为什么没有更多的组织使用内部到内部NAT或类似的解决方案来允许NAT发夹？

从内部到内部NAT aka NAT环回解决了从内部接口上的计算机访问ASA外部接口上的Web服务器或类似设备时发夹式NAT问题。这样可以防止DNS管理员必须维护一个重复的内部DNS区域，该区域具有为其服务器配置为NAT到公共地址的相应RFC1918地址。我不是网络工程师，所以我可能会缺少一些东西，但是配置和实现这似乎很容易。非对称路由可能是一个问题，但可以轻松缓解。

以我的经验，网络管理员/工程师更喜欢系统人员只运行split-dn，而不是配置其防火墙以正确处理NAT发夹。为什么是这样？

我不这样做的原因有几个：

• 如果不需要，为什么还要对DMZ路由器和防火墙施加额外的压力？我们的大多数内部服务不在DMZ中，而是在一般公司范围内，其中DMZ中的代理服务用于偶尔的远程访问。从内到内做nat会给DMZ增加更多的负载，在我们的情况下这将是很大的。
• 如果您不执行DNAT + SNAT，则会得到不对称的路由，这是很难正确完成的。因此，您进行SNAT并丢失源IP信息。但是，将源IP链接到人员以进行故障排除非常有用。或在愚蠢的情况下偶尔进行自我射击。“嘿，这个IP在未经身份验证的服务X上做着奇怪的事情。”“哦，让我们看看imap服务器的日志是谁”。

显然，对此没有确切的答案，但我可以想到许多原因：

1. 优雅：NAT最初并不是很优雅，但是IPv4受限制的地址空间是必需的。如果我可以避免NAT，我会的。有了IPv6，问题无论如何都会消失。
2. 复杂性：特别是在您没有一个单独的“核心”路由器创建所有安全边界的情况下，过滤器配置可能会变得非常棘手。否则，您将不得不在几乎所有路由器设备上传播和维护NAT规则。
3. 参考：无论防火墙管理员与服务器管理员团队的其他成员是谁，都很难联系到他们。为了确保更改不会因防火墙管理员的积压（或休假）而延迟，请选择将职责保留在同一团队中的选项
4. 可移植性和通用做法：使用DNS视图是“所有人都知道要做的事情”来解决此问题。并非每个边界路由器都会以直接的方式支持环回NAT，因此更少的人可能会知道如何在您的特定环境中正确设置它。在对网络问题进行故障排除时，工作人员将需要了解发夹式NAT配置及其所有含义-即使他们正在追赶一个看似无关的问题。

免责声明-这是一个烈火的答案。

我认为避免使用此类解决方案的常见原因是网络工程师对NAT的不合理恐惧/憎恨。如果您想查看一些讨论示例，请查看以下内容：

• http://packetpushers.net/show-86-connect-to-the-ipv6-internet-for-free-using-tunnelbroker-net/
• http://networkingnerd.net/2012/04/02/ipv6-nat-and-the-sme-a-response/（汤姆的博客似乎一直吸引着相当激烈的NAT / IPv6讨论）
• http://libertysys.com.au/blog/nat-i​​s-evil-but-not-bad（我的博客）

据我所知，这种担心很多源于思科对NAT的不良实施（因此从某种意义上说，这可能不是不合理的），但是在我看来，“经典”网络工程师在“ NAT是糟糕的世界观”，他或她看不到像这样的显而易见的例子，因为这很有意义，并且实际上简化了解决方案。

你去了-投票支持你的内心！:-)

我的猜测是：

1. 拆分DNS更容易理解。
2. NAT发夹会占用路由器上的资源，而split-dns不会。
3. 路由器可能具有带宽限制，您无法通过split-dns设置来获得带宽限制。
4. 由于您避免了路由/ NAT步骤，Split-dns始终会表现更好。

在发夹式NAT的有利方面，

• 设置完成后就可以使用。
• 在工作网络和公共互联网之间移动的笔记本电脑的DNS缓存没有问题。
• 服务器的DNS仅在一个地方进行管理。

对于对内部服务器的流量要求较低的小型网络，我会使用发夹式NAT。对于与服务器建立许多连接且带宽和延迟很重要的大型网络，请使用split-dns。

从我的角度来看，这在Cisco Pix到ASA的过渡之间有所改变。丢失alias命令。通常，从Cisco防火墙的内部接口访问外部地址需要某种技巧。请参阅：如何通过外部IP访问内部服务器？

不过，我们并不总是需要维护重复的内部DNS区域。如果在NAT语句上配置，Cisco ASA可以将外部地址的DNS查询重定向到内部地址。但是我更喜欢为公共DNS区域保留一个内部区域，以便具有这种粒度并能够在一个地方进行管理，而不是一步步进入防火墙。

通常，在环境中只有少数服务器可能需要此服务（邮件，Web，一些公共服务），因此这并不是一个大问题。

我可以想到一些原因：

1. 由于不想将所有内部DNS信息发布给全世界，因此许多组织已经拆分了DNS，因此，无需过多的精力来处理也通过公共IP公开的少数服务器。
2. 随着组织及其网络的不断壮大，他们通常将为内部人员提供服务的系统与为外部人员提供服务的服务器分开，因此路由到外部人员以供内部使用可能会花费更长的网络路径。
3. 中间设备对数据包所做的修改越少，则在延迟，响应时间，设备负载和故障排除方面就越好。
4. （承认，这是非常小的），如果NATing设备没有超出数据包的报头并使用新的IP地址修改数据包中的数据，则NAT仍然会中断。即使只是机构记忆的一种情况，这仍然是人们避免使用它的一个正当理由，尤其是当他们正在处理自己不确定的协议时。

如果要使用NAT环回，我会担心NAT设备如何处理欺骗的源地址。如果它不检查数据包进入哪个接口，那么我可以从WAN欺骗内部地址，然后使用内部地址将数据包发送到服务器。我没有得到答复，但是我可以使用内部地址来破坏服务器。

我将设置NAT环回，插入DMZ交换机，然后使用欺骗性的内部源地址发送数据包。检查服务器日志以查看是否收到了它们。然后，我去咖啡店，看看我的ISP是否阻止了欺骗性的地址。如果我发现NAT路由器没有检查源接口，即使我的ISP正在检查，我也可能不会使用NAT环回。