ASA: ஒரு பொது IP-இல் VPN போர்ட் மற்றும் DMZ நிலையான PAT
ஒரு பொது முகவரி, இரண்டு சேவைகள். VPN கேட்பான் மற்றும் DMZ PAT-க்கான முகவரி, போக்குவரத்து மற்றும் போர்ட்டை ஒன்று மற்றொன்றின் பதிவை எடுத்துக்கொள்ளும் முன் பட்டியலிடுங்கள்.
இரண்டு சேவைகள், ஒரு பொது முகவரி, மற்றும் ஒரு போர்ட்டை ஒதுக்குவது போல் தோன்றும் DNS பெயர். அது செய்யாது. ASA-இல் VPN பதிவுக்கு அடுத்து DMZ சேவையகத்தை வெளியிடும் முன் பதிவு டூப்பிள்களை எழுதி அவற்றை வரிசையாகச் சரிபார்க்கவும்; இருக்கும் சேவையுடன் பொருந்தும் முதல் புலமே திட்டம் நிற்கும் இடம். கீழே உள்ள அனைத்தும் VPN சாதனத்திலேயே முடிவடைகிறது என்று கருதுகிறது, உள்ளேயுள்ள சேவையகத்தில் அல்ல.
கட்டளையை எழுதும் முன் ஐந்து புலங்களை எழுதுங்கள்
ஒவ்வொரு பொது பதிவுக்கும் முகவரி குடும்பம், பொது முகவரி, போக்குவரத்து, பொது போர்ட் மற்றும் உரிமையாளரைப் பதிவு செய்யுங்கள். உரிமையாளர் ASA-உள்ளூர் சேவை அல்லது மொழிபெயர்க்கப்பட்ட உள்ளேயுள்ள சேவையகம். இரண்டு பதிவுகள் ஒரு முகவரியைப் பகிர்ந்துகொண்டு இருந்தும் வெவ்வேறு டூப்பிள்களாக இருக்கலாம், இரண்டு பதிவுகள் வரைபடத்தில் வேறுபட்டுத் தோன்றி சாதனத்தில் மோதலாம்.
உண்மையான போர்ட்டுக்கான இரண்டாவது நிரலை வைத்திருங்கள், உள்ளேயுள்ள சேவையகம் உண்மையில் கேட்கும் போர்ட். பொது போர்ட்டும் உண்மையான போர்ட்டும் சுயாதீனமான தேர்வுகள், அவற்றை ஒரே நிரலில் இணைக்கும் கணத்தில் பின்னர் உங்கள் சொந்த மொழிபெயர்ப்பைப் படிக்கும் திறனை இழக்கிறீர்கள்.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
உண்மையான மற்றும் வரைபடமிடப்பட்ட நிலைகளைச் சரியாகப் படியுங்கள்
நீங்கள் சேர்க்க விரும்பும் சேவையகத்திலிருந்து அல்ல, ஏற்கனவே உள்ள டூப்பிளிலிருந்து தொடங்குங்கள். ஒரு எடுத்துக்காட்டு பிரிவு அங்கீகரிக்கப்பட்ட VPN பதிவை பொது TCP 443-இல் வைத்து, பொது TCP 8443-இல் DMZ HTTPS சேவையகத்தை வெளியிடுகிறது, அந்தச் சேவையகம் 443-இல் தொடர்ந்து கேட்கிறது:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443பயன்படுத்தப்பட்ட கட்டளையில் உண்மையான சேவையும் வரைபடமிடப்பட்ட சேவையும் நிலையான இடங்களில் உள்ளன, அவற்றை மாற்றுவது உடைந்ததை அல்ல, வேறு வரைபடமிடலை விவரிக்கிறது. செயல்படும் மொழிபெயர்ப்பு புதிராக மாறும் மிகப் பொதுவான வழி இதுதான்: உள்ளமைவு செல்லுபடியாகும், அது வேறெங்கோ சுட்டுகிறது.
Cisco-வின் ASA 9.16 NAT வழிகாட்டி நிலையான PAT, இடைமுக முகவரியின் பயன்பாடு மற்றும் உண்மையான மற்றும் வரைபடமிடப்பட்ட போர்ட்டின் பொருள்களை ஆவணப்படுத்துகிறது. நீங்கள் உண்மையில் இயக்கும் வெளியீட்டிற்கான பகுதியைப் படியுங்கள்; பழைய தளத்திலிருந்து நினைவில் வைத்த கட்டளை முழுமையான தற்போதைய உள்ளமைவு அல்ல.
போக்குவரத்தை ஒதுக்கீட்டின் பகுதியாகக் கணக்கிடுங்கள்
TCP 443 மற்றும் UDP 443 வெவ்வேறு டூப்பிள்கள், அந்த வேறுபாடு UDP-ஐ இலவசமாகத் தராது. ஒரு VPN-க்கு தனி TLS மற்றும் DTLS கேட்பான்கள் இருக்கலாம், மேலும் பிற உள்ளமைக்கப்பட்ட சேவைகள் நீங்கள் விரும்பும் போக்குவரத்தை ஏற்கனவே வைத்திருக்கலாம். வலைப்பக்கம் முழு VPN பதிவு என்று கருதுவதற்குப் பதிலாக பயனுள்ள கேட்பான்களையும் அணுகல் கொள்கையையும் பட்டியலிடுங்கள்.
அதே முகவரிக்குத் தீர்க்கும் இரண்டாவது ஹோஸ்ட் பெயரும் போக்குவரத்து நிலை மோதலைத் தீர்க்காது. DNS என்பது பெயரிலிருந்து முகவரிக்கான வரைபடம், போர்ட் தரகர் அல்ல, மேலும் PAT மூலம் சேவையகத்தை வெளியிடுவது VPN கேட்பானை வேறு போர்ட்டுக்கு நகர்த்துவதற்குச் சமமான செயல்பாடு அல்ல.
VPN பதிவு உண்மையில் நகர வேண்டும் என்றால் நான்கு விஷயங்கள் ஒன்றாக மாறும்: கிளையண்ட் சுயவிவரம், பொது URL, மேல்நிலை வடிகட்டுதல் மற்றும் வரிசைப்படுத்தல் பயன்படுத்தும் ஒவ்வொரு போக்குவரத்தும். ஒவ்வொன்றாக அல்ல, ஒரே சாளரத்தில் செய்யுங்கள். சாதனத்தை அடைய நீங்கள் பயன்படுத்தும் சேவையைத் தொடும் முன் சாதனத்திற்கு தனி நிர்வாகப் பாதையைத் திறந்து வையுங்கள். இரண்டாவது பாதை இல்லாமல், நகர்த்தல் என்பது வெளியிலிருந்து திரும்பப் பெற முடியாத மாற்றமாகும்.
வெளியிலிருந்து புதிய இணைப்புகளுடன் சரிபார்க்கவும்
பயனுள்ள அணுகல் கொள்கையின் கீழ் நோக்கம் கொண்ட DMZ பயன்பாட்டை மட்டும் அனுமதியுங்கள், பின்னர் பொருந்தும் மொழிபெயர்ப்பு வரிசை, சேவையகத்தின் திரும்பும் பாதை மற்றும் சான்றிதழில் உள்ள ஹோஸ்ட் பெயரைச் சரிபார்க்கவும். PAT நெட்வொர்க் இலக்கை மாற்றுகிறது; அது பயன்பாட்டு அணுகலைத் தராது, வேறு ஹோஸ்ட்டைக் குறிக்கும் சான்றிதழைச் சரிசெய்யாது.
அங்கீகரிக்கப்பட்ட வெளிப்புற ஹோஸ்ட்டிலிருந்து புதிய இணைப்புகளுடன் இரண்டு சேவைகளையும் சோதியுங்கள்: VPN இன்னும் நிறுவப்பட வேண்டும், DMZ கோரிக்கை அதன் நோக்கமான கேட்பானை அடைய வேண்டும். நிறுவப்பட்ட அமர்வு முந்தைய நிலையை வைத்திருக்கலாம், எனவே ஒரு நிமிடத்திற்கு முன் நீங்கள் மாற்றிய வரைபடத்தைப் பற்றி அது எதையும் நிரூபிக்காது.
நீங்கள் வரிசைப்படுத்தியதைக் கொண்டு பதிவுப் பட்டியலைப் புதுப்பித்து சுழற்சியை மூடுங்கள், உருவாக்காமல் கண்டுபிடித்த ஒவ்வொரு கேட்பானையும் சேர்த்து. அந்த முகவரியில் அடுத்து சேவையை வெளியிடும் நபர் உங்கள் அட்டவணையிலிருந்து தொடங்குவார், அங்குள்ள தவறான வரிசை இங்குள்ள தவறான கட்டளையை விட அதிக விலை கொண்டது.