ASA: একটি পাবলিক IP-তে VPN পোর্ট ও DMZ স্ট্যাটিক PAT
একটি পাবলিক ঠিকানা, দুটি সেবা। VPN লিসেনার ও DMZ PAT-এর জন্য ঠিকানা, ট্রান্সপোর্ট ও পোর্টের তালিকা করুন, তার আগেই একজন অন্যের এন্ট্রি দখল করে ফেলে।
দুটি সেবা, একটি পাবলিক ঠিকানা, এবং একটি DNS নাম যা পোর্ট সংরক্ষণ করে বলে মনে হয়। তা করে না। ASA-তে VPN এন্ট্রির পাশে DMZ সার্ভার প্রকাশ করার আগে এন্ট্রি টাপলগুলো লিখে নিন এবং ক্রম অনুসারে যাচাই করুন; বিদ্যমান সেবার সঙ্গে মেলে এমন প্রথম ক্ষেত্রটিই সেই জায়গা যেখানে পরিকল্পনা থামে. নিচের সবকিছু ধরে নেয় যে VPN অ্যাপ্লায়েন্সেই টার্মিনেট হয়, ভেতরের সার্ভারে নয়।
কমান্ড লেখার আগে পাঁচটি ক্ষেত্র লিখুন
প্রতিটি পাবলিক এন্ট্রির জন্য ঠিকানা পরিবার, পাবলিক ঠিকানা, ট্রান্সপোর্ট, পাবলিক পোর্ট এবং মালিক লিখে রাখুন। মালিক হয় ASA-স্থানীয় সেবা, নয়তো অনূদিত ভেতরের সার্ভার। দুটি এন্ট্রি একটি ঠিকানা ভাগ করতে পারে এবং তবু ভিন্ন টাপল হতে পারে, আর দুটি এন্ট্রি ডায়াগ্রামে ভিন্ন দেখালেও অ্যাপ্লায়েন্সে সংঘর্ষ করতে পারে।
আসল পোর্টের জন্য দ্বিতীয় কলাম রাখুন - যেটিতে ভেতরের সার্ভার সত্যিই শোনে। পাবলিক পোর্ট ও আসল পোর্ট স্বাধীন পছন্দ, আর যেই মুহূর্তে আপনি দুটিকে এক কলামে মিলিয়ে দেন, পরবর্তীতে নিজের অনুবাদ পড়ার সামর্থ্য হারান।
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
আসল ও ম্যাপ করা অবস্থানগুলো সঠিকভাবে পড়ুন
আপনি যে সার্ভার যোগ করতে চান তা থেকে নয়, যে টাপল ইতিমধ্যে আছে তা থেকে শুরু করুন। একটি দৃষ্টান্তমূলক বিভাজন অনুমোদিত VPN এন্ট্রিকে পাবলিক TCP 443-এ রাখে এবং পাবলিক TCP 8443-এ একটি DMZ HTTPS সার্ভার প্রকাশ করে, আর সেই সার্ভার 443-এ শোনা চালিয়ে যায়:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443স্থাপিত কমান্ডে আসল সেবা ও ম্যাপ করা সেবা নির্দিষ্ট অবস্থানে থাকে, এবং সেগুলো উল্টে দিলে ভাঙা নয় বরং ভিন্ন একটি ম্যাপিং বোঝায়। চালু অনুবাদ ধাঁধায় পরিণত হওয়ার এটাই সবচেয়ে সাধারণ উপায়: কনফিগারেশন বৈধ, শুধু অন্য জায়গায় নির্দেশ করে।
Cisco-র ASA 9.16 NAT নির্দেশিকা স্ট্যাটিক PAT, ইন্টারফেস-ঠিকানার ব্যবহার এবং আসল বনাম ম্যাপ করা পোর্টের অর্থ নথিভুক্ত করে। আপনি যে রিলিজ চালান তার অংশটি পড়ুন; পুরোনো প্ল্যাটফর্ম থেকে মনে রাখা কমান্ড সম্পূর্ণ বর্তমান কনফিগারেশন নয়।
সংরক্ষণের অংশ হিসেবে ট্রান্সপোর্ট গণনা করুন
TCP 443 ও UDP 443 ভিন্ন টাপল, এবং সেই পার্থক্য আপনাকে UDP-টি বিনামূল্যে দেয় না। একটি VPN-এর আলাদা TLS ও DTLS লিসেনার থাকতে পারে, আর অন্য কনফিগার করা সেবা ইতিমধ্যে আপনার কাঙ্ক্ষিত ট্রান্সপোর্ট ধরে রাখতে পারে। ওয়েব পৃষ্ঠাটিই সম্পূর্ণ VPN এন্ট্রি ধরে নেওয়ার বদলে কার্যকর লিসেনার ও অ্যাক্সেস নীতির তালিকা করুন।
একই ঠিকানায় রিজলভ হওয়া দ্বিতীয় হোস্টনামও ট্রান্সপোর্ট-স্তরের সংঘর্ষ সমাধান করে না। DNS হলো নাম-থেকে-ঠিকানা ম্যাপিং, পোর্ট ব্রোকার নয়, আর PAT-এর মাধ্যমে সার্ভার প্রকাশ করা VPN লিসেনারকে অন্য পোর্টে সরানোর সমান কাজ নয়।
VPN এন্ট্রি সত্যিই সরাতে হলে চারটি জিনিস একসঙ্গে বদলায়: ক্লায়েন্ট প্রোফাইল, পাবলিক URL, আপস্ট্রিম ফিল্টারিং এবং ডিপ্লয়মেন্ট যে ট্রান্সপোর্ট ব্যবহার করে তা। একবারে একটি নয়, একই উইন্ডোতে করুন। যে সেবা দিয়ে আপনি অ্যাপ্লায়েন্সে পৌঁছান তা স্পর্শ করার আগে অ্যাপ্লায়েন্সে একটি আলাদা ম্যানেজমেন্ট পথ খোলা রাখুন। দ্বিতীয় পথ ছাড়া সরানো এমন পরিবর্তন যা বাইরে থেকে ফেরানো যায় না।
বাইরে থেকে নতুন সংযোগ দিয়ে যাচাই করুন
কার্যকর অ্যাক্সেস নীতির অধীনে কেবল অভীষ্ট DMZ অ্যাপ্লিকেশন অনুমোদন করুন, তারপর মিলতে থাকা অনুবাদের ক্রম, সার্ভারের ফেরার পথ এবং সার্টিফিকেটের হোস্টনাম যাচাই করুন। PAT নেটওয়ার্ক গন্তব্য বদলায়; এটি অ্যাপ্লিকেশন অ্যাক্সেস দেয় না এবং ভিন্ন হোস্টের নাম থাকা সার্টিফিকেট ঠিক করে না।
অনুমোদিত বাইরের হোস্ট থেকে নতুন সংযোগ দিয়ে দুই সেবা পরীক্ষা করুন: VPN এখনও প্রতিষ্ঠিত হওয়া উচিত, আর DMZ অনুরোধ তার অভীষ্ট লিসেনারে পৌঁছানো উচিত। প্রতিষ্ঠিত সেশন আগের অবস্থা ধরে রাখতে পারে, তাই এক মিনিট আগে বদলানো ম্যাপিং সম্পর্কে এটি কিছু প্রমাণ করে না।
আপনি যা স্থাপন করেছেন তা দিয়ে এন্ট্রি ইনভেন্টরি হালনাগাদ করে চক্রটি বন্ধ করুন, যেসব লিসেনার তৈরি না করে আবিষ্কার করেছেন সেগুলোসহ। ওই ঠিকানায় পরবর্তী যে ব্যক্তি সেবা প্রকাশ করবেন তিনি আপনার টেবিল থেকে শুরু করবেন, আর সেখানে ভুল সারি এখানে ভুল কমান্ডের চেয়ে বেশি খরচ করায়।