Cisco ASA5500解决内网用公网IP不能访问DMZ区服务器的问

问题： 设置防火墙vpn和服务器，DMZ区服务器发布的问题,从互联网访问
inside或dmz的服务器都很正常，从inside可以上互联网，但就是不能通过互联

网域名访问inside和dmz的服务器。

方法一：通过dns后缀解决

static (inside,outside ) 220.0.0.1 192.168.0.2 netmask

255.255.255.255 dns
access-list 100 extended permit tcp any host 220.0.0.1 eq 80
access-group 100 in interface ouside
其实就在静态影射命令的后面加了一个dns后缀 ，就能通过域名访问内部服务

器，其实原理很简单，因为我们的dns服务器在防火墙外面（或者说是电信解析

的），内部没有dns服务器，所以当我们通过域名访问内部网络的时候，首先通

过防火墙找到电信的dns服务器，
由外网的dns服务器解吸域名 为对应的公网地址220.0.0.1 这

个时候如果没加dns这个后缀。防火墙会认为这个web服务器就在防火墙的外面

，就后丢掉这个dns回复包，但加了这个dns后缀后会把这个公网地址重定向为

内网地址192.168.0.2 。然后内网用户就可以通过192.168.0.2这个地址访问

web服务器了。在内部测试ping 解析返回的是192.168.0.2这

个地址

方法二 通过别名alias 命令解决
static (inside,outside ) 220.0.0.1 192.168.0.2 netmask

255.255.255.255
access-list 100 extended permit tcp any host 220.0.0.1 eq 80
access-group 100 in interface ouside

alias (inside) 192.168.0.2 220.0.0.1 255.255.255.255
这个办法原理也和上面一样 只是实现方式不同，不在静态隐射
后面加dns后缀。在添加一条别名命令alias也可以把域名重新定向为内部地址