分享
 
 
 

理解PIXFirewall上的alias命令

王朝other·作者佚名  2008-05-19
窄屏简体版  字體: |||超大  

最近我设置防火墙vpn和服务器,DMZ区服务器发布的问题,从互联网访问inside或dmz的服务器都很正常,从inside可以上互联网,但就是不能通过互联网域名访问inside和dmz的服务器,很是苦恼,用google搜索资料,逛到这个论坛来了,这里还不错,有很多新手和大虾。在我用google搜索的过程中,不停的遇到很多朋友和我一样的问题,但始终没有看到一个妥善解决的办法。有的朋友提到用内部dns作转向,这代价未免太大了,就算是本身有DNS,也不是很方便。个别朋友提到alias和alias的资料,但都没有详细的解说,我到cisco官方网站查到此用法,终于圆满解决了此问题,特将其翻译并加些注意事项作些补充,供大家参考。

介绍

本文档阐述lias在Cisco PIX防火墙中的用法.

Alias的两个功能:

利用DNS Doctoring修正外部DNS服务器回复

o 利用DNS Doctoring,PIX 将"改变" 外部DNS响应的地址到另一个IP,这个地址不同于DNS服务器上真实提供的域名-IP记录。

o 此功能实现从内部客户端通过内部IP地址连接到内部服务器上。

转换目标IP地址的dnat(Destination NAT)到另一个IP。

o 用dnat改变应用程序的标地址.

o 此功能实现从内部客户端调用外部地址访问周边网络(例如DMZ区),不修改DNS回复。

例如,一台机器发送数据到99.99.99.99,可使用alias命令把数据重定向到另一个地址10.10.10.10.可使用此命令避免你网络里的IP与互联网或另一个企业内部网的IP冲突。请参考pix官方文档:http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/index.htm

硬件和软件版本

? 此文适用于Cisco Secure PIX Firewall Software Releases 5.0.x或更高版本

用DNS Doctoring转换内部地址

例1:web服务器地址10.10.10.10,对应的外部IP为99.99.99.99.

注意: DNS在防火墙外.在dos提示窗输入nslookup验证一下DNS服务器是如何解析你的web服务器的外部IP.客户端PC应该返回的是内部地址10.10.10.10,因为DNS请求经过PIX已经被它改变了。另外,要让DNS fixup正常工作, 需禁止proxy-arp功能。 如果你为DNS fixup使用alias命令,用列命令禁止proxy-arp

sysopt noproxyarp internal_interface

(注:但是我的PIX525没用此命令仍然设置成功。)

网络图如下:

如果你想用10.10.10.25这台机器通过www.mydomain.com访问你的web服务器,我们只需要实现以下alias命令:

alias (inside) 10.10.10.10 99.99.99.99 255.255.255.255

!--- 设置inside端口的DNS Doctoring.,一旦监测到发往inside端口的DNS

!---回复里IP内容为99.99.99.99,则用10.10.10.10替换掉,再发到客户端PC

接下来,必须为web服务器做静态地址转换,为所有人提供web服务器的80端口访问权(http):

static(inside,outside) 99.99.99.99 10.10.10.10 netmask 255.255.255.255

!--- 此命令建立web服务器真实地址10.10.10.10和外部地址99.99.99.99的转换

用access list命令赋予访问权

access-list 101 permit tcp any host 99.99.99.99 eq www

access-group 101 in interface outside

!--- 允许来自outside的任何用户访问web服务器的80端口

如果你喜欢用老版本的语法,可以用conduit命令代替access-list和access-group

conduit permit tcp host 99.99.99.99 eq www any

!--- 允许来自outside的任何用户访问web服务器的80端口

用目标NAT(dnat)转换DMZ地址

如果web服务器在PIX的DMZ区,必须用alias作Destination NAT (dnat).

例2,web服务器在DMZ的地址为192.168.100.10, 外部地址99.99.99.99.我们要用dnat转换99.99.99.99为web服务器的真实地址192.168.100.10;从inside客户端发出的DNS请求和回复不会改变. 从inside的PC上看来就象访问外部地址99.99.99.99一样,所以DNS回复并未被PIX修改.

网络图如下:

我们想从10.10.10.0 /24网络通过外部域名www.mydomain.com访问DMZ里的web服务器,并不想让PIX修改我们的DNS回复。让PIX作dnat把外部IP地址转为DMZ里web服务器真实地址192.168.100.10。

注意:当然了,如果从inside访问dmz里的192.168.100.10都不能够,光作这个也是不能访问的,前提是inside用户能够外访,也能访问到DMZ内部地址:

global (outside) 1 interface

global (dmz) 1 interface

nat (inside) 1 0 0

你不想利用interface占的地址,也可以另指定你相应端口网络里的地址

global (outside) 1 99.99.99.3

global (dmz) 1 192.168.100.2

nat (inside) 1 0 0

现在,用alias命令作dnat:

alias(inside) 99.99.99.99 192.168.100.10 255.255.255.255

!--- 此句设置dnat.DNS回复不会被PIX修改,因为外部地址99.99.99.99不匹配第二个地址(192.168.100.10),由于发往客户端的DNS回复里有与目标地址99.99.99.99匹配,请求会”dnat-ed”.

注意: 此例中IP地址与上面DNS Doctoring的例子中顺序相反.

接下来做web服务器的静态转换,允许所有人访问其80端口(http):

static(dmz,outside) 99.99.99.99 192.168.100.10 netmask 255.255.255.255

!--- 建立dmz区服务器地址192.168.100.10与外部地址99.99.99.99间静态转换

赋予访问权,access list命令如下:

access-list 101 permit tcp any host 99.99.99.99 eq www

access-group 101 in interface outside

!--- 允许所有来自outside用户访问web服务器80端口.

同样,也可以使用老版本的conduit命令:

conduit permit tcp host 99.99.99.99 eq www any

!--- 允许所有来自outside用户访问web服务器80端口.

配置中的说明

? alias命令里的interface应该是发出请求的客户端所在那个端口.

? 如果DMZ里也有客户端PC,需专门为dmz设置的alias命令 (也就是DNS doctoring),

例如,你想让DMZ的其他客户端用外部域名访问DMZ的web服务器,其实做法已跟例1没什么区别,为DMZ增加一条alias,做一个DNS Doctoring修改它DNS回复就行了:

alias (dmz) 192.168.100.10 99.99.99.99 255.255.255.255

? 如果PIX有更多的端口,可以为不同的端口作多条alias命令。

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有