如何在IOS 8.3中使用NAT发夹(特别是Cisco ASA 5505上的9.1(2)).

谢谢！

更新：

这是我发布到思科支持网站的内容……也许附加信息使我的情况更加清晰

我似乎无法让nat发夹工作……互联网上的大多数说明都指出了如何使用8.3之前的命令执行此操作.

我尝试过以下方法：

same-security-traffic permit intra-interface
 
asa-Box(config-network-object)# object network my-inside-address-obj
asa-Box(config-network-object)# nat (inside,inside) static my-outside-address-obj@H_502_15@ 
 
这没用.
 
 
然后我补充说：
 
  
 
access-list hairpin_allow extended permit tcp object Internal_NAT_Range object External_NAT_Range@H_502_15@ 
 
同
 
  
 
access-group hairpin_allow in interface inside@H_502_15@ 
 
这也没有用(试图在这里显示尽职调查……).
 
 
然后我尝试了：
 
  
 
nat (inside,inside) source static Internal_NAT_Range Internal_NAT_Range destination static External_NAT_Range External_NAT_Range@H_502_15@ 
 
还是不行.
 
 
最后,我执行了这些步骤(见here)：
“9.为了避免由于内部发生的路由的非对称性导致的数据包丢失,我们需要ASA绕过对此特定流量的状态检查.为此,我们需要配置以下内容：
 
 
ASA(config)#access-list tcp_bypass扩展许可tcp对象Internal_NAT_Range对象External_NAT_Range
！—配置访问列表以指定TCP流量
！—需要通过检查来提高性能.
 
 
！—配置类映射并为其指定匹配参数
！—类地图匹配有趣的流量.
 
 
ASA(config)#class-map tcp_bypass
ASA(config-cmap)#description“绕过状态防火墙的TCP流量”
ASA(config-cmap)#match access-list tcp_bypass
 
 
！—配置策略映射并指定类映射
！—这个类映射的策略映射.
 
 
ASA(config-cmap)#policy-map tcp_bypass_policy
ASA(config-pmap)#class tcp_bypass
 
 
！—使用set connection advanced-options tcp-state-bypass
！—命令以启用TCP状态旁路功能.
 
 
ASA(config-pmap-c)#set connection advanced-options tcp-state-bypass
 
 
！—使用service-policy policymap_name [global | interface intf]
！—命令在全局配置模式下激活策略映射
！—全局在所有接口或目标接口上.
 
 
ASA(config-pmap-c)#service-policy tcp_bypass_policy inside“
 
 
再说一遍……
 
 
我的配置(清洁/之前的任何一个)如下…
 
  
 
...
object network External_NAT_Range
 range x.x.56.3 x.x.59.255
object network Internal_NAT_Range
 range 172.17.56.3 172.17.59.255
object network InternalIPs
 subnet 172.17.56.0 255.255.248.0
object network VpnIPs
 subnet 172.17.63.0 255.255.255.0
object network InternalIPs_OutOnly
 range 172.17.60.1 172.17.62.254
...
nat (inside,outside) source static InternalIPs InternalIPs destination static VpnIPs VpnIPs no-proxy-arp route-lookup description Un-Nats VPN IPs
nat (inside,outside) source dynamic InternalIPs_OutOnly interface description Allows remaining interior network to access the Internet
!
object network Internal_NAT_Range
 nat (inside,outside) static External_NAT_Range net-to-net
access-group outside_access_in in interface outside
route outside 0.0.0.0 0.0.0.0 x.x.56.1 1
...@H_502_15@ 
 
我只是希望能够从内部IP(例如172.17.56.8)访问外部资源,例如http://x.x.56.5
 
 
我试图使用DNS篡改.配置更简单,更有效,但是当PTR请求来自互联网时,DNS Doctoring似乎也转换了出站响应以反映我的内部IP,这显然是非常错误的……
 
 
您的任何帮助思科专业人士将不胜感激！
 
 
谢谢！