防火墙策略DMZ到DMZ，如何设备策略允许DMZ从Untrust口连接到另外一个DMZ?

防火墙策略DMZ到DMZ，如何设备策略允许DMZ从Untrust口连接到另外一个DMZ?

1、客户需求，客户有两个DMZ，一个是监控网络一个DMZ，另外一个是服务器网络，一个DMZ。现在有一个需求，有一个服务器，监控网络的主机需要访问，但是这个服务器，当时开发人员，只允许外网访问，内网是无法访问的。那在DMZ监控网络的主机，如果要访问这个服务器的策略该如何做呢？

2、解决办法：

第一步，需要将DMZ和trust区接口都开通NAT Haripin。

nat hairpin也可以叫端口回流或者NAT回环。

内网：192.168.1.2，内网服务器：192.168.1.254

外网：10.0.0.2

不开启　nat hairpin，访问流量路径只是：从192.168.1.2直接走内网访问服务器192.168.1.254。

在端口开启nat hairpin enable后，路径就是192.168.1.2到NAT端口10.0.0.2转换后再访问192.168.1.254。相当于从外网NAT接口绕了一圈再访问192.168.1.254。

这样做的好处就是，所有访问服务器的流量都是经过防火墙控制，从而拒绝了来自内网的内部攻击（防止内鬼）。

3、 上面也说了，开启NAT hairpin，从监控网络DMZ中的机器访问服务器DZM中的机器，理论来说，NAT haripin开启后，DMZ访问另外一个DMZ区域，那应该是从Untrust走一圈。的确是DMZ访问另外一个DMZ流量从Untrust走了一圈，那为什么监控DMZ区域，无法访问服务器DMZ区域呢？

那是由于服务器DMZ区域中的那台服务器，开发的时候，只允许从Untrust访问，流量走的是对的，但是策略，就需要将监控DMZ-服务器DMZ中走过的地址都允许才可以，否则是被拒绝的，所以在写策略的时候，需要将外网地址也要加入到策略中。

4、如下图所示：