ASA: бір жалпы IP-де VPN порты және DMZ статикалық PAT

Екі қызмет, бір жалпы мекенжай және портты брондап тұрғандай көрінетін DNS атауы. Олай емес. ASA-да VPN жазбасының қасында DMZ серверін жарияламас бұрын жазба кортеждерін жазып алыңыз және оларды ретімен тексеріңіз; бар қызметке сәйкес келетін бірінші өріс - жоспар тоқтайтын орын. Төмендегінің бәрі VPN құрылғының өзінде аяқталады деп болжайды, ішкі серверде емес.

Әмірді жазбас бұрын бес өрісті жазыңыз

Әрбір жалпы жазба үшін мекенжай отбасын, жалпы мекенжайды, тасымалды, жалпы портты және иесін жазыңыз. Иесі - ASA-ның жергілікті қызметі немесе аударылған ішкі сервер. Екі жазба бір мекенжайды бөлісіп, бәрібір түрлі кортеж бола алады, ал екі жазба диаграммада түрлі көрініп, құрылғыда соқтығыса алады.

Нақты порт үшін екінші баған ұстаңыз - ішкі сервер шынымен тыңдайтын порт. Жалпы порт пен нақты порт тәуелсіз таңдаулар, және оларды бір бағанға біріктірген сәтте кейін өз аудармаңызды оқу қабілетінен айырыласыз.

Нақты және салыстырылған позицияларды дұрыс оқыңыз

Қосқыңыз келетін серверден емес, қолыңызда бар кортежден бастаңыз. Иллюстрациялық бөлу бекітілген VPN жазбасын жалпы TCP 443-те қалдырады және DMZ HTTPS серверін жалпы TCP 8443-те жариялайды, ал сол сервер 443-те тыңдауды жалғастырады:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Орналастырылған әмірде нақты қызмет пен салыстырылған қызмет тұрақты позицияларда тұрады, және оларды ауыстыру бұзылғанды емес, басқа салыстыруды сипаттайды. Жұмыс істеп тұрған аударманың жұмбаққа айналуының ең көп тараған жолы осы: конфигурация жарамды, ол жай басқа жерді нұсқайды.

Cisco-ның ASA 9.16 NAT нұсқаулығы статикалық PAT-ты, интерфейс мекенжайын пайдалануды және нақты мен салыстырылған порттың мағыналарын құжаттайды. Нақты іске қосып отырған шығарылымның бөлімін оқыңыз; ескі платформадан есте қалған әмір толық ағымдағы конфигурация емес.

Тасымалды брондаудың бөлігі ретінде санаңыз

TCP 443 және UDP 443 түрлі кортеждер, және бұл айырмашылық UDP-ні тегін бермейді. VPN-нің бөлек TLS және DTLS тыңдаушылары болуы мүмкін, ал басқа конфигурацияланған қызметтер сізге қажет тасымалды бұрыннан ұстауы мүмкін. Веб-бетті бүкіл VPN жазбасы деп болжаудың орнына тиімді тыңдаушылар мен кіру саясатын түгендеңіз.

Сол мекенжайға шешілетін екінші хост атауы да тасымал деңгейіндегі қақтығысты шешпейді. DNS - атауды мекенжайға салыстыру, порт делдалы емес, және PAT арқылы серверді жариялау VPN тыңдаушысын басқа портқа көшірумен бір операция емес.

Егер VPN жазбасы шынымен көшуі керек болса, төрт нәрсе бірге өзгереді: клиент профилі, жалпы URL, жоғарғы ағын сүзгісі және орналастыру пайдаланатын әрбір тасымал. Оларды бір-бірлеп емес, бір терезеде жасаңыз. Құрылғыға жету үшін пайдаланатын қызметке қол тигізбес бұрын оған бөлек басқару жолын ашық ұстаңыз. Екінші жол болмаса, көшу - сырттан қайтара алмайтын өзгеріс.

Сырттан жаңа қосылымдармен тексеріңіз

Тиімді кіру саясаты бойынша тек көзделген DMZ қосымшасына рұқсат беріңіз, содан кейін сәйкес аударма ретін, сервердің қайтару жолын және сертификаттағы хост атауын тексеріңіз. PAT желілік межеленген жерді өзгертеді; ол қосымшаға кіру бермейді және басқа хостты атайтын сертификатты түзетпейді.

Екі қызметті де уәкілетті сыртқы хосттан жаңа қосылымдармен сынаңыз: VPN әлі де орнатылуы керек, ал DMZ сұранысы көзделген тыңдаушысына жетуі керек. Орнатылған сессия бұрынғы күйді сақтауы мүмкін, сондықтан ол бір минут бұрын өзгерткен салыстыру туралы ештеңе дәлелдемейді.

Орналастырғаныңызбен жазбалар тізілімін жаңартып, циклді жабыңыз, соның ішінде жасамай тапқан әрбір тыңдаушыны да қосыңыз. Сол мекенжайда келесі қызмет жариялайтын адам сіздің кестеңізден бастайды, ал ондағы қате жол осындағы қате әмірден қымбат.