ASA. VPN պորտ և DMZ ստատիկ PAT մեկ հանրային IP-ի վրա
Մեկ հանրային հասցե, երկու ծառայություն։ Գույքագրեք հասցեն, տրանսպորտը և պորտը VPN լսողի և DMZ PAT-ի համար, նախքան մեկը կզբաղեցնի մյուսի գրառումը։
Երկու ծառայություն, մեկ հանրային հասցե և DNS անուն, որը թվում է, թե պորտ է վերապահում։ Չի վերապահում։ Նախքան ASA-ի վրա VPN գրառման կողքին DMZ սերվեր հրապարակելը, գրեք գրառումների բազմապատիկները և ստուգեք դրանք հերթականությամբ: առաջին դաշտը, որը համընկնում է գոյություն ունեցող ծառայության հետ, այն տեղն է, որտեղ պլանը կանգ է առնում։ Ամեն ինչ ստորև ենթադրում է, որ VPN-ն ավարտվում է հենց սարքի վրա, ոչ թե ներքին սերվերի։
Գրեք հինգ դաշտերը նախքան հրամանը գրելը
Յուրաքանչյուր հանրային գրառման համար գրանցեք հասցեների ընտանիքը, հանրային հասցեն, տրանսպորտը, հանրային պորտը և սեփականատերը: Սեփականատերը կամ ASA-ի տեղական ծառայություն է, կամ թարգմանված ներքին սերվեր: Երկու գրառում կարող են կիսել հասցեն և դեռ տարբեր բազմապատիկներ լինել, և երկու գրառում կարող են տարբեր երևալ սխեմայի վրա՝ միաժամանակ բախվելով սարքի վրա:
Պահեք երկրորդ սյունակ իրական պորտի համար՝ այն, որի վրա ներքին սերվերը իրականում լսում է: Հանրային պորտը և իրական պորտը անկախ ընտրություններ են, և այն պահին, երբ դրանք միավորեք մեկ սյունակում, կկորցնեք ձեր սեփական թարգմանությունը հետագայում կարդալու ունակությունը:
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Կարդացեք իրական և քարտեզագրված դիրքերը ճիշտ
Սկսեք այն բազմապատիկից, որ արդեն ունեք, ոչ թե այն սերվերից, որ ուզում եք ավելացնել: Ցուցադրական բաժանումը հաստատված VPN գրառումը պահում է հանրային TCP 443-ի վրա և հրապարակում DMZ HTTPS սերվեր հանրային TCP 8443-ի վրա, մինչ այդ սերվերը շարունակում է լսել 443-ի վրա:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443Տեղադրված հրամանում իրական ծառայությունը և քարտեզագրված ծառայությունը գտնվում են ֆիքսված դիրքերում, և դրանք տեղերով փոխելը նկարագրում է այլ քարտեզագրում, ոչ թե կոտրված: Սա աշխատող թարգմանությունը հանելուկի վերածելու ամենատարածված ձևն է. կոնֆիգուրացիան վավեր է, այն պարզապես ցույց է տալիս այլ տեղ:
Cisco-ի ASA 9.16 NAT ուղեցույցը փաստագրում է ստատիկ PAT-ը, ինտերֆեյսի հասցեի օգտագործումը և իրական ու քարտեզագրված պորտի իմաստները: Կարդացեք այն թողարկման բաժինը, որը իրականում գործարկում եք. ավելի հին պլատֆորմից հիշված հրամանը լիարժեք ընթացիկ կոնֆիգուրացիա չէ:
Հաշվեք տրանսպորտը որպես վերապահման մաս
TCP 443-ը և UDP 443-ը տարբեր բազմապատիկներ են, և այդ տարբերությունը ձեզ UDP-ն անվճար չի տալիս: VPN-ն կարող է ունենալ առանձին TLS և DTLS լսողներ, և այլ կարգավորված ծառայություններ կարող են արդեն զբաղեցնել ձեր ուզած տրանսպորտը: Գույքագրեք արդյունավետ լսողներին և մուտքի քաղաքականությունը՝ փոխարենը ենթադրելու, որ վեբ էջը ամբողջ VPN գրառումն է:
Նույն հասցեին լուծվող երկրորդ հոսթի անունը նույնպես չի լուծում տրանսպորտային մակարդակի բախումը: DNS-ը անուն-հասցե քարտեզագրում է, ոչ թե պորտի միջնորդ, և PAT-ով սերվեր հրապարակելը նույն գործողությունը չէ, ինչ VPN լսողին այլ պորտ տեղափոխելը:
Եթե VPN գրառումն իսկապես պետք է տեղափոխվի, չորս բան փոխվում է միասին. հաճախորդի պրոֆիլը, հանրային URL-ը, վերին զտումը և յուրաքանչյուր տրանսպորտ, որն օգտագործում է տեղակայումը: Արեք դրանք մեկ պատուհանում, ոչ թե մեկ առ մեկ: Բաց պահեք սարքին տանող առանձին կառավարման ուղին, նախքան կդիպչեք այն ծառայությանը, որով հասնում եք դրան: Առանց երկրորդ ուղու՝ տեղափոխումը փոփոխություն է, որը դրսից հետ չեք կարող վերցնել:
Ստուգեք դրսից թարմ կապերով
Թույլատրեք միայն նախատեսված DMZ հավելվածը գործող մուտքի քաղաքականության ներքո, ապա ստուգեք համապատասխան թարգմանության հերթականությունը, սերվերի վերադարձի ուղին և վկայագրի հոսթի անունը: PAT-ը փոխում է ցանցային նպատակակետը. այն չի տալիս հավելվածի հասանելիություն և չի վերանորոգում վկայագիր, որը նշում է այլ հոսթ:
Փորձարկեք երկու ծառայությունները նոր կապերով լիազորված արտաքին հոսթից. VPN-ը պետք է դեռ հաստատվի, իսկ DMZ հարցումը պետք է հասնի իր նախատեսված լսողին: Հաստատված սեանսը կարող է պահել նախկին վիճակ, ուստի այն ոչինչ չի ապացուցում մեկ րոպե առաջ փոխած քարտեզագրման մասին:
Փակեք շրջանը՝ թարմացնելով գրառումների գույքագրումը նրանով, ինչ տեղակայել եք, ներառյալ ցանկացած լսող, որը հայտնաբերել եք, այլ ոչ թե ստեղծել: Հաջորդ մարդը, ով ծառայություն կհրապարակի այդ հասցեում, կսկսի ձեր աղյուսակից, և այնտեղ սխալ տողն ավելի թանկ է, քան այստեղ սխալ հրամանը: