思科 – 你如何在IOS 8.3中使用NAT发夹

当我问 here并重复 here时,看起来NAT Hairpinning是我正在寻找的答案,允许内部服务器通过ASA环回来访问外部IP(不使用DNS Doctoring).但是,这些帖子中提供的说明,这里,http://www.cisco.com/en/US/products/ps6120/products_configuration_example09186a00807968d1.shtml#solution2似乎没有涵盖IOS 8.3上的NAT发夹(我正在运行9.1)9.1甚至没有静态命令(单独使用).

如何在IOS 8.3中使用NAT发夹(特别是Cisco ASA 5505上的9.1(2)).

谢谢！

更新：

这是我发布到思科支持网站的@L_675_4@……也许附加信息使我的情况更加清晰

我似乎无法让nat发夹工作……互联网上的大多数说明都指出了如何使用8.3之前的命令执行此操作.

我尝试过以下方法：

same-security-traffic permit intra-interface

asa-Box(config-network-object)# object network my-inside-address-obj
asa-Box(config-network-object)# nat (inside,insidE) static my-outside-address-obj

这没用.

然后我补充说：

access-list hairpin_allow extended permit tcp object Internal_NAT_Range object External_NAT_Range

同

access-group hairpin_allow in interface inside

这也没有用(试图在这里显示尽职调查……).

然后我尝试了：

nat (inside,insidE) source static internal_NAT_RangE internal_NAT_Range desTination static External_NAT_Range External_NAT_Range

还是不行.

最后,我执行了这些步骤(见here)：
“9.为了避免由于内部发生的路由的非对称性导致的数据包丢失,我们需要ASA绕过对此特定流量的状态检查.为此,我们需要配置以下@L_675_4@：

ASA(config)#access-list tcp_bypass扩展许可tcp对象Internal_NAT_Range对象External_NAT_Range
！—配置访问列表以指定TCP流量
！—需要通过检查来提高性能.

！—配置类映射并为其指定匹配参数
！—类地图匹配有趣的流量.

ASA(config)#class-map tcp_bypass
ASA(config-cmap)#description“绕过状态防火墙的TCP流量”
ASA(config-cmap)#match access-list tcp_bypass

！—配置策略映射并指定类映射
！—这个类映射的策略映射.

ASA(config-cmap)#policy-map tcp_bypass_policy
ASA(config-pmap)#class tcp_bypass

！—使用set connection advanced-options tcp-state-bypass
！—命令以启用TCP状态旁路功能.

ASA(config-pmap-C)#set connection advanced-options tcp-state-bypass

！—使用service-policy policymap_name [global | interfacE intf]
！—命令在全局配置模式下激活策略映射
！—全局在所有接口或目标接口上.

ASA(config-pmap-C)#service-policy tcp_bypass_policy inside“

再说一遍……

我的配置(清洁/之前的任何一个)如下…

...
object network External_NAT_Range
 range x.x.56.3 x.x.59.255
object network Internal_NAT_Range
 range 172.17.56.3 172.17.59.255
object network InternalIPs
 subnet 172.17.56.0 255.255.248.0
object network VpnIPs
 subnet 172.17.63.0 255.255.255.0
object network InternalIPs_OutOnly
 range 172.17.60.1 172.17.62.254
...

nat (inside,outsidE) source static internalIPs InternalIPs desTination static VpnIPs VpnIPs no-proxy-arp route-lookup description Un-Nats VPN IPs
nat (inside,outsidE) source dynamic internalIPs_OutOnly interface description Allows remaining interior network to access thE internet
!
object network Internal_NAT_Range
 nat (inside,outsidE) static External_NAT_Range net-to-net
access-group outside_access_in in interface outside
route outside 0.0.0.0 0.0.0.0 x.x.56.1 1
...

我只是希望能够从内部IP(例如172.17.56.8)访问外部资源,例如http://x.x.56.5

我试图使用DNS篡改.配置更简单,更有效,但是当PTR请求来自互联网时,DNS Doctoring似乎也转换了出站响应以反映我的内部IP,这显然是非常错误的……

您的任何帮助思科专业人士将不胜感激！

谢谢！

same-security-traffic permit intra-interface

static (inside,insidE) x.x.x.x i.i.i.i

static (inside,outsidE) x.x.x.x i.i.i.i

asa-Box(config)# object network my-outside-address-obj
asa-Box(config-network-object)# host x.x.x.x
asa-Box(config-network-object)# object network my-inside-address-obj
asa-Box(config-network-object)# host i.i.i.i
asa-Box(config-network-object)# nat (inside,insidE) static my-outside-address-obj