NAT与DNS记录重写

　　在图4所示场景中，DMZ中服务器的真实地址(10.0.2.1)已映射为外部地址(61.136.151.1)。DNS服务器位于外网，其中包含可将syr.tgcep.edu.cn解析为外部地址61.136.151.1的A记录。

　　外网用户可通过域名或外部地址正常访问WWW服务器。内部用户可通过真实地址(10.0.2.1)访问WWW服务器，但是，如果内部用户需要通过域名访问WWW服务器，则需要将域名解析为真实地址10.0.2.1。

　　可以在启用防火墙的DNS检测功能(在默认情况下，该功能处于启用状态)后，通过DNS记录重写实现这一功能。

　　欲实现DNS重写，需要在配置地址映射时，加入关键字DNS。就本例而言，相关配置如下：

　　FW(config)# static (dm z,outside) 61.136.151.1 10.0.2.1 dns

　　内网主机通过域名访问DMZ中WWW服务器的过程标示于图4-2-4中：①内网主机运行浏览器，向DNS服务器发送DNS请求；②DNS服务器以地址61.136.151.1回复；③防火墙接收到回复报文后，送DNS检测引擎进行处理。检测引擎检索到NAT配置“static (dmz,outside) 61.136.151.1 10.0.2.1 dns”，将DNS回复报文中的地址61.136.151.1改写为10.0.2.1(NAT配置中的关键字DNS是必须的，否则防火墙不进行改写操作)；④将经过修改后DNS回复送内网主机；⑤内网主机向DMZ中的服务器发送HTTP请求。

图4 NAT与DNS记录重写

　　ASA 8.3 的NAT

　　ASA 8.3 版本对NAT 的语法进行了革命的改变不再支持NAT-Control，使用了更加灵活和更加易于组合object /object-group的新方式。迁移命令如下,

　　FW(config)# nat-control
　　过去的配置命令。
　　FW(config)# object network obj_any
　　FW(config-network)# subnet 0.0.0.0 0.0.0.0
　　FW(config-network)# nat (inside,outside) dynamic obj-0.0.0.0
　　FW(config-network)# object network obj-0.0.0.0
　　FW(config-network)# host 0.0.0.0
　　FW(config)# object network obj_any-1
　　FW(config-network)# subnet 0.0.0.0 0.0.0.0
　　FW(config-network)# nat (inside,mgmt) dynamic obj-0.0.0.0
　　FW(config)# object network obj_any-2
　　FW(config-network)# subnet 0.0.0.0 0.0.0.0
　　FW(config-network)# nat (inside,dmz) dynamic obj-0.0.0.0

　　在客户升级版本后，如果不使用迁移命令,从外网的访问将不受NAT的限制,可以正常访问。(作者单位：1为三峡电力职业学院；2为三峡大学)