ASA: port VPN agus PAT statach DMZ ar aon IP phoiblí amháin
Aon seoladh poiblí amháin, dhá sheirbhís. Déan fardal ar sheoladh, ar iompar agus ar phort don éisteoir VPN agus don PAT DMZ sula n-éilíonn ceann acu iontráil an chinn eile.
Dhá sheirbhís, aon seoladh poiblí amháin, agus ainm DNS a mhothaíonn mar a bheadh port á chur in áirithe aige. Ní dhéanann sé sin. Sula bhfoilsíonn tú freastalaí DMZ le taobh iontráil VPN ar ASA, scríobh síos na teanchair iontrála agus seiceáil in ord iad; is é an chéad réimse a mheaitseálann seirbhís atá ann cheana an áit a stopann an plean. Glactar leis sa mhéid thíos go gcríochnaíonn an VPN ar an bhfeiste féin, ní ar fhreastalaí istigh.
Scríobh na cúig réimse sula scríobhann tú an t-ordú
Do gach iontráil phoiblí, taifead an teaghlach seoltaí, an seoladh poiblí, an t-iompar, an port poiblí agus an t-úinéir. Is é an t-úinéir ná seirbhís áitiúil ASA nó freastalaí istigh aistrithe. Is féidir le dhá iontráil seoladh a roinnt agus a bheith ina dteanchair éagsúla fós, agus is féidir le dhá iontráil breathnú éagsúil ar léaráid agus iad ag bualadh ar an bhfeiste.
Coinnigh dara colún don phort fíor, an ceann a bhfuil an freastalaí istigh ag éisteacht air i ndáiríre. Is roghanna neamhspleácha iad an port poiblí agus an port fíor, agus an nóiméad a chomhcheanglaíonn tú in aon cholún iad, caillfidh tú an cumas do d'aistriúchán féin a léamh níos déanaí.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Léigh na suíomhanna fíor agus mapáilte i gceart
Tosaigh ón teanchair atá agat cheana, ní ón bhfreastalaí ar mhaith leat a chur leis. Coinníonn deighilt léiritheach an iontráil VPN cheadaithe ar TCP 443 poiblí agus foilsíonn sé freastalaí DMZ HTTPS ar TCP 8443 poiblí agus an freastalaí sin fós ag éisteacht ar 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443San ordú imlonnaithe, tá an tseirbhís fhíor agus an tseirbhís mhapáilte in áiteanna seasta, agus má chuirtear droim ar ais iad cuirtear síos ar mhapáil eile seachas ceann briste. Sin an bealach is coitianta a n-iompaíonn aistriúchán oibre ina phuzal: tá an chumraíocht bailí, ní dhéanann sí ach pointeáil áit éigin eile.
Déanann treoir NAT ASA 9.16 ó Cisco doiciméadú ar PAT statach, ar úsáid seoladh comhéadain agus ar bhríonna port fíor i gcoinne port mapáilte. Léigh an chuid don scaoileadh a ritheann tú i ndáiríre; ní chumraíocht iomlán reatha é ordú a mheabhraítear ó ardán níos sine.
Cuir an t-iompar san áireamh mar chuid den áirithint
Is teanchair éagsúla iad TCP 443 agus UDP 443, agus ní thugann an difríocht sin an ceann UDP duit saor in aisce. D'fhéadfadh éisteoirí TLS agus DTLS ar leith a bheith ag VPN, agus d'fhéadfadh seirbhísí cumraithe eile an t-iompar atá uait a shealbhú cheana. Déan fardal ar na héisteoirí éifeachtacha agus ar an bpolasaí rochtana in ionad glacadh leis gurb é an leathanach gréasáin an iontráil VPN ar fad.
Ní réitíonn dara hainm óstaigh a réitíonn leis an seoladh céanna le haghaidh imbhuailte ar leibhéal iompair ach an oiread. Is mapáil ainm-go-seoladh é DNS, ní bróicéir poirt, agus ní ionann foilsiú freastalaí trí PAT agus an éisteoir VPN a bhogadh go port eile.
Má chaithfidh an iontráil VPN bogadh i ndáiríre, athraíonn ceithre rud le chéile: próifíl an chliaint, an URL poiblí, an scagadh in aghaidh an tsrutha agus gach iompar a úsáideann an t-imlonnú. Déan iad in aon fhuinneog amháin seachas ceann ar cheann. Coinnigh cosán bainistíochta ar leith chuig an bhfeiste oscailte sula mbuaileann tú leis an tseirbhís a úsáideann tú chun í a shroichint. Gan dara cosán, is athrú é an bogadh nach féidir leat tarraingt siar as ón taobh amuigh.
Fíoraigh ón taobh amuigh le naisc nua
Ná ceadaigh ach an fheidhm DMZ atá beartaithe faoin bpolasaí rochtana éifeachtach, ansin seiceáil an t-ord aistriúcháin meaitseála, cosán fillte an fhreastalaí agus ainm an óstaigh ar an teastas. Athraíonn PAT an ceann scríbe líonra; ní thugann sé rochtain fheidhme agus ní dheisíonn sé teastas a ainmníonn óstach eile.
Tástáil an dá sheirbhís le naisc nua ó óstach seachtrach údaraithe: ba cheart don VPN socrú fós, agus ba cheart don iarratas DMZ a éisteoir beartaithe a shroichint. Is féidir le seisiún bunaithe staid níos luaithe a choinneáil, mar sin ní chruthaíonn sé aon rud faoi mhapáil a d'athraigh tú nóiméad ó shin.
Dún an lúb tríd an bhfardal iontrálacha a nuashonrú leis an méid a d'imlonnú tú, lena n-áirítear aon éisteoir a d'aimsigh tú seachas a chruthaigh tú. Tosóidh an chéad duine eile a fhoilsíonn seirbhís ar an seoladh sin ó do thábla, agus cosnaíonn ról mícheart ansin níos mó ná ordú mícheart anseo.