理解CiscoPIX防火墙上的alias命令(2)

　　接下来，必须为web服务器做静态地址转换,为所有人提供web服务器的80端口访问权(http):

　　static(inside,outside) 99.99.99.99 10.10.10.10 netmask 255.255.255.255

　　!--- 此命令建立web服务器真实地址10.10.10.10和外部地址99.99.99.99的转换

　　用access list命令赋予访问权

　　access-list 101 permit tcp any host 99.99.99.99 eq www

　　access-group 101 in interface outside

　　!--- 允许来自outside的任何用户访问web服务器的80端口

　　如果你喜欢用老版本的语法，可以用conduit命令代替access-list和access-group

　　conduit permit tcp host 99.99.99.99 eq www any

　　!--- 允许来自outside的任何用户访问web服务器的80端口

　　用目标NAT(dnat)转换DMZ地址

　　如果web服务器在PIX的DMZ区,必须用alias作Destination NAT (dnat).

　　例2,web服务器在DMZ的地址为192.168.100.10, 外部地址99.99.99.99.我们要用dnat转换99.99.99.99为web服务器的真实地址192.168.100.10;从inside客户端发出的DNS请求和回复不会改变. 从inside的PC上看来就象访问外部地址99.99.99.99一样,所以DNS回复并未被PIX修改.

　　网络图如下：

　　我们想从10.10.10.0 /24网络通过外部域名www.mydomain.com访问DMZ里的web服务器，并不想让PIX修改我们的DNS回复。让PIX作dnat把外部IP地址转为DMZ里web服务器真实地址192.168.100.10。

　　注意：当然了，如果从inside访问dmz里的192.168.100.10都不能够，光作这个也是不能访问的，前提是inside用户能够外访，也能访问到DMZ内部地址：

　　global (outside) 1 interface

　　global (dmz) 1 interface

　　nat (inside) 1 0 0

　　你不想利用interface占的地址，也可以另指定你相应端口网络里的地址

　　global (outside) 1 99.99.99.3

　　global (dmz) 1 192.168.100.2

　　nat (inside) 1 0 0

　　现在，用alias命令作dnat:

　　alias(inside) 99.99.99.99 192.168.100.10 255.255.255.255

　　!--- 此句设置dnat.DNS回复不会被PIX修改，因为外部地址99.99.99.99不匹配第二个地址(192.168.100.10)，由于发往客户端的DNS回复里有与目标地址99.99.99.99匹配，请求会”dnat-ed”.

　　注意:此例中IP地址与上面DNS Doctoring的例子中顺序相反.

　　接下来做web服务器的静态转换，允许所有人访问其80端口(http):

　　static(dmz,outside) 99.99.99.99 192.168.100.10 netmask 255.255.255.255

　　!--- 建立dmz区服务器地址192.168.100.10与外部地址99.99.99.99间静态转换

　　赋予访问权，access list命令如下:

　　access-list 101 permit tcp any host 99.99.99.99 eq www

　　access-group 101 in interface outside

　　!--- 允许所有来自outside用户访问web服务器80端口.

　　同样，也可以使用老版本的conduit命令：

　　conduit permit tcp host 99.99.99.99 eq www any

　　!--- 允许所有来自outside用户访问web服务器80端口.

　　配置中的说明

　　· alias命令里的interface应该是发出请求的客户端所在那个端口.

　　· 如果DMZ里也有客户端PC，需专门为dmz设置的alias命令 (也就是DNS doctoring)，

　　例如，你想让DMZ的其他客户端用外部域名访问DMZ的web服务器，其实做法已跟例1没什么区别，为DMZ增加一条alias，做一个DNS Doctoring修改它DNS回复就行了：

　　alias (dmz) 192.168.100.10 99.99.99.99 255.255.255.255

　　· 如果PIX有更多的端口，可以为不同的端口作多条alias命令。