ASA: එක් පොදු IP එකක VPN පෝට් සහ DMZ ස්ථිතික PAT
එක් පොදු ලිපිනයක්, සේවා දෙකක්. VPN ශ්‍රාවකයා සහ DMZ PAT සඳහා ලිපිනය, ප්‍රවාහනය සහ පෝට් ලැයිස්තුගත කරන්න, එකක් අනෙකේ සටහන ගන්නා පෙර.
සේවා දෙකක්, එක් පොදු ලිපිනයක්, සහ පෝට් එකක් වෙන් කරගන්නා බවක් හැඟෙන DNS නමක්. එය එසේ නොකරයි. ASA එකක VPN සටහන අසල DMZ සේවාදායකයක් ප්‍රකාශයට පත් කිරීමට පෙර සටහන් ටියුපල් ලියා ඒවා අනුපිළිවෙලින් පරීක්ෂා කරන්න; පවතින සේවාවකට ගැලපෙන පළමු ක්ෂේත්‍රය සැලැස්ම නතර වන තැනයි. පහත සියල්ල උපකල්පනය කරන්නේ VPN උපකරණයේම අවසන් වන බවයි, ඇතුළත සේවාදායකයක නොව.
විධානය ලිවීමට පෙර ක්ෂේත්‍ර පහ ලියන්න
සෑම පොදු සටහනක් සඳහාම ලිපින පවුල, පොදු ලිපිනය, ප්‍රවාහනය, පොදු පෝට් සහ හිමිකරු සටහන් කරන්න. හිමිකරු ASA-දේශීය සේවාවක් හෝ පරිවර්තිත ඇතුළත සේවාදායකයක් වේ. සටහන් දෙකකට එක් ලිපිනයක් බෙදාගෙන තවමත් වෙනස් ටියුපල් විය හැක, සහ සටහන් දෙකක් රූප සටහනක වෙනස් ලෙස පෙනුණත් උපකරණයේ ගැටෙන්න පුළුවන.
සැබෑ පෝට් සඳහා දෙවන තීරුවක් තබා ගන්න, ඇතුළත සේවාදායකය සැබවින්ම සවන් දෙන පෝට් එක. පොදු පෝට් සහ සැබෑ පෝට් ස්වාධීන තේරීම් වන අතර, ඒවා එක් තීරුවකට එකතු කරන මොහොතේ ඔබේම පරිවර්තනය පසුව කියවීමේ හැකියාව ඔබට අහිමි වේ.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
සැබෑ සහ සිතියම්ගත ස්ථාන නිවැරදිව කියවන්න
ඔබට එකතු කිරීමට අවශ්‍ය සේවාදායකයෙන් නොව, දැනටමත් ඇති ටියුපලයෙන් ආරම්භ කරන්න. නිදර්ශන බෙදීමක් අනුමත VPN සටහන පොදු TCP 443 මත තබා පොදු TCP 8443 මත DMZ HTTPS සේවාදායකයක් ප්‍රකාශයට පත් කරයි, එම සේවාදායකය 443 මත සවන් දෙමින් සිටියි:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443යොදවන ලද විධානයේ සැබෑ සේවාව සහ සිතියම්ගත සේවාව ස්ථිර ස්ථානවල පිහිටයි, ඒවා මාරු කිරීම කැඩුණු එකක් නොව වෙනත් සිතියම්කරණයක් විස්තර කරයි. ක්‍රියාකාරී පරිවර්තනයක් ප්‍රහේලිකාවක් බවට පත්වන වඩාත් පොදු මාර්ගය මෙයයි: වින්‍යාසය වලංගුයි, එය වෙනත් තැනකට යොමු කරයි පමණි.
Cisco හි ASA 9.16 NAT මාර්ගෝපදේශය ස්ථිතික PAT, අතුරුමුහුණත් ලිපිනය භාවිතය සහ සැබෑ හා සිතියම්ගත පෝට්වල අර්ථ ලේඛනගත කරයි. ඔබ සැබවින්ම ධාවනය කරන නිකුතුව සඳහා වන කොටස කියවන්න; පැරණි වේදිකාවකින් මතක තබාගත් විධානයක් සම්පූර්ණ වර්තමාන වින්‍යාසයක් නොවේ.
ප්‍රවාහනය වෙන් කිරීමේ කොටසක් ලෙස ගණන් කරන්න
TCP 443 සහ UDP 443 වෙනස් ටියුපල් වන අතර, එම වෙනස ඔබට UDP නොමිලේ ලබා නොදේ. VPN එකකට වෙන වෙනම TLS සහ DTLS ශ්‍රාවක තිබිය හැක, සහ වෙනත් වින්‍යාසගත සේවා දැනටමත් ඔබට අවශ්‍ය ප්‍රවාහනය දරා සිටිය හැක. වෙබ් පිටුව සම්පූර්ණ VPN සටහන යැයි උපකල්පනය කරනවාට වඩා ඵලදායී ශ්‍රාවක සහ ප්‍රවේශ ප්‍රතිපත්තිය ලැයිස්තුගත කරන්න.
එම ලිපිනයට විසඳෙන දෙවන සත්කාරක නාමයක් ද ප්‍රවාහන මට්ටමේ ගැටුමක් විසඳන්නේ නැත. DNS යනු නම-සිට-ලිපින සිතියම්කරණයක්, පෝට් බ්‍රෝකරයක් නොවේ, සහ PAT හරහා සේවාදායකයක් ප්‍රකාශයට පත් කිරීම VPN ශ්‍රාවකයා වෙනත් පෝට් එකකට ගෙන යාමට සමාන ක්‍රියාවක් නොවේ.
VPN සටහන සැබවින්ම ගෙන යා යුතු නම් කරුණු හතරක් එකට වෙනස් වේ: සේවාලාභී පැතිකඩ, පොදු URL, ඉහළ ප්‍රවාහ පෙරහන සහ යෙදවීම භාවිතා කරන සෑම ප්‍රවාහනයක්ම. එකින් එක නොව එකම කවුළුවක කරන්න. උපකරණයට ළඟා වීමට ඔබ භාවිතා කරන සේවාව ස්පර්ශ කිරීමට පෙර උපකරණයට වෙනම කළමනාකරණ මාර්ගයක් විවෘතව තබන්න. දෙවන මාර්ගයක් නොමැතිව, ගෙන යාම බාහිරින් ආපසු හැරවිය නොහැකි වෙනසකි.
බාහිරින් නව සම්බන්ධතා සමඟ තහවුරු කරන්න
ඵලදායී ප්‍රවේශ ප්‍රතිපත්තිය යටතේ අපේක්ෂිත DMZ යෙදුමට පමණක් අවසර දෙන්න, පසුව ගැලපෙන පරිවර්තන අනුපිළිවෙල, සේවාදායකයේ ආපසු මාර්ගය සහ සහතිකයේ සත්කාරක නාමය පරීක්ෂා කරන්න. PAT ජාල ගමනාන්තය වෙනස් කරයි; එය යෙදුම් ප්‍රවේශය ලබා නොදේ සහ වෙනත් සත්කාරකයක් නම් කරන සහතිකයක් අලුත්වැඩියා නොකරයි.
බලයලත් බාහිර සත්කාරකයකින් නව සම්බන්ධතා සමඟ සේවා දෙකම පරීක්ෂා කරන්න: VPN තවමත් ස්ථාපිත විය යුතු අතර, DMZ ඉල්ලීම එහි අපේක්ෂිත ශ්‍රාවකයා වෙත ළඟා විය යුතුය. ස්ථාපිත සැසියක් පෙර තත්ත්වය රඳවා ගත හැකි බැවින්, මිනිත්තුවකට පෙර ඔබ වෙනස් කළ සිතියම්කරණය ගැන එය කිසිවක් ඔප්පු නොකරයි.
ඔබ යෙදවූ දේ සමඟ සටහන් ලේඛනය යාවත්කාලීන කර චක්‍රය වසන්න, සෑදීම වෙනුවට සොයාගත් සෑම ශ්‍රාවකයක්ම ඇතුළත්ව. එම ලිපිනයේ ඊළඟට සේවාවක් ප්‍රකාශයට පත් කරන පුද්ගලයා ඔබේ වගුවෙන් ආරම්භ කරයි, සහ එහි වැරදි පේළියක් මෙහි වැරදි විධානයකට වඩා මිල අධිකය.