ASA: tashar VPN da DMZ PAT na tsaye a kan IP guda ɗaya na jama'a

Ayyuka biyu, adireshin jama'a ɗaya, da sunan DNS da yake ji kamar yana ajiye tasha. Ba ya yin haka. Kafin ka wallafa sabar DMZ kusa da shigar VPN a kan ASA, rubuta jerin abubuwan shigar ka duba su bisa tsari; filin farko da ya dace da wata hidima da take akwai shi ne inda shirin ya tsaya. Duk abin da ke ƙasa yana ɗauka cewa VPN tana ƙarewa a kan na'urar kanta, ba a kan sabar ciki ba.

Rubuta filaye biyar kafin ka rubuta umarnin

Ga kowace shigar jama'a, rubuta iyalin adireshi, adireshin jama'a, jigilar bayanai, tashar jama'a da mai shi. Mai shi ko hidima ce ta gida a ASA ko kuma sabar ciki da aka fassara. Shigar biyu na iya raba adireshi ɗaya kuma har yanzu su zama jerin daban-daban, kuma shigar biyu na iya zama daban a zane yayin da suke cin karo a kan na'urar.

Riƙe shafi na biyu don ainihin tashar, wadda sabar ciki take saurara a kai a zahiri. Tashar jama'a da ainihin tashar zaɓuɓɓuka ne masu zaman kansu, kuma da zarar ka haɗa su a shafi ɗaya ka rasa ikon karanta fassararka da kanka daga baya.

Karanta matsayan ainihi da waɗanda aka tsara daidai

Fara daga jerin da kake da shi, ba daga sabar da kake son ƙarawa ba. Wani rabo na misali yana riƙe da shigar VPN da aka amince da ita a kan TCP 443 na jama'a kuma ya wallafa sabar DMZ HTTPS a kan TCP 8443 na jama'a yayin da sabar take ci gaba da saurara a kan 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

A cikin umarnin da aka tura, ainihin hidima da hidimar da aka tsara suna tsaye a wurare na dindindin, kuma juya su yana bayanin wani tsari daban ba maras kyau ba. Wannan ita ce hanyar da ta fi yawa da fassara mai aiki take juya ta zama wuyar fahimta: tsarin yana da inganci, kawai yana nuni zuwa wani wuri.

Jagorar NAT ta ASA 9.16 daga Cisco ta rubuta PAT na tsaye, amfani da adireshin fuska da ma'anar ainihin tasha da wadda aka tsara. Karanta sashen na fitowar da kake gudanarwa a zahiri; umarnin da aka tuna daga tsohuwar dandali ba cikakken tsarin yanzu ba ne.

Ƙidaya jigilar bayanai a matsayin ɓangare na ajiyar

TCP 443 da UDP 443 jerin daban-daban ne, kuma wannan bambancin ba ya ba ka na UDP a kyauta. VPN na iya samun masu sauraro daban na TLS da DTLS, kuma wasu hidimomin da aka tsara na iya riga sun riƙe jigilar da kake so. Yi lissafin masu sauraro masu tasiri da manufar shiga maimakon ɗauka cewa shafin yanar gizon shi ne duk shigar VPN.

Sunan mai masaukin biyu da ke warwarewa zuwa adireshi ɗaya shima ba ya warware cin karo a matakin jigilar bayanai. DNS tsarin suna-zuwa-adireshi ne, ba dillalin tasha ba, kuma wallafa sabar ta PAT ba aiki ɗaya ba ne da matsar da mai sauraron VPN zuwa wata tasha.

Idan shigar VPN da gaske dole ta motsa, abubuwa huɗu suna canzawa tare: bayanin abokin ciniki, URL na jama'a, tacewa ta sama da kowace jigilar da turawar take amfani da ita. Yi su a taga ɗaya maimakon ɗaya bayan ɗaya. Riƙe hanyar gudanarwa daban zuwa na'urar a buɗe kafin ka taɓa hidimar da kake amfani da ita don isa gareta. Ba tare da hanya ta biyu ba, motsin canji ne da ba za ka iya janyewa daga waje ba.

Tabbatar daga waje da sabbin haɗi

Ba da izini kawai aikace-aikacen DMZ da aka nufa a ƙarƙashin manufar shiga mai tasiri, sannan duba tsarin fassarar da ya dace, hanyar dawowar sabar da sunan mai masauki a kan takardar shaidar. PAT yana canza makomar cibiyar sadarwa; ba ya ba da damar aikace-aikace kuma ba ya gyara takardar shaidar da ta ambaci wani mai masauki.

Gwada duka hidimomin biyu da sabbin haɗi daga wani mai masaukin waje da aka ba da izini: VPN ya kamata har yanzu ya kafu, kuma buƙatar DMZ ya kamata ta isa mai sauraronta da aka nufa. Zaman da ya riga ya kafu na iya riƙe tsohon yanayi, don haka ba ya tabbatar da komai game da tsarin da ka canza minti ɗaya da ya wuce.

Rufe zagayowar ta hanyar sabunta lissafin shigar da abin da ka tura, gami da duk wani mai sauraro da ka gano maimakon ƙirƙira. Mutumin da zai wallafa hidima a kan wannan adireshi zai fara daga teburinka, kuma layin da ba daidai ba a can yana da tsada fiye da umarnin da ba daidai ba a nan.