网络环境及具体需求

　　WWW服务器接入防火墙的DMZ区。启用一块网卡，配置2个真实IP地址(118.230.161.49、118.230.161.50)，在 路由器上，完成“地址：端口←→地址：端口”形式的静态映射，以为不同的用户提供合适的访问点。

　　DNS服务器接入防火墙的DMZ区。该服务器只通过ISP2与外网连通。为内、外网用户解析域名。其中包含记录 syr.nciae.edu.cn IN A 60.10.135.100和syr.jy.nciae.edu.cn IN A 118.230.161.49。

　　在WWW服务器上运行的各网站，其主目录均启用“默认内容文档”，在该文档中加入基于客户IP地址的url重定向逻辑，以将用户引导至 合适的域名(IP地址)。

　　实现方法

　　防火墙设置

　　在防火墙上进行“Static Identity NAT”，相关配置为：

　　static (dmz1,outside) 118.230.161.1 118.230.161.1 netmask 255.255.255.255

　　static (dmz2,outside) 118.230.161.49 118.230.161.49 netmask 255.255.255.255

　　static (dmz2,outside) 118.230.161.50 118.230.161.50 netmask 255.255.255.255

　　内网用户通过任何DNS服务解析域名syr.nciae.edu.cn，其结果都为60.10.135.100(即使内网用户使用外网 中的某个DNS服务器解析域名，因在路由器上进行的不是“地址←→地址”形式的静态映射，此时路由器不进行DNS重写，域名 syr.nciae.edu.cn的解析结果仍然是60.10.135.100)。为使内网用户能够正常访问syr.nciae.edu.cn，应将其对 IP地址60.10.135.100的访问转换为对118.230.161.50的访问。该需求可通过防火墙的DNAT(目的NAT)实现，配置如下：

　　alias (inside) 60.10.135.100 118.230.161.50 255.255.255.255

　　路由器配置

　　为实现虚拟镜像，配置“地址：端口←→地址：端口”形式的静态映射：

　　ip nat inside source static tcp 118.230.161.50 80 60.10.135.100 80 extendable

　　ip nat inside source static tcp 118.230.161.49 80 118.230.161.49 80 extendable

　　配置策略路由：

　　route-map saddr permit 10

　　match ip address syr

　　set ip next-hop ISP1接口地址

　　route-map saddr permit 20

　　match ip address syr_jyandDNS

　　set ip next-hop ISP2接口地址

　　ip access-list extended syr

　　permit ip host 118.230.161.50 any

　　ip access-list extended syr_jyandDNS

　　permit ip host 118.230.161.1 any

　　permit ip host 118.230.161.49 any

　　在内口上启用策略路由：

　　ip policy route-map saddr

　　顺便指出，当WWW服务器主动访问外网资源时，其源地址转换过程与内网一般主机类似，此时，其对外呈现的地址可不同于为外网提供WWW 服务时的地址，可在某种程度上增强安全性。

        重定向逻辑

　　假定原网站的“默认内容文档”依次为A1.B1、A2.B2，删除这些设置，指定“默认内 容文档”为A3.B3，在A3.B3中加入如图2所示的重定向逻辑。

　　测试结果、结论与创新点

　　上述设置方案具体应用于某校园网，ISP1为中国联通，ISP2为CERNET。经测试，公网用户用syr.nciae.edu.cn 或syr.jy.nciae.edu.cn访问WWW服务时，网站自动重定向至syr.nciae.edu.cn；CERNET用户用 syr.nciae.edu.cn或syr.jy.nciae.edu.cn访问WWW服务时，网站自动重定向至 syr.jy.nciae.edu.cn。

　　采用本方案，在不购置新设备(如负载均衡器)、不增加网站维护工作量的前提下，大幅度减少了公网与CERNET间的流量，网站访问速度 显著提高。

　　本解决方案的实用、创新之处在于，用虚拟镜像代替实体镜像；用具有普适性的软件实现智能重定向。

　　(作者单位：1.北华航天工业学院；2.中国石油管道学院)

来源：《中国教育网络》2009年5月刊