ASA: VPN პორტი და DMZ სტატიკური PAT ერთ საჯარო IP-ზე
ერთი საჯარო მისამართი, ორი სერვისი. აღრიცხეთ მისამართი, ტრანსპორტი და პორტი VPN მსმენელისა და DMZ PAT-ისთვის, სანამ ერთი მეორის ჩანაწერს დაიკავებს.
ორი სერვისი, ერთი საჯარო მისამართი და DNS სახელი, რომელიც თითქოს პორტს იტოვებს. არ იტოვებს. სანამ ASA-ზე VPN ჩანაწერის გვერდით DMZ სერვერს გამოაქვეყნებთ, ჩამოწერეთ ჩანაწერების ტოპლები და შეამოწმეთ ისინი თანმიმდევრობით; პირველი ველი, რომელიც არსებულ სერვისს ემთხვევა, არის ადგილი, სადაც გეგმა ჩერდება. ყველაფერი ქვემოთ ვარაუდობს, რომ VPN მთავრდება თავად მოწყობილობაზე და არა შიდა სერვერზე.
დაწერეთ ხუთი ველი, სანამ ბრძანებას დაწერთ
ყოველი საჯარო ჩანაწერისთვის ჩაწერეთ მისამართების ოჯახი, საჯარო მისამართი, ტრანსპორტი, საჯარო პორტი და მფლობელი. მფლობელი ან ASA-ის ლოკალური სერვისია, ან თარგმნილი შიდა სერვერი. ორ ჩანაწერს შეიძლება ერთი მისამართი ჰქონდეს და მაინც სხვადასხვა ტოპლი იყოს, და ორი ჩანაწერი დიაგრამაზე სხვადასხვანაირად გამოიყურებოდეს, სანამ მოწყობილობაზე ერთმანეთს ეჯახება.
შეინახეთ მეორე სვეტი რეალური პორტისთვის, იმისთვის, რომელსაც შიდა სერვერი რეალურად უსმენს. საჯარო პორტი და რეალური პორტი დამოუკიდებელი არჩევანია, და იმ მომენტში, როცა მათ ერთ სვეტში აერთიანებთ, კარგავთ საკუთარი თარგმანის მოგვიანებით წაკითხვის უნარს.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
წაიკითხეთ რეალური და ასახული პოზიციები სწორად
დაიწყეთ იმ ტოპლით, რომელიც უკვე გაქვთ და არა იმ სერვერით, რომლის დამატებაც გსურთ. საილუსტრაციო დაყოფა დამტკიცებულ VPN ჩანაწერს საჯარო TCP 443-ზე ტოვებს და DMZ HTTPS სერვერს საჯარო TCP 8443-ზე აქვეყნებს, მაშინ როცა ეს სერვერი 443-ზე სმენას აგრძელებს:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443განლაგებულ ბრძანებაში რეალური სერვისი და ასახული სერვისი ფიქსირებულ პოზიციებზე დგას და მათი შეცვლა აღწერს სხვა ასახვას და არა გატეხილს. ეს არის ყველაზე გავრცელებული გზა, რომლითაც მომუშავე თარგმანი თავსატეხად იქცევა: კონფიგურაცია ვალიდურია, ის უბრალოდ სხვა ადგილას მიუთითებს.
Cisco-ს ASA 9.16 NAT სახელმძღვანელო აღწერს სტატიკურ PAT-ს, ინტერფეისის მისამართის გამოყენებას და რეალური და ასახული პორტის მნიშვნელობებს. წაიკითხეთ იმ გამოშვების განყოფილება, რომელსაც რეალურად ამუშავებთ; ძველი პლატფორმიდან დამახსოვრებული ბრძანება სრული მიმდინარე კონფიგურაცია არ არის.
ჩათვალეთ ტრანსპორტი ჯავშნის ნაწილად
TCP 443 და UDP 443 სხვადასხვა ტოპლია და ეს განსხვავება UDP-ს უფასოდ არ გაძლევთ. VPN-ს შეიძლება ჰქონდეს ცალკე TLS და DTLS მსმენელები, და სხვა კონფიგურირებულ სერვისებს შეიძლება უკვე ეკავოს თქვენთვის სასურველი ტრანსპორტი. აღრიცხეთ ეფექტური მსმენელები და წვდომის პოლიტიკა იმის ნაცვლად, რომ ჩათვალოთ, თითქოს ვებ გვერდი მთელი VPN ჩანაწერია.
მეორე ჰოსტის სახელი, რომელიც იმავე მისამართზე წყდება, არც ტრანსპორტის დონის კოლიზიას წყვეტს. DNS არის სახელის მისამართში ასახვა და არა პორტების შუამავალი, და PAT-ის მეშვეობით სერვერის გამოქვეყნება არ არის იგივე ოპერაცია, რაც VPN მსმენელის სხვა პორტზე გადატანა.
თუ VPN ჩანაწერი ნამდვილად უნდა გადავიდეს, ოთხი რამ ერთად იცვლება: კლიენტის პროფილი, საჯარო URL, ზედა დინების ფილტრაცია და ყოველი ტრანსპორტი, რომელსაც განლაგება იყენებს. გააკეთეთ ისინი ერთ ფანჯარაში და არა სათითაოდ. მოწყობილობამდე ცალკე მართვის გზა ღიად შეინახეთ, სანამ შეეხებით იმ სერვისს, რომლითაც მას აღწევთ. მეორე გზის გარეშე გადატანა არის ცვლილება, რომლის გაუქმებაც გარედან არ შეგიძლიათ.
გადაამოწმეთ გარედან ახალი კავშირებით
დაუშვით მხოლოდ განკუთვნილი DMZ აპლიკაცია მოქმედი წვდომის პოლიტიკის ქვეშ, შემდეგ შეამოწმეთ შესაბამისი თარგმანის რიგი, სერვერის დაბრუნების გზა და სერტიფიკატზე არსებული ჰოსტის სახელი. PAT ცვლის ქსელის დანიშნულებას; ის არ იძლევა აპლიკაციაზე წვდომას და არ არეგულირებს სერტიფიკატს, რომელიც სხვა ჰოსტს ასახელებს.
გამოსცადეთ ორივე სერვისი ახალი კავშირებით ავტორიზებული გარე ჰოსტიდან: VPN კვლავ უნდა დამყარდეს და DMZ მოთხოვნა უნდა მიაღწიოს თავის განკუთვნილ მსმენელს. დამყარებულ სესიას შეიძლება ადრინდელი მდგომარეობა შეენარჩუნებინოს, ამიტომ ის არაფერს ამტკიცებს იმ ასახვაზე, რომელიც წუთის წინ შეცვალეთ.
დახურეთ ციკლი ჩანაწერების აღრიცხვის განახლებით იმით, რაც განათავსეთ, მათ შორის ყოველი მსმენელით, რომელიც აღმოაჩინეთ და არა შექმენით. შემდეგი ადამიანი, ვინც ამ მისამართზე სერვისს გამოაქვეყნებს, თქვენი ცხრილიდან დაიწყებს, და იქ არასწორი სტრიქონი უფრო ძვირია, ვიდრე აქ არასწორი ბრძანება.