关于pix.asa防火墙内网通过域名访问内部服务器的解决办法

网上很多帖子都讨论过这个问题，内部到底能不能通过域名和公网地址访问内部服务器的问题。经过我的严格测试，，在pix525 上面测试，，，内部通过域名和内网地址是可以访问内部服务器的（dns服务器在防火墙外面）。但没办法通过公网地址访问 ,环境很简单 公网地址是220.0.0.1 ，域名 [url]www.shimen.com[/url] 对应的内部服务器的地址是192.168.0.2 在pix525上面测试，命令如下，（pix525只有2个端口，）
方法一：通过dns后缀解决
static (inside,outside ) 220.0.0.1 192.168.0.2 netmask 255.255.255.255 dns
access-list 100 extended permit tcp any host 220.0.0.1 eq 80
access-group 100 in interface ouside

其实就在静态影射命令的后面加了一个dns后缀 ，就能通过域名访问内部服务器，其实原理很简单，因为我们的dns服务器在防火墙外面（或者说是电信解吸的），内部没有dns服务器，所以当我们通过域名访问内部网络的时候，首先通过防火墙找到电信的dns服务器，
由外网的dns服务器解吸域名 [url]www.shimen.com[/url] 为对应的公网地址220.0.0.1 这个时候 如果没加dns这个后缀。防火墙会认为这个web服务器就在防火墙的外面，就后丢掉这个dns回复包，但加了这个dns后缀后 会把这个公网地址重定向为内网地址192.168.0.2 。然后内网用户就可以通过192.168.0.2这个地址访问web服务器了。在内部测试ping [url]www.shimen.com[/url] 解吸返回的是192.168.0.2这个地址

方法二 通过别名alias 命令解决
static (inside,outside ) 220.0.0.1 192.168.0.2 netmask 255.255.255.255
access-list 100 extended permit tcp any host 220.0.0.1 eq 80
access-group 100 in interface ouside

 

 

 

alias (inside) 192.168.0.2 220.0.0.1 255.255.255.255

这个办法原理也和上面一样 只是实现方式不同，不在静态隐射后面加dns后缀。在添加一一条别名命令alias也可以把域名重新定向为内步地址


通过这2种方式可以解决内部通过域名访问内部服务器的问题，这个是我经过测试做出的结论，前段时间调试pix防火墙遇见的问题，，具体的查看cisco文档也有详细的说明
结论 内部能通过域名和域名访问内部服务器，，但没办法通过域名和公网地址访问