ASA: bitta ochiq IP da VPN porti va DMZ statik PAT

Ikkita xizmat, bitta ochiq manzil va portni band qilayotgandek tuyuladigan DNS nomi. Aslida unday emas. ASA da VPN yozuvi yonida DMZ serverini e'lon qilishdan oldin yozuv kortejlarini yozib oling va ularni tartib bilan tekshiring; mavjud xizmatga mos keladigan birinchi maydon - reja to'xtaydigan joy. Quyidagilarning barchasi VPN ichki serverda emas, qurilmaning o'zida tugaydi deb hisoblaydi.

Buyruqni yozishdan oldin besh maydonni yozib oling

Har bir ochiq yozuv uchun manzil oilasini, ochiq manzilni, transportni, ochiq portni va egasini qayd eting. Egasi ASA ning mahalliy xizmati yoki tarjima qilingan ichki server. Ikki yozuv bitta manzilni bo'lishib, baribir har xil kortej bo'lishi mumkin, va ikki yozuv diagrammada har xil ko'rinib, qurilmada to'qnashishi mumkin.

Haqiqiy port uchun ikkinchi ustunni saqlang - ichki server haqiqatan tinglaydigan port. Ochiq port va haqiqiy port mustaqil tanlovlar, va ularni bitta ustunga birlashtirgan lahzada keyinchalik o'z tarjimangizni o'qish qobiliyatini yo'qotasiz.

Haqiqiy va xaritalangan pozitsiyalarni to'g'ri o'qing

Qo'shmoqchi bo'lgan serverdan emas, allaqachon mavjud kortejdan boshlang. Misol bo'linish tasdiqlangan VPN yozuvini ochiq TCP 443 da saqlaydi va ochiq TCP 8443 da DMZ HTTPS serverini e'lon qiladi, o'sha server 443 da tinglashda davom etadi:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Joylashtirilgan buyruqda haqiqiy xizmat va xaritalangan xizmat qat'iy pozitsiyalarda turadi, va ularni almashtirish buzilgan emas, boshqa xaritalashni tavsiflaydi. Ishlayotgan tarjimaning jumboqqa aylanishining eng keng tarqalgan yo'li shu: konfiguratsiya to'g'ri, u shunchaki boshqa joyni ko'rsatadi.

Cisco ning ASA 9.16 NAT qo'llanmasi statik PAT ni, interfeys manzilidan foydalanishni va haqiqiy hamda xaritalangan port ma'nolarini hujjatlashtiradi. Haqiqatan ishlatayotgan versiyangiz bo'limini o'qing; eski platformadan eslab qolingan buyruq to'liq joriy konfiguratsiya emas.

Transportni bron qilishning bir qismi deb hisoblang

TCP 443 va UDP 443 turli kortejlar, va bu farq sizga UDP ni tekinga bermaydi. VPN alohida TLS va DTLS tinglovchilariga ega bo'lishi mumkin, va boshqa sozlangan xizmatlar siz xohlagan transportni allaqachon ushlab turishi mumkin. Veb-sahifa butun VPN yozuvi deb o'ylash o'rniga amaldagi tinglovchilar va kirish siyosatini inventar qiling.

Xuddi shu manzilga yechiladigan ikkinchi xost nomi ham transport darajasidagi to'qnashuvni hal qilmaydi. DNS nomdan manzilga xaritalash, port dalloli emas, va PAT orqali serverni e'lon qilish VPN tinglovchisini boshqa portga ko'chirish bilan bir xil amal emas.

Agar VPN yozuvi haqiqatan ko'chishi kerak bo'lsa, to'rt narsa birga o'zgaradi: mijoz profili, ochiq URL, yuqori oqim filtrlash va joylashtirish ishlatadigan har bir transport. Bittadan emas, bitta oynada bajaring. Qurilmaga yetib borish uchun ishlatadigan xizmatga tegishdan oldin unga alohida boshqaruv yo'lini ochiq tuting. Ikkinchi yo'l bo'lmasa, ko'chirish tashqaridan qaytarib bo'lmaydigan o'zgartirishdir.

Tashqaridan yangi ulanishlar bilan tekshiring

Amaldagi kirish siyosati ostida faqat mo'ljallangan DMZ ilovasiga ruxsat bering, so'ng mos keladigan tarjima tartibini, serverning qaytish yo'lini va sertifikatdagi xost nomini tekshiring. PAT tarmoq manzilini o'zgartiradi; u ilovaga kirish bermaydi va boshqa xostni nomlovchi sertifikatni tuzatmaydi.

Ikkala xizmatni vakolatli tashqi xostdan yangi ulanishlar bilan sinab ko'ring: VPN hali ham o'rnatilishi kerak, DMZ so'rovi mo'ljallangan tinglovchisiga yetib borishi kerak. O'rnatilgan sessiya avvalgi holatni saqlab turishi mumkin, shuning uchun bir daqiqa oldin o'zgartirgan xaritalash haqida hech narsani isbotlamaydi.

Joylashtirganingiz bilan yozuvlar inventarini yangilab tsiklni yoping, yaratmasdan kashf qilgan har bir tinglovchini ham qo'shib. O'sha manzilda keyingi marta xizmat e'lon qiladigan kishi sizning jadvalingizdan boshlaydi, va u yerdagi noto'g'ri qator bu yerdagi noto'g'ri buyruqdan qimmatroq.