关于DMZ后的内网IP无法访问动态域名大致推理

[oneleaf]

假设eexpree.3322.org 外网IP：2.2.2.2 内网IP：192.168.1.1 DMZ主机：192.168.1.2

1：从外网(1.1.1.1)访问 eexpree.3322.org

请求，并等待eexpree.3322.org的回应
1.1.1.1 --> eexpree.3322.org --> DNAT(192.168.1.2) --> 192.168.1.2
---IP(1.1.1.1/2.2.2.2)----------- IP(1.1.1.1/192.168.1.2)

客户端回应
192.168.1.2 --> eexpree.3322.org --> SNAT(eexpree.3322.org) --> 1.1.1.1
---IP(192.168.1.2/1.1.1.1)-------------IP(2.2.2.2/1.1.1.1)

外网将接受到正确的IP包,正常显示。

-----------------------------------

2：从内网(192.168.1.3)访问 eexpree.3322.org
内网请求，并等待eexpree.3322.org的回应
192.168.1.3 --> eexpree.3322.org --> DNAT(192.168.1.2) --> 192.168.1.2
---IP(192.168.1.3/2.2.2.2)------IP(192.168.1.3/192.168.1.2)

客户端回应
192.168.1.2 -> 192.168.1.3
--IP(192.168.1.2/192.168.1.3)

由于处于同一网段内，直接交换数据，而192.168.1.3一直等待来自2.2.2.2的回应，无法接收到正确的IP包，最后超时断开连接。

-----------------------------------

解决办法，修改防火墙规则：
内网请求
192.168.1.3 --> eexpree.3322.org --> SNAT(2.2.2.2) --> DNAT(192.168.1.2) --> 192.168.1.2
---IP(192.168.1.3/2.2.2.2)-----------IP(2.2.2.2/192.168.1.2)

客户端回应
192.168.1.2 --> 2.2.2.2 --> DNAT(192.168.1.3) --> 192.168.1.3
---IP(192.168.1.2/2.2.2.2)-----IP(2.2.2.2/192.168.1.3)

客户端将正常接收到来源eexpree.3322.org的包。

另外一种简单处理方法
直接在内网的DNS上或者在内网电脑的 /etc/hosts 修改 eexpree.3322.org -> 192.168.1.2 即可。

[eexpress]

记录。
$● grep 3322 /etc/hosts
192.168.18.3 eexpree.3322.org
#218.76.47.135 eexpree.3322.org

ping eexpree.3322.org
通了一次。

[firehare]

一叶兄的解答应该没什么问题的呀！

要不你用下面命令看看查找的顺序
more /etc/host.conf

[gnix_oag]

我用DMZ,从外网能访问到我的电脑,

用我的电脑去访问,确打开的是我的猫的管理入口.

也是这个原因吧

[eexpress]

代码： 全选

$●  dog /etc/hosts
127.0.0.1 localhost exp-laptop
127.0.1.1 exp-laptop
192.168.18.3 eexpree.3322.org
::1 ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
ff02::3 ip6-allhosts

4楼的情况。我在公司就这样。

[eexpress]

代码： 全选

$●  cat /etc/host.conf
order hosts,bind
multi on

[firehare]

我觉得要满足Eexpress兄弟的要求，根本不需要用到DMZ区，要知道这只是个路由而不是防火墙，我的建议是192.168.1.2不设成DMZ主机，而是简单地做一下静态映射：对路由器任何一个或一段协议端口的访问（从WAN口进来的访问），将其重定位到局域网内192.168.1.2的端口上即可。如静态映射80端口等！

[eexpress]

哦。多谢。只是端口不是要一个一个的映射了。谁叫我就知道DMZ呢。其他都不熟悉。我明天再问。

[firehare]

据我经验，一般服务器对外的服务也没有多少，映射量不会很大！

[purewind]

个人以为客户端把自己的ip当成了内网的那个192.168.x.x之类，而动态域名网站收到它的时候显然不知道这个ip是哪里的。