ASA: бир жалпы IP да VPN порту жана DMZ статикалык PAT

Эки кызмат, бир жалпы дарек жана портту ээлеп тургандай сезилген DNS аталышы. Андай эмес. ASAда VPN жазуусунун жанында DMZ серверин жарыялоодон мурун жазуу кортеждерин жазып алыңыз жана аларды тартиби менен текшериңиз; бар кызматка туура келген биринчи талаа - план токтогон жер. Төмөнкүнүн баары VPN ички серверде эмес, түзмөктүн өзүндө бүтөт деп болжолдойт.

Буйрукту жазганга чейин беш талааны жазыңыз

Ар бир жалпы жазуу үчүн дарек үй-бүлөсүн, жалпы даректи, транспортту, жалпы портту жана ээсин жазыңыз. Ээси ASAнын жергиликтүү кызматы же которулган ички сервер. Эки жазуу бир даректи бөлүшүп, баары бир ар башка кортеж боло алат, жана эки жазуу диаграммада башкача көрүнүп, түзмөктө кагылышы мүмкүн.

Чыныгы порт үчүн экинчи тилкени кармаңыз - ички сервер чындап угуучу порт. Жалпы порт менен чыныгы порт көз карандысыз тандоолор, жана аларды бир тилкеге бириктирген учурда кийин өз котормоңузду окуу жөндөмүңүздөн ажырайсыз.

Чыныгы жана чагылдырылган позицияларды туура окуңуз

Кошууну каалаган серверден эмес, колуңузда бар кортежден баштаңыз. Иллюстративдик бөлүү бекитилген VPN жазуусун жалпы TCP 443тө калтырып, DMZ HTTPS серверин жалпы TCP 8443тө жарыялайт, ал эми ошол сервер 443тө угууну улантат:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Жайгаштырылган буйрукта чыныгы кызмат жана чагылдырылган кызмат туруктуу позицияларда турат, жана аларды орундары менен алмаштыруу бузулганды эмес, башка чагылдырууну сүрөттөйт. Иштеп жаткан котормонун табышмакка айланышынын эң кеңири тараган жолу ушундай: конфигурация жарактуу, ал жөн гана башка жерди көрсөтөт.

Ciscoнун ASA 9.16 NAT колдонмосу статикалык PATты, интерфейс дарегин колдонууну жана чыныгы менен чагылдырылган порттун маанилерин документтештирет. Чындап иштетип жаткан чыгарылыштын бөлүмүн окуңуз; эски платформадан эсте калган буйрук толук учурдагы конфигурация эмес.

Транспортту брондонун бөлүгү катары эсептеңиз

TCP 443 жана UDP 443 ар башка кортеж болуп саналат, жана бул айырма UDPни бекер бербейт. VPNдин өзүнчө TLS жана DTLS угуучулары болушу мүмкүн, жана башка конфигурацияланган кызматтар сизге керектүү транспортту мурунтан ээлеши мүмкүн. Веб-баракча бүт VPN жазуусу деп болжолдоонун ордуна натыйжалуу угуучуларды жана кирүү саясатын тизмектеңиз.

Ошол эле дарекке чечилген экинчи хост аталышы да транспорт деңгээлиндеги кагылышты чечпейт. DNS - атты дарекке чагылдыруу, порт ортомчусу эмес, жана PAT аркылуу серверди жарыялоо VPN угуучусун башка портко жылдыруу менен бир операция эмес.

Эгер VPN жазуусу чын эле жылышы керек болсо, төрт нерсе бирге өзгөрөт: кардар профили, жалпы URL, жогорку агымдагы фильтрлөө жана жайгаштыруу колдонгон ар бир транспорт. Аларды бир-бирден эмес, бир терезеде жасаңыз. Түзмөккө жетүү үчүн колдонгон кызматка тийүүдөн мурун ага өзүнчө башкаруу жолун ачык кармаңыз. Экинчи жол болбосо, жылдыруу - тыштан кайтара албаган өзгөртүү.

Тыштан жаңы байланыштар менен текшериңиз

Натыйжалуу кирүү саясатынын алдында болгону көздөлгөн DMZ тиркемесине уруксат бериңиз, андан кийин дал келген котормо тартибин, сервердин кайтуу жолун жана сертификаттагы хост аталышын текшериңиз. PAT тармактын барар жерин өзгөртөт; ал тиркемеге кирүү бербейт жана башка хостту атаган сертификатты оңдобойт.

Эки кызматты тең ыйгарым укуктуу тышкы хосттон жаңы байланыштар менен сынаңыз: VPN дагы деле орношу керек, ал эми DMZ суроосу көздөлгөн угуучусуна жетиши керек. Орнотулган сессия мурунку абалды сакташы мүмкүн, ошондуктан ал бир мүнөт мурун өзгөрткөн чагылдыруу жөнүндө эч нерсени далилдебейт.

Жайгаштырганыңыз менен жазуулардын тизмесин жаңыртып, циклди жабыңыз, анын ичинде түзбөй тапкан ар бир угуучуну да кошуңуз. Ошол даректе кийинки кызмат жарыялаган адам сиздин таблицаңыздан баштайт, жана ал жердеги туура эмес сап бул жердеги туура эмес буйруктан кымбат.