ASA: lango la VPN na PAT tuli ya DMZ kwenye IP moja ya umma

Huduma mbili, anwani moja ya umma, na jina la DNS linaloonekana kuhifadhi lango. Halifanyi hivyo. Kabla ya kuchapisha seva ya DMZ kando ya ingilio la VPN kwenye ASA, andika tuples za ingilio na uzikague kwa mpangilio; uwanja wa kwanza unaolingana na huduma iliyopo ndipo mpango unapoishia. Kila kitu hapa chini kinadhani VPN inaishia kwenye kifaa chenyewe, si kwenye seva ya ndani.

Andika sehemu tano kabla ya kuandika amri

Kwa kila ingilio la umma, rekodi familia ya anwani, anwani ya umma, usafirishaji, lango la umma na mmiliki. Mmiliki ni huduma ya ndani ya ASA au seva ya ndani iliyotafsiriwa. Ingilio mbili zinaweza kushiriki anwani na bado ziwe tuples tofauti, na ingilio mbili zinaweza kuonekana tofauti kwenye mchoro huku zikigongana kwenye kifaa.

Weka safu ya pili kwa lango halisi, lile ambalo seva ya ndani inasikiliza kweli. Lango la umma na lango halisi ni chaguo huru, na mara tu unapozichanganya kwenye safu moja unapoteza uwezo wa kusoma tafsiri yako mwenyewe baadaye.

Soma nafasi halisi na zilizopangwa kwa usahihi

Anza na tuple uliyo nayo tayari, si na seva unayotaka kuongeza. Mgawanyo wa kielelezo unaweka ingilio la VPN lililoidhinishwa kwenye TCP 443 ya umma na kuchapisha seva ya DMZ HTTPS kwenye TCP 8443 ya umma huku seva hiyo ikiendelea kusikiliza kwenye 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Katika amri iliyowekwa, huduma halisi na huduma iliyopangwa zinasimama katika nafasi zisizobadilika, na kuzibadilisha kunaelezea mpangilio mwingine, si uliovunjika. Hii ni njia ya kawaida zaidi ya tafsiri inayofanya kazi kuwa kitendawili: usanidi ni halali, unaonyesha mahali pengine tu.

Mwongozo wa NAT wa ASA 9.16 wa Cisco unaandika PAT tuli, matumizi ya anwani ya kiolesura na maana za lango halisi dhidi ya lililopangwa. Soma sehemu ya toleo unalolitekeleza kweli; amri iliyokumbukwa kutoka jukwaa la zamani si usanidi kamili wa sasa.

Hesabu usafirishaji kama sehemu ya uhifadhi

TCP 443 na UDP 443 ni tuples tofauti, na tofauti hiyo haikupi UDP bure. VPN inaweza kuwa na wasikilizaji tofauti wa TLS na DTLS, na huduma nyingine zilizosanidiwa zinaweza kuwa tayari zinashikilia usafirishaji unaotaka. Orodhesha wasikilizaji tendaji na sera ya ufikiaji badala ya kudhani ukurasa wa wavuti ndio ingilio lote la VPN.

Jina la pili la mwenyeji linalotatua kwa anwani hiyo hiyo pia halitatui mgongano wa kiwango cha usafirishaji. DNS ni mpangilio wa jina-kwa-anwani, si dalali wa lango, na kuchapisha seva kupitia PAT si operesheni ile ile ya kuhamisha msikilizaji wa VPN hadi lango lingine.

Ikiwa ingilio la VPN kweli linapaswa kuhamishwa, mambo manne yanabadilika pamoja: wasifu wa mteja, URL ya umma, uchujaji wa juu na kila usafirishaji unaotumiwa na usambazaji. Fanya kwa dirisha moja badala ya moja kwa moja. Weka njia tofauti ya usimamizi kuelekea kifaa ikiwa wazi kabla ya kugusa huduma unayotumia kuifikia. Bila njia ya pili, uhamishaji ni mabadiliko ambayo hauwezi kuirudisha kutoka nje.

Thibitisha kutoka nje kwa miunganisho mipya

Ruhusu tu programu ya DMZ iliyokusudiwa chini ya sera tendaji ya ufikiaji, kisha kagua mpangilio unaolingana wa tafsiri, njia ya kurudi ya seva na jina la mwenyeji kwenye cheti. PAT hubadilisha lengo la mtandao; haitoi ufikiaji wa programu na haitengenezi cheti kinachotaja mwenyeji mwingine.

Jaribu huduma zote mbili kwa miunganisho mipya kutoka kwa mwenyeji wa nje aliyeruhusiwa: VPN inapaswa bado kuanzishwa, na ombi la DMZ linapaswa kufikia msikilizaji wake aliyeikusudiwa. Kikao kilichothibitishwa kinaweza kuhifadhi hali ya awali, kwa hivyo hakithibitishi chochote kuhusu mpangilio uliobadilisha dakika moja iliyopita.

Funga mzunguko kwa kusasisha orodha ya ingilio na kile ulichoweka, pamoja na msikilizaji yeyote uliogundua badala ya kuunda. Mtu anayefuata kuchapisha huduma kwenye anwani hiyo ataanzia kwenye jedwali lako, na safu isiyo sahihi hapo inagharimu zaidi kuliko amri isiyo sahihi hapa.