公司把WWW服务器放在ASA的DMZ区域，要求内部用户也能通过WWW服务器的域名进行访问，这个问题也有很多的工程师来问，其实这个问题也是个老问题了，但是总有很多弟兄不知该如何配置，我们知道在PIX早期版本里有一个命令Alias可以解决这个问题，而在ASA中，我们同样可以使用DNS关键字解决这个问题，而且笔者还根据Cisco网站的推荐，为大家介绍另外一种解决方案希望对大家有用，有错误请大家指正，一齐进步！～ ? ??我们先来看看DNS关键字命令工作的原理：启用DNS关键字命令后，ASA可以监测并修改DNS服务器返回给客户的信息。例如我们配置命令:static (dmz,outside) 0 0 netmask 55 dns当客户查询域名时，如果DNS服务器解析域名地址为0，此时DNS服务器给客户返回的DNS查询信息里的解析IP地址为0，但是，由于配置了上条命令，ASA就会主动修改此解析的IP地址为0，这样最终客户返回的www服务器地址为0了，用户就可以通过网络直接访问IP地址为0的www服务器了。这样我们的客户就可以直接通过内部网络访问DMZ的www服务器，而不需要通过公网IP地址进行访问了。 网络拓扑图： ASA配置文件： ciscoasa(config)# show running-config: Saved:ASA Version 7.2(1) !hostname ciscoasaenable password 9jNfZuG3TC5tCVH0 encryptednamesdns-guard !interface Ethernet0/0 nameif outside security-level 0 ip address !interface Ethernet0/1 nameif inside security-level 100 ip address !interface Ethernet0/2 nameif dmz security-level 50 ip address !interface Management0/0 shutdown no nameif no security-level no ip address management-only !passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive access-list OUTSIDE extended permit tcp any host 0 eq www!--- 设置访问控制列表，只允许访问www服务器0，这儿是www的公网地址 logging enablelogging buffered debugging mtu outside 1500 mtu inside 1500 mtu dmz 1500 asdm image disk0:/asdm512-k8.bin no asdm history enable arp timeout 14400 global (outside) 1 interface nat (inside) 1 static (inside,dmz) netmask !--- 设置静态地址网络转换，这是内部网和DMZ网的转换，其实我们发现他们其实并未转换!--- 我们实际中，经常忽略这条命令而导致内部网无法访问www服务器，切记！ static (dmz,outside) 0 0 netmask 55 dns !--- 配置外部和DMZ的转换!--- 启用了DNS关键字命令，保证DNS服务器返回查询信息能被修改为DMZ本地地址 access-group OUTSIDE in interface outside!--- 应用访问控制列表到外部接口的IN方向上 route outside 1 policy-map type inspect dns MY_DNS_INSPECT_MAP parameters??message-length maximum 512 inspect dns MY_DNS_INSPECT_MAP!--- 启用DNS监测策略.?? 注意：如果你使用ASDM进行配置，请记住DNS关键字命令的配置。在ASDM的NAT配置中的DNS关键字配置选项，如下图(红框中)：