网络环境及具体需求
网络环境如图1所示。
WWW服务器接入防火墙的DMZ区。启用一块网卡,配置2个真实IP地址(118.230.161.49、118.230.161.50),在路由器上,完成“地址:端口←→地址:端口”形式的静态映射,以为不同的用户提供合适的访问点。
DNS服务器接入防火墙的DMZ区。该服务器只通过ISP2与外网连通。为内、外网用户解析域名。其中包含记录syr.nciae.edu.cn IN A 60.10.135.100和syr.jy.nciae.edu.cn IN A 118.230.161.49。
在WWW服务器上运行的各网站,其主目录均启用“默认内容文档”,在该文档中加入基于客户IP地址的url重定向逻辑,以将用户引导至合适的域名(IP地址)。
实现方法
防火墙设置
在防火墙上进行“Static Identity NAT”,相关配置为:
static (dmz1,outside) 118.230.161.1 118.230.161.1 netmask 255.255.255.255
static (dmz2,outside) 118.230.161.49 118.230.161.49 netmask 255.255.255.255
static (dmz2,outside) 118.230.161.50 118.230.161.50 netmask 255.255.255.255
内网用户通过任何DNS服务解析域名syr.nciae.edu.cn,其结果都为60.10.135.100(即使内网用户使用外网中的某个DNS服务器解析域名,因在路由器上进行的不是“地址←→地址”形式的静态映射,此时路由器不进行DNS重写,域名syr.nciae.edu.cn的解析结果仍然是60.10.135.100)。为使内网用户能够正常访问syr.nciae.edu.cn,应将其对IP地址60.10.135.100的访问转换为对118.230.161.50的访问。该需求可通过防火墙的DNAT(目的NAT)实现,配置如下:
alias (inside) 60.10.135.100 118.230.161.50 255.255.255.255
路由器配置
为实现虚拟镜像,配置“地址:端口←→地址:端口”形式的静态映射:
ip nat inside source static tcp 118.230.161.50 80 60.10.135.100 80 extendable
ip nat inside source static tcp 118.230.161.49 80 118.230.161.49 80 extendable
配置策略路由:
route-map saddr permit 10
match ip address syr
set ip next-hop ISP1接口地址
route-map saddr permit 20
match ip address syr_jyandDNS
set ip next-hop ISP2接口地址
ip access-list extended syr
permit ip host 118.230.161.50 any
ip access-list extended syr_jyandDNS
permit ip host 118.230.161.1 any
permit ip host 118.230.161.49 any
在内口上启用策略路由:
ip policy route-map saddr
顺便指出,当WWW服务器主动访问外网资源时,其源地址转换过程与内网一般主机类似,此时,其对外呈现的地址可不同于为外网提供WWW服务时的地址,可在某种程度上增强安全性。
重定向逻辑
假定原网站的“默认内容文档”依次为A1.B1、A2.B2,删除这些设置,指定“默认内容文档”为A3.B3,在A3.B3中加入如图2所示的重定向逻辑。
测试结果、结论与创新点
上述设置方案具体应用于某校园网,ISP1为中国联通,ISP2为CERNET。经测试,公网用户用syr.nciae.edu.cn或syr.jy.nciae.edu.cn访问WWW服务时,网站自动重定向至syr.nciae.edu.cn;CERNET用户用syr.nciae.edu.cn或syr.jy.nciae.edu.cn访问WWW服务时,网站自动重定向至syr.jy.nciae.edu.cn。
采用本方案,在不购置新设备(如负载均衡器)、不增加网站维护工作量的前提下,大幅度减少了公网与CERNET间的流量,网站访问速度显著提高。
本解决方案的实用、创新之处在于,用虚拟镜像代替实体镜像;用具有普适性的软件实现智能重定向。
(作者单位:1.北华航天工业学院;2.中国石油管道学院)
来源:《中国教育网络》2009年5月刊
特别声明:本站注明稿件来源为其他媒体的文/图等稿件均为转载稿,本站转载出于非商业性的教育和科研之目的,并不意味着赞同其观点或证实其内容的真实性。如转载稿涉及版权等问题,请作者在两周内速来电或来函联系。