ASA: porth VPN a PAT statig DMZ ar un IP cyhoeddus
Un cyfeiriad cyhoeddus, dau wasanaeth. Rhestrwch gyfeiriad, trafnidiaeth a phorth ar gyfer gwrandäwr VPN a PAT y DMZ cyn i'r naill hawlio cofnod y llall.
Dau wasanaeth, un cyfeiriad cyhoeddus, ac enw DNS sy'n teimlo fel petai'n cadw porth. Nid yw'n gwneud hynny. Cyn i chi gyhoeddi gweinydd DMZ wrth ymyl cofnod VPN ar ASA, ysgrifennwch y tupleau cofnod a'u gwirio mewn trefn; y maes cyntaf sy'n cyfateb i wasanaeth sy'n bodoli eisoes yw'r man lle mae'r cynllun yn stopio. Mae popeth isod yn tybio bod y VPN yn terfynu ar y teclyn ei hun, nid ar weinydd mewnol.
Ysgrifennwch y pum maes cyn i chi ysgrifennu'r gorchymyn
Ar gyfer pob cofnod cyhoeddus, cofnodwch deulu'r cyfeiriad, y cyfeiriad cyhoeddus, y drafnidiaeth, y porth cyhoeddus a'r perchennog. Y perchennog yw naill ai gwasanaeth lleol i ASA neu weinydd mewnol wedi'i gyfieithu. Gall dau gofnod rannu cyfeiriad a bod yn tupleau gwahanol o hyd, a gall dau gofnod edrych yn wahanol ar ddiagram wrth daro yn erbyn ei gilydd ar y teclyn.
Cadwch ail golofn ar gyfer y porth go iawn, yr un y mae'r gweinydd mewnol yn gwrando arno mewn gwirionedd. Mae'r porth cyhoeddus a'r porth go iawn yn ddewisiadau annibynnol, a'r eiliad y byddwch yn eu dal ynghyd yn un golofn, byddwch yn colli'r gallu i ddarllen eich cyfieithiad eich hun yn ddiweddarach.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Darllenwch y safleoedd go iawn a'r rhai wedi'u mapio'n gywir
Dechreuwch o'r tuple sydd gennych yn barod, nid o'r gweinydd yr hoffech ei ychwanegu. Mae rhaniad darluniol yn cadw'r cofnod VPN cymeradwy ar TCP 443 cyhoeddus ac yn cyhoeddi gweinydd DMZ HTTPS ar TCP 8443 cyhoeddus tra bo'r gweinydd hwnnw'n dal i wrando ar 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443Yn y gorchymyn a osodwyd, mae'r gwasanaeth go iawn a'r gwasanaeth wedi'i fapio yn sefyll mewn safleoedd sefydlog, ac mae eu gwrthdroi yn disgrifio mapio gwahanol yn hytrach nag un wedi torri. Dyma'r ffordd fwyaf cyffredin y mae cyfieithiad gweithredol yn troi'n bos: mae'r ffurfweddiad yn ddilys, dim ond yn pwyntio rywle arall.
Mae canllaw NAT ASA 9.16 Cisco yn dogfennu PAT statig, defnydd cyfeiriad rhyngwyneb ac ystyron porth go iawn yn erbyn porth wedi'i fapio. Darllenwch yr adran ar gyfer y rhyddhau rydych chi'n ei redeg mewn gwirionedd; nid yw gorchymyn a gofir o blatfform hŷn yn ffurfweddiad cyfredol cyflawn.
Cyfrwch drafnidiaeth fel rhan o'r cadw
Mae TCP 443 ac UDP 443 yn dupleau gwahanol, ac nid yw'r gwahaniaeth hwnnw'n rhoi'r un UDP i chi am ddim. Gall VPN fod â gwrandawyr TLS a DTLS ar wahân, a gall gwasanaethau eraill sydd wedi'u ffurfweddu ddal y drafnidiaeth rydych ei heisiau'n barod. Rhestrwch y gwrandawyr effeithiol a'r polisi mynediad yn lle tybio mai'r dudalen we yw'r cofnod VPN cyfan.
Nid yw ail enw gwesteiwr sy'n datrys i'r un cyfeiriad yn datrys gwrthdrawiad ar lefel trafnidiaeth ychwaith. Mapio enw i gyfeiriad yw DNS, nid brocer porthladdoedd, ac nid yw cyhoeddi gweinydd trwy PAT yr un weithred â symud gwrandäwr VPN i borth arall.
Os oes rhaid i'r cofnod VPN symud mewn gwirionedd, mae pedwar peth yn newid gyda'i gilydd: proffil y cleient, yr URL cyhoeddus, yr hidlo i fyny'r llif a phob trafnidiaeth y mae'r defnyddio'n ei defnyddio. Gwnewch nhw mewn un ffenestr yn lle un ar y tro. Cadwch lwybr rheoli ar wahân i'r teclyn ar agor cyn i chi gyffwrdd â'r gwasanaeth rydych yn ei ddefnyddio i'w gyrraedd. Heb ail lwybr, mae'r symudiad yn newid na allwch ei dynnu'n ôl o'r tu allan.
Gwiriwch o'r tu allan gyda chysylltiadau ffres
Caniatéwch yn unig y rhaglen DMZ a fwriadwyd o dan y polisi mynediad effeithiol, yna gwiriwch y drefn gyfieithu gyfatebol, llwybr dychwelyd y gweinydd, ac enw'r gwesteiwr ar y dystysgrif. Mae PAT yn newid cyrchfan y rhwydwaith; nid yw'n rhoi mynediad i'r rhaglen ac nid yw'n trwsio tystysgrif sy'n enwi gwesteiwr gwahanol.
Profwch y ddau wasanaeth â chysylltiadau newydd o westeiwr allanol awdurdodedig: dylai'r VPN sefydlu o hyd, a dylai'r cais DMZ gyrraedd ei wrandäwr bwriadedig. Gall sesiwn sefydledig gadw cyflwr cynharach, felly nid yw'n profi dim am fapio y gwnaethoch ei newid munud yn ôl.
Caewch y ddolen trwy ddiweddaru'r rhestr gofnodion gyda'r hyn a osodwyd gennych, gan gynnwys unrhyw wrandäwr y gwnaethoch ei ddarganfod yn hytrach na'i greu. Bydd y person nesaf sy'n cyhoeddi gwasanaeth ar y cyfeiriad hwnnw yn dechrau o'ch tabl chi, ac mae rhes anghywir yno yn costio mwy na gorchymyn anghywir yma.