內(nèi)網(wǎng)環(huán)境中公網(wǎng)域名解析成內(nèi)網(wǎng)地址的問題

防火墻默認(rèn)開啟dns的alg功能，是不會(huì)把域名服務(wù)器回應(yīng)的服務(wù)器公網(wǎng)地址反回給客戶端的，只返回內(nèi)網(wǎng)地址。 

NAT設(shè)備對來自外網(wǎng)的DNS相應(yīng)報(bào)文進(jìn)行DNS ALG處理時(shí)，由于載荷中只包含域名和應(yīng)用服務(wù)器的外網(wǎng)IP地址（不包含傳輸協(xié)議類型和端口號），當(dāng)接口上存在多條NAT服務(wù)器配置且使用相同的外網(wǎng)地址而內(nèi)網(wǎng)地址不同時(shí)，DNS ALG僅使用IP地址來匹配內(nèi)部服務(wù)器可能會(huì)得到錯(cuò)誤的匹配結(jié)果。因此需要借助DNS mapping的配置，指定域名與應(yīng)用服務(wù)器的外網(wǎng)IP地址、端口和協(xié)議的映射關(guān)系，由域名獲取應(yīng)用服務(wù)器的外網(wǎng)IP地址、端口和協(xié)議，進(jìn)而（在當(dāng)前NAT接口上）精確匹配內(nèi)部服務(wù)器配置獲取應(yīng)用服務(wù)器的內(nèi)網(wǎng)IP地址。

如nat server global 124.250.45.21 inside 10.16.8.220

開啟了ALG功能后，不會(huì)出現(xiàn)域名服務(wù)器返回的公網(wǎng)地址的內(nèi)網(wǎng)地址錯(cuò)誤現(xiàn)象。

如果一個(gè)公網(wǎng)地址不同端口對應(yīng)不同的內(nèi)網(wǎng)的地址，就會(huì)出現(xiàn)內(nèi)網(wǎng)地址紊亂，因?yàn)楣W(wǎng)解析到的是一個(gè)公網(wǎng)地址，但經(jīng)過防火墻nat server 內(nèi)網(wǎng)地址有多個(gè)的話，返回給內(nèi)網(wǎng)用戶的就不知道是哪個(gè)了。 解決方法是配置DNS mapping

nat dns-map domain www.server.com protocol tcp ip 202.38.1.2 port http
nat dns-map domain ftp.server.com protocol tcp ip 202.38.1.2 port ftp