ASA: нэг нийтийн IP дээр VPN порт ба DMZ статик PAT

Хоёр үйлчилгээ, нэг нийтийн хаяг, портыг хуваарилж байгаа мэт санагддаг DNS нэр. Үнэндээ тийм биш. ASA дээр VPN бичлэгийн хажууд DMZ сервер нийтлэхээс өмнө бичлэгийн кортежуудыг бичээд дарааллаар нь шалгаарай; одоо байгаа үйлчилгээтэй таарах эхний талбар бол төлөвлөгөө зогсох газар. Доорх бүхэн VPN нь дотоод сервер дээр биш, төхөөрөмж дээр өөрөө дуусдаг гэж үздэг.

Командыг бичихээс өмнө таван талбарыг бичээрэй

Нийтийн бичлэг бүрт хаягийн гэр бүл, нийтийн хаяг, тээвэр, нийтийн порт, эзэмшигчийг бүртгээрэй. Эзэмшигч нь ASA-ийн локал үйлчилгээ эсвэл орчуулагдсан дотоод сервер байна. Хоёр бичлэг нэг хаягыг хуваалцаж байлаа ч өөр кортеж байж болно, хоёр бичлэг диаграммд өөр харагдаж байлаа ч төхөөрөмж дээр мөргөлдөж болно.

Жинхэнэ портын хувьд хоёр дахь баганыг хадгалаарай, дотоод сервер үнэхээр сонсдог порт. Нийтийн порт ба жинхэнэ порт нь бие даасан сонголт бөгөөд тэдгээрийг нэг баганд нэгтгэсэн агшинд дараа нь өөрийн орчуулгыг унших чадвараа алдана.

Жинхэнэ ба буулгасан байрлалуудыг зөв уншаарай

Нэмэхийг хүсч буй серверээс биш, аль хэдийн байгаа кортежоос эхэл. Дүрслэлийн хуваалт нь зөвшөөрөгдсөн VPN бичлэгийг нийтийн TCP 443 дээр үлдээж, DMZ HTTPS серверийг нийтийн TCP 8443 дээр нийтэлж, тэр сервер 443 дээр сонсосоор байна:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Байршуулсан команд дээр жинхэнэ үйлчилгээ ба буулгасан үйлчилгээ тогтмол байрлалд байх бөгөөд тэдгээрийг солих нь эвдэрсэн бус өөр буулгалтыг дүрсэлнэ. Ажиллаж буй орчуулга оньсого болох хамгийн түгээмэл зам энэ: тохиргоо хүчинтэй, зүгээр л өөр газар зааж байна.

Cisco-гийн ASA 9.16 NAT гарын авлага статик PAT, интерфэйсийн хаягийн хэрэглээ, жинхэнэ ба буулгасан портын утгыг баримтжуулдаг. Таны үнэхээр ажиллуулж буй хувилбарын хэсгийг уншаарай; хуучин платформоос санаж үлдсэн команд нь бүрэн одоогийн тохиргоо биш.

Тээврийг захиалгын нэг хэсэг гэж тооцоорой

TCP 443 ба UDP 443 нь өөр кортеж бөгөөд энэ ялгаа танд UDP-г үнэгүй өгөхгүй. VPN нь тусдаа TLS ба DTLS сонсогчтой байж болох бөгөөд бусад тохируулсан үйлчилгээнүүд таны хүсч буй тээврийг аль хэдийн эзэмшиж болно. Вэб хуудас бүхэл VPN бичлэг гэж үзэхийн оронд үр дүнтэй сонсогчид ба хандалтын бодлогыг бүртгэж гаргаарай.

Нэг хаяг руу шийдэгддэг хоёр дахь хост нэр нь тээврийн түвшний мөргөлдөөнийг ч шийдэхгүй. DNS бол нэрээс хаяг руу буулгах зураглал, портын зуучлагч биш бөгөөд PAT-аар сервер нийтлэх нь VPN сонсогчийг өөр порт руу зөөхтэй ижил үйлдэл биш.

Хэрэв VPN бичлэг үнэхээр зөөгдөх ёстой бол дөрвөн зүйл хамт өөрчлөгдөнө: клиентийн профайл, нийтийн URL, дээд урсгалын шүүлт, байршуулалтын ашигладаг бүх тээвэр. Нэг нэгээр нь биш, нэг цонхонд хийгээрэй. Төхөөрөмж рүү хүрэхэд ашигладаг үйлчилгээг хүрэхээс өмнө төхөөрөмж рүү тусдаа удирдлагын зам нээлттэй байлгаарай. Хоёр дахь замгүй бол зөөлт нь гаднаас буцаах боломжгүй өөрчлөлт юм.

Гаднаас шинэ холболтоор шалгаарай

Үр дүнтэй хандалтын бодлогын дагуу зөвхөн зориулсан DMZ аппликейшнд зөвшөөрөл өгөөд, дараа нь тохирох орчуулгын дараалал, серверийн буцах зам, гэрчилгээ дээрх хост нэрийг шалгаарай. PAT сүлжээний очих газрыг өөрчилдөг; энэ нь аппликейшнд хандалт өгөхгүй бөгөөд өөр хост нэрлэсэн гэрчилгээг засдаггүй.

Эрх бүхий гадаад хостоос шинэ холболтоор хоёр үйлчилгээг шалгаарай: VPN байгуулагдсаар байх ёстой, DMZ хүсэлт зориулсан сонсогчдоо хүрэх ёстой. Байгуулагдсан сесс өмнөх төлөвийг хадгалж болох тул нэг минутын өмнө өөрчилсөн буулгалтын талаар юу ч нотлохгүй.

Байршуулсанаар бичлэгийн бүртгэлийг шинэчилж циклийг хаагаарай, бүтээхгүйгээр илрүүлсэн сонсогч бүрийг оруулан. Тэр хаяг дээр дараагийн удаа үйлчилгээ нийтлэх хүн таны хүснэгтээс эхэлнэ, тэнд буруу мөр энд буруу командаас илүү үнэтэй.