ASA: د یوې عامې IP په سر VPN پورټ او DMZ ثابت PAT
یوه عامه پته، دوه خدمتونه. د VPN اورېدونکي او DMZ PAT لپاره پته، ټرانسپورټ او پورټ لیست کړئ، مخکې له دې چې یو د بل ثبت ونیسي.
دوه خدمتونه، یوه عامه پته او یو DNS نوم چې داسې ښکاري پورټ خوندي کوي. داسې نه کوي. مخکې له دې چې په ASA کې د VPN ثبت تر څنګ DMZ سرور خپور کړئ، د ثبت ټاپلونه ولیکئ او په ترتیب یې وګورئ؛ لومړنی ساحه چې له موجود خدمت سره سمون لري هغه ځای دی چې پلان درېږي. لاندې هر څه دا فرض کوي چې VPN په خپله وسیله پای ته رسېږي، نه په داخلي سرور.
پنځه ساحې ولیکئ مخکې له دې چې کمانډ ولیکئ
د هر عمومي ثبت لپاره د پتې کورنۍ، عامه پته، ټرانسپورټ، عامه پورټ او مالک ثبت کړئ. مالک یا په ASA کې ځایي خدمت دی یا ژباړل شوی داخلي سرور. دوه ثبتونه کولای شي یوه پته شریکه کړي او بیا هم بېلابېل ټاپلونه وي، او دوه ثبتونه په ډیاګرام کې بېلابېل ښکاري خو په وسیله کې ټکر وکړي.
د ریښتیني پورټ لپاره دویم کالم وساتئ، هغه چې داخلي سرور په رېښتیا اورېدل کوي. عامه پورټ او ریښتینی پورټ خپلواک انتخابونه دي، او په هغه شیبه چې دواړه په یو کالم کې یوځای کړئ، بیا وروسته خپله ژباړه لوستلو توان له لاسه ورکوئ.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
ریښتیني او نقشه شوي موقعیتونه سم ولولئ
له هغه ټاپل پیل کړئ چې دمخه یې لرئ، نه له هغه سرور چې غواړئ اضافه یې کړئ. یوه بېلګه ویش تایید شوی VPN ثبت په عامه TCP 443 کې ساتي او په عامه TCP 8443 کې DMZ HTTPS سرور خپروي، پداسې حال کې چې هغه سرور په 443 اورېدل جاري ساتي:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443په ځای پرځای شوي کمانډ کې ریښتینی خدمت او نقشه شوی خدمت په ثابتو موقعیتونو کې دي، او د دوی بدلول بېل نقشه کول بیانوي نه خرابه. دا تر ټولو عامه لاره ده چې یوه کارکوونکې ژباړه پزل ته بدلېږي: ترتیب سم دی، یوازې بل ځای ته اشاره کوي.
د Cisco ASA 9.16 NAT لارښود ثابت PAT، د انټرفیس پتې کارول او د ریښتیني او نقشه شوي پورټ ماناوو ته سند ورکوي. د هغه خپرونې برخه ولولئ چې په رېښتیا یې چلوئ؛ له زاړه پلیټفارم څخه یاد کمانډ بشپړ اوسنی ترتیب نه دی.
ټرانسپورټ د خوندي کولو برخه وګڼئ
TCP 443 او UDP 443 بېلابېل ټاپلونه دي، او هغه توپیر تاسو ته UDP وړیا نه درکوي. VPN کېدای شي جلا TLS او DTLS اورېدونکي ولري، او نور تنظیم شوي خدمتونه کېدای شي هغه ټرانسپورټ چې غواړئ دمخه ولري. د ویب پاڼې د بشپړ VPN ثبت فرض کولو پرځای اغېزمن اورېدونکي او د لاسرسي پالیسي لیست کړئ.
بل هوسټ نوم چې هماغه پتې ته حل کېږي هغه هم د ټرانسپورټ کچې ټکر نه حل کوي. DNS د نوم-پتې نقشه کول دي، د پورټ منځګړی نه، او د PAT له لارې سرور خپرول د VPN اورېدونکي بل پورټ ته لېږدولو سره یو عمل نه دی.
که د VPN ثبت واقعا باید وخوځېږي، څلور شیان یوځای بدلېږي: د کلاینټ پروفایل، عامه URL، د پورتنۍ جریان فلټر او هرهغه ټرانسپورټ چې ځای پرځای کول یې کاروي. یو په یو نه، بلکې په یوه کړکۍ کې یې وکړئ. مخکې له دې چې هغه خدمت ته لاس ووهئ چې په مرسته یې وسیلې ته رسېږئ، وسیلې ته جلا مدیریتي لاره پرانیستې وساتئ. پرته له دویمې لارې، خوځېدل هغه بدلون دی چې له بهره یې بیرته نشئ اخیستلای.
له بهره د نویو نښلوونو سره تایید کړئ
د اغېزمنې لاسرسي پالیسي لاندې یوازې د اهدافو DMZ اپلیکیشن اجازه ورکړئ، بیا د سمون خورا ژباړې ترتیب، د سرور د بیرته راستنېدو لاره او په سند کې هوسټ نوم وګورئ. PAT د شبکې منزل بدلوي؛ دا د اپلیکیشن لاسرسی نه ورکوي او هغه سند نه جوړوي چې بل هوسټ نوموي.
دواړه خدمتونه له مجاز بهرني هوسټ څخه د نویو نښلوونو سره وآزمایئ: VPN باید لا هم جوړ شي، او DMZ غوښتنه باید خپل هدف اورېدونکي ته ورسېږي. جوړ شوی ناسته کېدای شي پخوانی حالت وساتي، نو د یوې دقیقې مخکې بدل شوې نقشې په اړه هېڅ نه ثابتوي.
د ثبت لیست په هغه څه تازه کړئ چې ځای پرځای کړی یې دی او دوره بنده کړئ، په شمول هرهغه اورېدونکی چې وموندل شو نه جوړ شو. بله ورځ چې څوک په هغه پته خدمت خپروي ستاسو له جدول څخه پیل کوي، او هلته غلط قطار دلته له غلط کمانډ څخه ډېر لګښت لري.