ASA: ഒരു പൊതു IP-യിൽ VPN പോർട്ടും DMZ സ്റ്റാറ്റിക് PAT-ഉം
ഒരു പൊതു വിലാസം, രണ്ട് സേവനങ്ങൾ. VPN ലിസണറിനും DMZ PAT-നും വേണ്ടി വിലാസവും ട്രാൻസ്പോർട്ടും പോർട്ടും ഒരാൾ മറ്റൊരാളുടെ എൻട്രി ഏറ്റെടുക്കുന്നതിന് മുൻപ് ഇൻവെന്ററി ചെയ്യുക.
രണ്ട് സേവനങ്ങൾ, ഒരു പൊതു വിലാസം, പോർട്ട് റിസർവ് ചെയ്യുന്നതായി തോന്നുന്ന ഒരു DNS നാമം. അത് ചെയ്യുന്നില്ല. ASA-യിൽ VPN എൻട്രിക്കൊപ്പം DMZ സർവർ പ്രസിദ്ധീകരിക്കുന്നതിന് മുൻപ് എൻട്രി ട്യൂപിളുകൾ എഴുതി ക്രമത്തിൽ പരിശോധിക്കുക; നിലവിലുള്ള ഒരു സേവനവുമായി പൊരുത്തപ്പെടുന്ന ആദ്യ ഫീൽഡാണ് പ്ലാൻ നിൽക്കുന്ന സ്ഥലം. താഴെയുള്ള എല്ലാം VPN ഉപകരണത്തിൽ തന്നെ അവസാനിക്കുന്നു എന്ന് അനുമാനിക്കുന്നു, ഉള്ളിലെ സർവറിലല്ല.
കമാൻഡ് എഴുതുന്നതിന് മുൻപ് അഞ്ച് ഫീൽഡുകൾ എഴുതുക
ഓരോ പൊതു എൻട്രിക്കും വിലാസ കുടുംബം, പൊതു വിലാസം, ട്രാൻസ്പോർട്ട്, പൊതു പോർട്ട്, ഉടമ എന്നിവ രേഖപ്പെടുത്തുക. ഉടമ ASA-യിലെ ലോക്കൽ സേവനമോ വിവർത്തനം ചെയ്ത ഉള്ളിലെ സർവറോ ആണ്. രണ്ട് എൻട്രികൾക്ക് ഒരേ വിലാസം പങ്കിടാം, എന്നിട്ടും വ്യത്യസ്ത ട്യൂപിളുകളാകാം; രണ്ട് എൻട്രികൾ ഡയഗ്രാമിൽ വ്യത്യസ്തമായി കാണപ്പെടാം, എന്നാൽ ഉപകരണത്തിൽ കൂട്ടിയിടിക്കാം.
യഥാർത്ഥ പോർട്ടിനായി രണ്ടാമതൊരു കോളം സൂക്ഷിക്കുക, ഉള്ളിലെ സർവർ യഥാർത്ഥത്തിൽ കേൾക്കുന്ന പോർട്ട്. പൊതു പോർട്ടും യഥാർത്ഥ പോർട്ടും സ്വതന്ത്രമായ തിരഞ്ഞെടുപ്പുകളാണ്, അവ ഒരു കോളത്തിൽ ചേർത്ത ക്ഷണത്തിൽ നിങ്ങളുടെ സ്വന്തം വിവർത്തനം പിന്നീട് വായിക്കാനുള്ള കഴിവ് നഷ്ടപ്പെടും.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
യഥാർത്ഥവും മാപ്പ് ചെയ്തതുമായ സ്ഥാനങ്ങൾ ശരിയായി വായിക്കുക
നിങ്ങൾ ചേർക്കാൻ ആഗ്രഹിക്കുന്ന സർവറിൽ നിന്നല്ല, ഇപ്പോൾ ഉള്ള ട്യൂപിളിൽ നിന്ന് തുടങ്ങുക. ഒരു ഉദാഹരണ വിഭജനം അംഗീകൃത VPN എൻട്രി പൊതു TCP 443-ൽ നിലനിർത്തി പൊതു TCP 8443-ൽ DMZ HTTPS സർവർ പ്രസിദ്ധീകരിക്കുന്നു, ആ സർവർ 443-ൽ കേൾക്കുന്നത് തുടരുന്നു:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443വിന്യസിച്ച കമാൻഡിൽ യഥാർത്ഥ സേവനവും മാപ്പ് ചെയ്ത സേവനവും സ്ഥിര സ്ഥാനങ്ങളിലാണ്, അവ പരസ്പരം മാറ്റുന്നത് തകർന്നതല്ല, മറ്റൊരു മാപ്പിംഗ് വിവരിക്കുന്നു. പ്രവർത്തിക്കുന്ന വിവർത്തനം ഒരു പസിലാകാനുള്ള ഏറ്റവും സാധാരണ വഴി ഇതാണ്: കോൺഫിഗറേഷൻ സാധുവാണ്, അത് മറ്റെവിടെയോ ചൂണ്ടുന്നു.
Cisco-യുടെ ASA 9.16 NAT ഗൈഡ് സ്റ്റാറ്റിക് PAT, ഇന്റർഫേസ് വിലാസത്തിന്റെ ഉപയോഗം, യഥാർത്ഥവും മാപ്പ് ചെയ്തതുമായ പോർട്ടിന്റെ അർത്ഥങ്ങൾ എന്നിവ രേഖപ്പെടുത്തുന്നു. നിങ്ങൾ യഥാർത്ഥത്തിൽ പ്രവർത്തിപ്പിക്കുന്ന റിലീസിന്റെ ഭാഗം വായിക്കുക; പഴയ പ്ലാറ്റ്ഫോമിൽ നിന്ന് ഓർമ്മയിലുള്ള കമാൻഡ് പൂർണ്ണമായ നിലവിലെ കോൺഫിഗറേഷനല്ല.
ട്രാൻസ്പോർട്ട് റിസർവേഷന്റെ ഭാഗമായി കണക്കാക്കുക
TCP 443-ഉം UDP 443-ഉം വ്യത്യസ്ത ട്യൂപിളുകളാണ്, ആ വ്യത്യാസം UDP സൗജന്യമായി നൽകുന്നില്ല. VPN-ന് വെവ്വേറെ TLS, DTLS ലിസണറുകൾ ഉണ്ടാകാം, മറ്റ് കോൺഫിഗർ ചെയ്ത സേവനങ്ങൾ നിങ്ങൾ ആഗ്രഹിക്കുന്ന ട്രാൻസ്പോർട്ട് ഇതിനകം കൈവശം വയ്ക്കാം. വെബ് പേജ് മുഴുവൻ VPN എൻട്രിയാണെന്ന് അനുമാനിക്കുന്നതിന് പകരം ഫലപ്രദമായ ലിസണറുകളും ആക്സസ് നയവും ഇൻവെന്ററി ചെയ്യുക.
അതേ വിലാസത്തിലേക്ക് റിസോൾവ് ചെയ്യുന്ന രണ്ടാമത്തെ ഹോസ്റ്റ്നാമവും ട്രാൻസ്പോർട്ട് തലത്തിലുള്ള കൂട്ടിയിടി പരിഹരിക്കുന്നില്ല. DNS എന്നത് നാമത്തിൽ നിന്ന് വിലാസത്തിലേക്കുള്ള മാപ്പിംഗാണ്, പോർട്ട് ബ്രോക്കറല്ല, PAT വഴി സർവർ പ്രസിദ്ധീകരിക്കുന്നത് VPN ലിസണറിനെ മറ്റൊരു പോർട്ടിലേക്ക് മാറ്റുന്നതിന് തുല്യമായ പ്രവർത്തനമല്ല.
VPN എൻട്രി യഥാർത്ഥത്തിൽ നീക്കേണ്ടതുണ്ടെങ്കിൽ നാല് കാര്യങ്ങൾ ഒരുമിച്ച് മാറുന്നു: ക്ലയന്റ് പ്രൊഫൈൽ, പൊതു URL, അപ്സ്ട്രീം ഫിൽട്ടറിംഗ്, വിന്യാസം ഉപയോഗിക്കുന്ന ഓരോ ട്രാൻസ്പോർട്ടും. ഒന്നൊന്നായി ചെയ്യുന്നതിന് പകരം ഒരു ജാലകത്തിൽ ചെയ്യുക. ഉപകരണത്തിലെത്താൻ ഉപയോഗിക്കുന്ന സേവനം തൊടുന്നതിന് മുൻപ് ഉപകരണത്തിലേക്ക് വേറിട്ട ഒരു മാനേജ്മെന്റ് പാത തുറന്ന് വയ്ക്കുക. രണ്ടാം പാതയില്ലാതെ, നീക്കം പുറത്തുനിന്ന് പിൻവലിക്കാനാകാത്തൊരു മാറ്റമാണ്.
പുറത്തുനിന്ന് പുതിയ കണക്ഷനുകളോടെ പരിശോധിക്കുക
ഫലപ്രദമായ ആക്സസ് നയത്തിന് കീഴിൽ ഉദ്ദേശിച്ച DMZ അപ്ലിക്കേഷന് മാത്രം അനുമതി നൽകുക, തുടർന്ന് പൊരുത്തപ്പെടുന്ന വിവർത്തന ക്രമം, സർവറിന്റെ മടക്കപ്പാത, സർട്ടിഫിക്കറ്റിലെ ഹോസ്റ്റ്നാമം എന്നിവ പരിശോധിക്കുക. PAT നെറ്റ്‌വർക്ക് ലക്ഷ്യസ്ഥാനം മാറ്റുന്നു; അത് അപ്ലിക്കേഷൻ ആക്സസ് നൽകുന്നില്ല, മറ്റൊരു ഹോസ്റ്റിനെ പേരിടുന്ന സർട്ടിഫിക്കറ്റ് നന്നാക്കുന്നുമില്ല.
അധികാരമുള്ള പുറത്തെ ഹോസ്റ്റിൽ നിന്ന് പുതിയ കണക്ഷനുകളോടെ രണ്ട് സേവനങ്ങളും പരീക്ഷിക്കുക: VPN ഇപ്പോഴും സ്ഥാപിക്കപ്പെടണം, DMZ അഭ്യർത്ഥന അതിന്റെ ഉദ്ദേശിച്ച ലിസണറിൽ എത്തണം. സ്ഥാപിച്ച സെഷൻ മുൻപത്തെ അവസ്ഥ നിലനിർത്താം, അതിനാൽ ഒരു മിനിറ്റ് മുൻപ് മാറ്റിയ മാപ്പിംഗിനെക്കുറിച്ച് അത് ഒന്നും തെളിയിക്കുന്നില്ല.
നിങ്ങൾ വിന്യസിച്ചത് എൻട്രി ഇൻവെന്ററിയിൽ പുതുക്കി ലൂപ്പ് അടയ്ക്കുക, സൃഷ്ടിക്കാതെ കണ്ടെത്തിയ ഓരോ ലിസണറും ഉൾപ്പെടെ. ആ വിലാസത്തിൽ അടുത്തതായി സേവനം പ്രസിദ്ധീകരിക്കുന്നയാൾ നിങ്ങളുടെ പട്ടികയിൽ നിന്ന് തുടങ്ങും, അവിടെയുള്ള തെറ്റായ വരി ഇവിടെയുള്ള തെറ്റായ കമാൻഡിനേക്കാൾ ചെലവേറിയതാണ്.