ASA: VPN ataka eta DMZ PAT estatikoa IP publiko bakarrean
Helbide publiko bat, bi zerbitzu. Inbentaria itzazu helbidea, garraioa eta ataka VPN entzulearentzat eta DMZren PATarentzat, bakoitzak bestearen sarrera harreman dezan baino lehen.
Bi zerbitzu, helbide publiko bat eta ataka bat erreserbatzen duela dirudien DNS izen bat. Ez du egiten. ASA batean VPN sarrera alboan DMZ zerbitzari bat argitaratu aurretik, idatzi sarreren tuplak eta egiaztatu itzazu ordenan; dagoen zerbitzu batekin bat egiten duen lehen eremua da plana gelditzen den lekua. Jarraian guztiak VPN gailu beraren gainean amaitzen dela suposatzen du, barruko zerbitzari baten gainean ez.
Idatzi bost eremuak komandoa idatzi aurretik
Sarrera publiko bakoitzeko, erregistratu helbide familia, helbide publikoa, garraioa, ataka publikoa eta jabea. Jabea ASA lokaleko zerbitzu bat edo itzulitako barruko zerbitzari bat da. Bi sarrerek helbide bat parteka dezakete eta hala ere tupla desberdinak izan, eta bi sarrerek diagraman desberdinak dirudi gailuan talka egiten duten bitartean.
Eduki bigarren zutabe bat ataka errealerako, barruko zerbitzariak benetan entzuten duen horretarako. Ataka publikoa eta ataka erreala aukera independenteak dira, eta zutabe bakarrean batu orduan galdu egiten duzu zeure itzulpena geroago irakurtzeko gaitasuna.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Irakurri posizio errealak eta mapatuak behar bezala
Hasi jadanik duzun tuplatik, ez gehitu nahi duzun zerbitzaritik. Banaketa ilustratibo batek onartutako VPN sarrera TCP 443 publikoan mantentzen du eta DMZ HTTPS zerbitzari bat TCP 8443 publikoan argitaratzen du, zerbitzari horrek 443an entzuten jarraitzen duen bitartean:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443Hedatutako komandoan, zerbitzu erreala eta zerbitzu mapatua posizio finkoetan daude, eta haiek alderanzteak beste mapaketa bat deskribatzen du, ez hautsia. Hauxe da itzulpen funtzionala buruketa bihurtzeko modurik ohikoena: konfigurazioa baliozkoa da, beste nonbaitera adierazten du soilik.
Ciscoren ASA 9.16 NAT gidak PAT estatikoaren, interfaze helbidearen erabileraren eta ataka erreala eta mapatuaren esanahien berri ematen du. Irakurri benetan exekutatzen duzun bertsioaren atala; plataforma zahar batetik gogoratutako komandoa ez da uneko konfigurazio osoa.
Zenbatu garraioa erreserbaren parte gisa
TCP 443 eta UDP 443 tupla desberdinak dira, eta desberdintasun horrek ez dizu UDPa doan ematen. VPN batek TLS eta DTLS entzule bereiziak izan ditzake, eta beste zerbitzu konfiguratuek jada eduki dezakete nahi duzun garraioa. Inbentaria itzazu entzule eraginkorrak eta sarbide politika, web orria VPN sarrera osoa dela suposatu beharrean.
Helbide berera ebazten duen bigarren ostalari izen batek ere ez du garraio mailako talka bat konpontzen. DNS izena-helbidera mapatzea da, ez ataka artekaririk, eta zerbitzari bat PAT bidez argitaratzea ez da VPN entzulea beste ataka batera mugitzea bezalako eragiketa bera.
VPN sarrera benetan mugitu behar bada, lau gauza batera aldatzen dira: bezeroaren profila, URL publikoa, gorako iragazketa eta hedapenak erabiltzen duen garraio bakoitza. Egin itzazu leiho bakarrean, banan-banan eman beharrean. Eduki gailurako kudeatze bide bereizi bat irekita, hara iristeko erabiltzen duzun zerbitzua ukitu aurretik. Bigarren biderik gabe, mugimendua kanpotik atzera ezin dezakezun aldaketa da.
Egiaztatu kanpotik konexio berriekin
Baimendu aurreikusitako DMZ aplikazioa soilik sarbide politika eraginkorraren pean, eta gero egiaztatu bat datozen itzulpen ordena, zerbitzariaren itzulera bidea eta ziurtagiriko ostalari izena. PATek sareko helburua aldatzen du; ez dio aplikazioari sarbiderik ematen eta ez du beste ostalari bat izendatzen duen ziurtagiririk konpontzen.
Probatu bi zerbitzuak konexio berriekin baimendutako kanpoko ostalari batetik: VPNak oraindik ezarri behar du, eta DMZ eskaerak bere aurreikusitako entzulera iritsi behar du. Ezarritako saio batek aurreko egoera gorde dezake, beraz, duela minutu bat aldatu duzun mapaketari buruz ezer ez du frogatzen.
Itxi begizta inbentarioa hedatu duzunarekin eguneratuz, sortu beharrean aurkitu duzun edozein entzule barne. Helbide horretan zerbitzu bat argitaratuko duen hurrengo pertsonak zure taulatik hasiko da, eta han errenkada oker batek hemen komando oker batek baino gehiago kostatzen du.