最近得架设一台Cicso ASA 5510防火墙，架构大概是这样： interface gagabitethernet0/0: nameif outside ip address 123.123.123.81/255.255.255.240 interface gigabitethernet0/1: nameif dmz ip address 192.168.2.1/255.255.255.0 interface gigabitethernet0/2: nameif inside ipaddress 192.168.3.1/255.255.255.0 interface management0/0 nameif management ipaddress 192.168.1.1/255.255.255.0 management-only dmz这个介面接上一台switch，底下有三台要提供公开服务的web server， inside这个介面会接上一台资料库伺服器。 dmz这边目前先接上一台web server1，这台web server1必须有两个对外的ip。 （因为上面有两个网站www.site90.com,www.site91.com，dns那里已经设定了 www.site90.com => 123.123.123.90 www.site91.com => 123.123.123.91 因此这台web server1必须有两个对外的ip） 我已经透过static policy-nat的方式解决了两个外部ip对应到同一个内部ip 的问题，http://www.site90.com和http://www.site91.com都会连到dmz的web server1上面的两个个别网站去。直接操作web server1，也可以在上面往外连 （开浏览器可以浏览外部网站）。 现在问题来了：和上面完全相同的设定，只是单纯把对外的ip换掉，换成 123.123.123.82和123.123.123.83（dns server那边另外有A纪录指向82,83 这两个ip： www.site82.com => 123.123.123.82 www.site83.com => 123.123.123.83） 一切就不通了=_=　从外部电脑开启浏览器进入http://www.site82.com无法 浏览网站（应该不是www server软体本身设定的问题）。反过来从web server1 上面也变成连不出去，在上面开浏览器浏览外部网站，整个出不去。 也就是说，防火墙里面设定对外ip是90,91就正常，设定用82,83就出不去也 进不来（外部进来80 port都有设定开放，连出去则是预设都开放）。 如果我让web server1不放在防火墙後面，直接接上对外的网路口，然後在 网卡上面绑82,83这两个ip，一切又会正常，像这样： ip 123.123.123.82 mask 255.255.255.240 gw 123.123.123.94 我想不出问题在哪儿。82,83,90,91都是我们可以使用的ip，也没有被占用。 这两组ip我能想到的唯一差别在於，82,83这两个ip我「曾经」用来绑在 另外一台web server2上面然後run了一段时间。但是在我做以上防火墙设定 测试的时候，都有先把82,83这两个ip从原本web server2的网卡上面释放掉。 我进一步测试，发现只要是firewall里面设定对外ip使用曾经被绑在 web server2的ip，结果都不通，使用不曾被绑在web server2的ip就会通。 （我使用那些被绑过的ip之前都有把这些ip先释放出来）。 有没有网管高手能够从以上这些资料中看出问题可能出在哪儿呢？ 请不吝赐教，谢谢！ --

※ 发信站: 批踢踢实业坊(ptt.cc) ◆ From: 220.132.153.19