ASA: bir ümumi IP-də VPN portu və DMZ statik PAT

İki xidmət, bir ümumi ünvan və portu ayırdığı kimi görünən bir DNS adı. Əslində ayırmır. ASA-da VPN girişinin yanında DMZ serveri yayımlamadan əvvəl giriş dəstlərini yazın və onları sıra ilə yoxlayın; mövcud xidmətlə uyğun gələn ilk sahə planın dayandığı yerdir. Aşağıdakıların hamısı VPN-in daxili serverdə deyil, cihazın özündə sonlandığını qəbul edir.

Əmri yazmadan əvvəl beş sahəni yazın

Hər ümumi giriş üçün ünvan ailəsini, ümumi ünvanı, nəqli, ümumi portu və sahibi qeyd edin. Sahib ya ASA-lokal xidmətdir, ya da tərcümə olunmuş daxili serverdir. İki giriş ünvanı paylaşa və yenə də fərqli dəstlər ola bilər, iki giriş diaqramda fərqli görünüb cihazda toqquşa bilər.

Real port üçün ikinci sütun saxlayın - daxili serverin həqiqətən dinlədiyi port. Ümumi port və real port müstəqil seçimlərdir və onları bir sütunda birləşdirdiyiniz anda öz tərcümənizi sonradan oxumaq imkanını itirirsiniz.

Real və xəritələnmiş mövqeləri düzgün oxuyun

Əlavə etmək istədiyiniz serverdən deyil, artıq əlinizdə olan dəstdən başlayın. İllüstrativ bölgü təsdiqlənmiş VPN girişini ümumi TCP 443-də saxlayır və DMZ HTTPS serverini ümumi TCP 8443-də yayımlayır, halbuki o server 443-də dinləməyə davam edir:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Yerləşdirilmiş əmrdə real xidmət və xəritələnmiş xidmət sabit mövqelərdə durur və onları tərsinə çevirmək pozulmuş deyil, fərqli bir xəritələmə təsvir edir. İşlək tərcümənin tapmacaya çevrilməsinin ən geniş yayılmış yolu budur: konfiqurasiya etibarlıdır, sadəcə başqa yerə işarə edir.

Cisco-nun ASA 9.16 NAT bələdçisi statik PAT-ı, interfeys ünvanının istifadəsini və real ilə xəritələnmiş port mənalarını sənədləşdirir. Həqiqətən işlətdiyiniz buraxılış üçün olan bölməni oxuyun; köhnə platformadan xatırlanan əmr tam cari konfiqurasiya deyil.

Nəqli rezervasiyanın bir hissəsi kimi sayın

TCP 443 və UDP 443 fərqli dəstlərdir və bu fərq UDP dəstini sizə pulsuz vermir. VPN-in ayrı TLS və DTLS dinləyiciləri ola bilər və digər konfiqurasiya olunmuş xidmətlər istədiyiniz nəqli artıq tuta bilər. Veb səhifənin bütün VPN girişi olduğunu güman etmək əvəzinə effektiv dinləyiciləri və giriş siyasətini inventarlaşdırın.

Eyni ünvana çevrilən ikinci host adı da nəql səviyyəsində toqquşmanı həll etmir. DNS ad-ünvan xəritələməsidir, port brokeri deyil və serveri PAT ilə yayımlamaq VPN dinləyicisini başqa porta köçürməklə eyni əməliyyat deyil.

Əgər VPN girişi həqiqətən köçməlidirsə, dörd şey birlikdə dəyişir: klient profili, ümumi URL, yuxarı axın filtrləməsi və yerləşdirmənin istifadə etdiyi hər nəql. Onları bir-bir deyil, bir pəncərədə edin. Çatmaq üçün istifadə etdiyiniz xidmətə toxunmadan əvvəl cihaza ayrı bir idarəetmə yolu açıq saxlayın. İkinci yol olmadan köçürmə xaricdən geri qaytara bilməyəcəyiniz bir dəyişiklikdir.

Xaricdən təzə bağlantılarla yoxlayın

Effektiv giriş siyasəti altında yalnız nəzərdə tutulan DMZ tətbiqinə icazə verin, sonra uyğun tərcümə sırasını, serverin qayıdış yolunu və sertifikatdakı host adını yoxlayın. PAT şəbəkə təyinatını dəyişir; tətbiq girişi vermir və fərqli host adlandıran sertifikatı bərpa etmir.

Hər iki xidməti səlahiyyətli xarici hostdan yeni bağlantılarla sınayın: VPN hələ də qurulmalı və DMZ sorğusu nəzərdə tutulan dinləyicisinə çatmalıdır. Qurulmuş sessiya əvvəlki vəziyyəti saxlaya bilər, buna görə bir dəqiqə əvvəl dəyişdiyiniz xəritələmə haqqında heç nə sübut etmir.

Dövrəni yerləşdirdiklərinizlə giriş inventarını yeniləyərək bağlayın, o cümlədən yaratmadığınız, kəşf etdiyiniz hər dinləyicini. Həmin ünvanda xidmət yayımlayacaq növbəti şəxs sizin cədvəlinizdən başlayacaq və orada səhv bir sətir buradakı səhv əmrdən daha bahalıdır.