ASA: ಒಂದು ಸಾರ್ವಜನಿಕ IP ಮೇಲೆ VPN ಪೋರ್ಟ್ ಮತ್ತು DMZ ಸ್ಟ್ಯಾಟಿಕ್ PAT
ಒಂದು ಸಾರ್ವಜನಿಕ ವಿಳಾಸ, ಎರಡು ಸೇವೆಗಳು. VPN ಲಿಸನರ್ ಮತ್ತು DMZ PAT ಗಾಗಿ ವಿಳಾಸ, ಸಾರಿಗೆ ಮತ್ತು ಪೋರ್ಟ್ ಅನ್ನು ಒಂದು ಇನ್ನೊಂದರ ನಮೂದನ್ನು ಆಕ್ರಮಿಸುವ ಮೊದಲು ಪಟ್ಟಿ ಮಾಡಿ.
ಎರಡು ಸೇವೆಗಳು, ಒಂದು ಸಾರ್ವಜನಿಕ ವಿಳಾಸ, ಮತ್ತು ಪೋರ್ಟ್ ಕಾಯ್ದಿರಿಸಿದಂತೆ ಅನಿಸುವ ಒಂದು DNS ಹೆಸರು. ಹಾಗೆ ಮಾಡುವುದಿಲ್ಲ. ASA ಯಲ್ಲಿ VPN ನಮೂದಿನ ಪಕ್ಕದಲ್ಲಿ DMZ ಸರ್ವರ್ ಪ್ರಕಟಿಸುವ ಮೊದಲು ನಮೂದಿನ ಟ್ಯೂಪಲ್‌ಗಳನ್ನು ಬರೆದು ಅವುಗಳನ್ನು ಕ್ರಮವಾಗಿ ಪರಿಶೀಲಿಸಿ; ಇರುವ ಸೇವೆಗೆ ಹೊಂದಿಕೆಯಾಗುವ ಮೊದಲ ಕ್ಷೇತ್ರವೇ ಯೋಜನೆ ನಿಲ್ಲುವ ಸ್ಥಳ. ಕೆಳಗಿನ ಎಲ್ಲವೂ VPN ಸಾಧನದ ಮೇಲೆಯೇ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ ಎಂದು ಊಹಿಸುತ್ತದೆ, ಒಳಗಿನ ಸರ್ವರ್ ಮೇಲಲ್ಲ.
ಆದೇಶ ಬರೆಯುವ ಮೊದಲು ಐದು ಕ್ಷೇತ್ರಗಳನ್ನು ಬರೆಯಿರಿ
ಪ್ರತಿ ಸಾರ್ವಜನಿಕ ನಮೂದಿಗೆ ವಿಳಾಸ ಕುಟುಂಬ, ಸಾರ್ವಜನಿಕ ವಿಳಾಸ, ಸಾರಿಗೆ, ಸಾರ್ವಜನಿಕ ಪೋರ್ಟ್ ಮತ್ತು ಮಾಲೀಕರನ್ನು ದಾಖಲಿಸಿ. ಮಾಲೀಕರು ASA-ಸ್ಥಳೀಯ ಸೇವೆ ಅಥವಾ ಅನುವಾದಿತ ಒಳಗಿನ ಸರ್ವರ್. ಎರಡು ನಮೂದುಗಳು ಒಂದೇ ವಿಳಾಸ ಹಂಚಿಕೊಂಡರೂ ಬೇರೆ ಬೇರೆ ಟ್ಯೂಪಲ್ ಆಗಿರಬಹುದು, ಮತ್ತು ಎರಡು ನಮೂದುಗಳು ರೇಖಾಚಿತ್ರದಲ್ಲಿ ಬೇರೆಯಾಗಿ ಕಂಡರೂ ಸಾಧನದಲ್ಲಿ ಘರ್ಷಿಸಬಹುದು.
ನಿಜವಾದ ಪೋರ್ಟ್‌ಗಾಗಿ ಎರಡನೇ ಕಾಲಮ್ ಇರಿಸಿಕೊಳ್ಳಿ, ಒಳಗಿನ ಸರ್ವರ್ ನಿಜವಾಗಿ ಕೇಳುವ ಪೋರ್ಟ್. ಸಾರ್ವಜನಿಕ ಪೋರ್ಟ್ ಮತ್ತು ನಿಜವಾದ ಪೋರ್ಟ್ ಸ್ವತಂತ್ರ ಆಯ್ಕೆಗಳು, ಮತ್ತು ಅವುಗಳನ್ನು ಒಂದೇ ಕಾಲಮ್‌ಗೆ ಸೇರಿಸಿದ ಕ್ಷಣ ನಿಮ್ಮ ಸ್ವಂತ ಅನುವಾದವನ್ನು ನಂತರ ಓದುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಕಳೆದುಕೊಳ್ಳುತ್ತೀರಿ.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
ನಿಜವಾದ ಮತ್ತು ಮ್ಯಾಪ್ ಮಾಡಿದ ಸ್ಥಾನಗಳನ್ನು ಸರಿಯಾಗಿ ಓದಿ
ನೀವು ಸೇರಿಸಲು ಬಯಸುವ ಸರ್ವರ್‌ನಿಂದ ಅಲ್ಲ, ಈಗಾಗಲೇ ಇರುವ ಟ್ಯೂಪಲ್‌ನಿಂದ ಪ್ರಾರಂಭಿಸಿ. ಒಂದು ಉದಾಹರಣೆಯ ವಿಭಜನೆ ಅನುಮೋದಿತ VPN ನಮೂದನ್ನು ಸಾರ್ವಜನಿಕ TCP 443 ನಲ್ಲಿ ಇರಿಸಿ, ಸಾರ್ವಜನಿಕ TCP 8443 ನಲ್ಲಿ DMZ HTTPS ಸರ್ವರ್ ಪ್ರಕಟಿಸುತ್ತದೆ, ಆ ಸರ್ವರ್ 443 ನಲ್ಲಿ ಕೇಳುವುದನ್ನು ಮುಂದುವರಿಸುತ್ತದೆ:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443ನಿಯೋಜಿತ ಆದೇಶದಲ್ಲಿ ನಿಜವಾದ ಸೇವೆ ಮತ್ತು ಮ್ಯಾಪ್ ಮಾಡಿದ ಸೇವೆ ಸ್ಥಿರ ಸ್ಥಾನಗಳಲ್ಲಿವೆ, ಮತ್ತು ಅವುಗಳನ್ನು ತಿರುಗಿಸುವುದು ಮುರಿದದ್ದಲ್ಲ, ಬೇರೆ ಮ್ಯಾಪಿಂಗ್ ಅನ್ನು ವಿವರಿಸುತ್ತದೆ. ಕೆಲಸ ಮಾಡುವ ಅನುವಾದ ಒಗಟಾಗಿ ಬದಲಾಗುವ ಅತ್ಯಂತ ಸಾಮಾನ್ಯ ದಾರಿ ಇದು: ಸಂರಚನೆ ಮಾನ್ಯವಾಗಿದೆ, ಅದು ಬೇರೆಡೆಗೆ ಸೂಚಿಸುತ್ತದೆ ಅಷ್ಟೇ.
Cisco ನ ASA 9.16 NAT ಮಾರ್ಗದರ್ಶಿ ಸ್ಟ್ಯಾಟಿಕ್ PAT, ಇಂಟರ್ಫೇಸ್-ವಿಳಾಸದ ಬಳಕೆ ಮತ್ತು ನಿಜವಾದ ಹಾಗೂ ಮ್ಯಾಪ್ ಮಾಡಿದ ಪೋರ್ಟ್‌ನ ಅರ್ಥಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ. ನೀವು ನಿಜವಾಗಿ ಚಲಾಯಿಸುವ ಆವೃತ್ತಿಯ ವಿಭಾಗವನ್ನು ಓದಿ; ಹಳೆಯ ಪ್ಲಾಟ್‌ಫಾರ್ಮ್‌ನಿಂದ ನೆನಪಿಟ್ಟುಕೊಂಡ ಆದೇಶ ಪೂರ್ಣ ಪ್ರಸ್ತುತ ಸಂರಚನೆಯಲ್ಲ.
ಸಾರಿಗೆಯನ್ನು ಕಾಯ್ದಿರಿಸುವಿಕೆಯ ಭಾಗವಾಗಿ ಎಣಿಸಿ
TCP 443 ಮತ್ತು UDP 443 ಬೇರೆ ಬೇರೆ ಟ್ಯೂಪಲ್‌ಗಳು, ಮತ್ತು ಆ ವ್ಯತ್ಯಾಸ ನಿಮಗೆ UDP ಅನ್ನು ಉಚಿತವಾಗಿ ನೀಡುವುದಿಲ್ಲ. VPN ಒಂದೇ ಬೇರೆ TLS ಮತ್ತು DTLS ಲಿಸನರ್‌ಗಳನ್ನು ಹೊಂದಿರಬಹುದು, ಮತ್ತು ಇತರ ಸಂರಚಿತ ಸೇವೆಗಳು ನೀವು ಬಯಸುವ ಸಾರಿಗೆಯನ್ನು ಈಗಾಗಲೇ ಹೊಂದಿರಬಹುದು. ವೆಬ್ ಪುಟವೇ ಸಂಪೂರ್ಣ VPN ನಮೂದು ಎಂದು ಊಹಿಸುವ ಬದಲು ಪರಿಣಾಮಕಾರಿ ಲಿಸನರ್‌ಗಳು ಮತ್ತು ಪ್ರವೇಶ ನೀತಿಯನ್ನು ಪಟ್ಟಿ ಮಾಡಿ.
ಅದೇ ವಿಳಾಸಕ್ಕೆ ಪರಿಹರಿಸುವ ಎರಡನೇ ಹೋಸ್ಟ್‌ಹೆಸರೂ ಸಾರಿಗೆ ಮಟ್ಟದ ಘರ್ಷಣೆಯನ್ನು ಪರಿಹರಿಸುವುದಿಲ್ಲ. DNS ಎಂಬುದು ಹೆಸರಿನಿಂದ ವಿಳಾಸಕ್ಕೆ ಮ್ಯಾಪಿಂಗ್, ಪೋರ್ಟ್ ಮಧ್ಯವರ್ತಿ ಅಲ್ಲ, ಮತ್ತು PAT ಮೂಲಕ ಸರ್ವರ್ ಪ್ರಕಟಿಸುವುದು VPN ಲಿಸನರ್ ಅನ್ನು ಇನ್ನೊಂದು ಪೋರ್ಟ್‌ಗೆ ಸರಿಸುವಂತೆಯೇ ಅದೇ ಕಾರ್ಯಾಚರಣೆ ಅಲ್ಲ.
VPN ನಮೂದು ನಿಜವಾಗಿಯೂ ಸರಿಯಬೇಕಾದರೆ, ನಾಲ್ಕು ವಿಷಯಗಳು ಒಟ್ಟಿಗೆ ಬದಲಾಗುತ್ತವೆ: ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್, ಸಾರ್ವಜನಿಕ URL, ಮೇಲ್ಮುಖ ಫಿಲ್ಟರಿಂಗ್ ಮತ್ತು ನಿಯೋಜನೆ ಬಳಸುವ ಪ್ರತಿಯೊಂದು ಸಾರಿಗೆ. ಒಂದೊಂದಾಗಿ ಅಲ್ಲ, ಒಂದೇ ವಿಂಡೋದಲ್ಲಿ ಮಾಡಿ. ನೀವು ಸಾಧನವನ್ನು ತಲುಪಲು ಬಳಸುವ ಸೇವೆಯನ್ನು ಸ್ಪರ್ಶಿಸುವ ಮೊದಲು ಸಾಧನಕ್ಕೆ ಪ್ರತ್ಯೇಕ ನಿರ್ವಹಣಾ ಮಾರ್ಗವನ್ನು ತೆರೆದಿಡಿ. ಎರಡನೇ ಮಾರ್ಗವಿಲ್ಲದೆ, ಸರಿಸುವಿಕೆ ಹೊರಗಿನಿಂದ ಹಿಂಪಡೆಯಲಾಗದ ಬದಲಾವಣೆ.
ಹೊರಗಿನಿಂದ ಹೊಸ ಸಂಪರ್ಕಗಳೊಂದಿಗೆ ಪರಿಶೀಲಿಸಿ
ಪರಿಣಾಮಕಾರಿ ಪ್ರವೇಶ ನೀತಿಯ ಅಡಿಯಲ್ಲಿ ಉದ್ದೇಶಿತ DMZ ಅಪ್ಲಿಕೇಶನ್‌ಗೆ ಮಾತ್ರ ಅನುಮತಿ ನೀಡಿ, ನಂತರ ಹೊಂದುವ ಅನುವಾದ ಕ್ರಮ, ಸರ್ವರ್‌ನ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿ ಹೋಸ್ಟ್‌ಹೆಸರನ್ನು ಪರಿಶೀಲಿಸಿ. PAT ನೆಟ್‌ವರ್ಕ್ ಗಮ್ಯಸ್ಥಾನವನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ; ಅದು ಅಪ್ಲಿಕೇಶನ್ ಪ್ರವೇಶ ನೀಡುವುದಿಲ್ಲ ಮತ್ತು ಬೇರೆ ಹೋಸ್ಟ್ ಹೆಸರಿಸುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ.
ಅಧಿಕೃತ ಹೊರಗಿನ ಹೋಸ್ಟ್‌ನಿಂದ ಹೊಸ ಸಂಪರ್ಕಗಳೊಂದಿಗೆ ಎರಡೂ ಸೇವೆಗಳನ್ನು ಪರೀಕ್ಷಿಸಿ: VPN ಇನ್ನೂ ಸ್ಥಾಪಿತವಾಗಬೇಕು, ಮತ್ತು DMZ ವಿನಂತಿ ಅದರ ಉದ್ದೇಶಿತ ಲಿಸನರ್ ತಲುಪಬೇಕು. ಸ್ಥಾಪಿತ ಸೆಷನ್ ಹಿಂದಿನ ಸ್ಥಿತಿಯನ್ನು ಉಳಿಸಿಕೊಳ್ಳಬಹುದು, ಆದ್ದರಿಂದ ಒಂದು ನಿಮಿಷದ ಹಿಂದೆ ಬದಲಿಸಿದ ಮ್ಯಾಪಿಂಗ್ ಬಗ್ಗೆ ಅದು ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.
ನೀವು ನಿಯೋಜಿಸಿದ್ದನ್ನು ನಮೂದು ದಾಖಲೆಗೆ ನವೀಕರಿಸಿ ಚಕ್ರವನ್ನು ಮುಚ್ಚಿ, ರಚಿಸದೆ ಕಂಡುಕೊಂಡ ಪ್ರತಿಯೊಂದು ಲಿಸನರ್ ಸೇರಿದಂತೆ. ಆ ವಿಳಾಸದಲ್ಲಿ ಮುಂದೆ ಸೇವೆ ಪ್ರಕಟಿಸುವ ವ್ಯಕ್ತಿ ನಿಮ್ಮ ಕೋಷ್ಟಕದಿಂದ ಪ್ರಾರಂಭಿಸುತ್ತಾನೆ, ಮತ್ತು ಅಲ್ಲಿನ ತಪ್ಪು ಸಾಲು ಇಲ್ಲಿನ ತಪ್ಪು ಆದೇಶಕ್ಕಿಂತ ಹೆಚ್ಚು ದುಬಾರಿ.