ASA: ebute VPN ati PAT ti DMZ lori IP gbangba kan
Adirẹsi gbangba kan, iṣẹ meji. Ṣe akojọ adirẹsi, gbigbe ati ebute fun olugbọ VPN ati PAT DMZ ki ọkan to gba titẹsi ekeji.
Iṣẹ meji, adirẹsi gbangba kan, ati orukọ DNS kan ti o dabi ẹnipe o fi ebute pamọ. Ko ṣe bẹ. Ki o to gbe olupin DMZ jade lẹgbẹẹ titẹsi VPN lori ASA, kọ awọn tuple titẹsi silẹ ki o si yẹ wọn wo ni tẹlentẹle; aaye akọkọ ti o baamu iṣẹ ti o wa tẹlẹ ni ibi ti eto naa ti duro. Gbogbo nkan ni isalẹ gba pe VPN pari lori ẹrọ funrararẹ, kii ṣe lori olupin inu.
Kọ awọn aaye marun ki o to kọ aṣẹ naa
Fun gbogbo titẹsi gbangba, ṣe akọsilẹ idile adirẹsi, adirẹsi gbangba, gbigbe, ebute gbangba ati oniwun. Oniwun jẹ boya iṣẹ agbegbe ASA tabi olupin inu ti a ti tumọ. Awọn titẹsi meji le pin adirẹsi kan ti wọn si jẹ tuple oriṣiriṣi, awọn titẹsi meji si le yatọ si han ninu aworan kan nigba ti wọn n kọlu ara wọn lori ẹrọ naa.
Tọju iwe keji fun ebute gidi, eyi ti olupin inu n gbọ nitootọ. Ebute gbangba ati ebute gidi jẹ awọn yiyan ominira, ati ni akoko ti o ba papọ wọn sinu iwe kan, o padanu agbara lati ka itumọ tirẹ lẹyin naa.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Ka awọn ipo gidi ati awọn ti a ya aworan ni tọ
Bẹrẹ lati tuple ti o ti ni tẹlẹ, kii ṣe lati olupin ti o fẹ fi kun. Pipin apejuwe kan tọju titẹsi VPN ti a fọwọsi lori TCP 443 gbangba ati gbe olupin DMZ HTTPS jade lori TCP 8443 gbangba nigba ti olupin yẹn tẹsiwaju gbọ lori 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443Ninu aṣẹ ti a ti gbe kalẹ, iṣẹ gidi ati iṣẹ ti a ya aworan wa ni awọn ipo ti o duro ṣinṣin, ati yiyi wọn pada ṣe apejuwe yiya aworan miiran, kii ṣe eyi ti o bajẹ. Eyi ni ọna ti o wọpọ julọ ti itumọ ti n ṣiṣẹ fi di adojuru: iṣeto naa wulo, o kan tọka si ibomiiran.
Itọsọna NAT ASA 9.16 lati Cisco ṣe akọsilẹ PAT ti o duro, lilo adirẹsi wiwo ati awọn itumọ ebute gidi lodi si eyi ti a ya aworan. Ka apakan fun ẹya ti o n ṣiṣẹ nitootọ; aṣẹ ti a ranti lati pẹpẹ atijọ kii ṣe iṣeto lọwọlọwọ pipe.
Ka gbigbe si apakan ti ipamọ
TCP 443 ati UDP 443 jẹ tuple oriṣiriṣi, ati iyatọ yẹn ko fun ọ ni UDP lọfẹ. VPN le ni awọn olugbọ TLS ati DTLS lọtọ, ati awọn iṣẹ miiran ti a ti ṣeto le ti di gbigbe ti o fẹ mu tẹlẹ. Ṣe akojọ awọn olugbọ ti o munadoko ati eto imulo iwọle dipo ro pe oju-iwe ayelujara ni gbogbo titẹsi VPN.
Orukọ agbalejo keji ti o yanju si adirẹsi kanna ko tun yanju ikọlu ni ipele gbigbe. DNS jẹ yiya orukọ si adirẹsi, kii ṣe alagbata ebute, ati gbigbe olupin jade nipasẹ PAT kii ṣe iṣe kanna bi gbigbe olugbọ VPN lọ si ebute miiran.
Ti titẹsi VPN ba ni lati gbe nitootọ, awọn nkan mẹrin yipada papọ: profaili alabara, URL gbangba, sisẹ ni oke ati gbogbo gbigbe ti imuṣiṣẹ nlo. Ṣe wọn ni ferese kan dipo ọkan ni akoko kan. Tọju ọna iṣakoso lọtọ si ẹrọ naa ni ṣiṣi ki o to fi ọwọ kan iṣẹ ti o nlo lati de ọdọ rẹ. Laisi ọna keji, gbigbe jẹ iyipada ti o ko le pada sẹyin lati ita.
Ṣe ayẹwo lati ita pẹlu awọn asopọ tuntun
Gba iṣẹ DMZ ti a pinnu nikan laaye labẹ eto imulo iwọle ti o munadoko, lẹyin naa yẹ ki o ṣayẹwo ilana itumọ ti o baamu, ọna ipadabọ olupin ati orukọ agbalejo lori ijẹrisi. PAT yi opin irin ajo nẹtiwọki pada; ko fun ni iwọle si ohun elo ati ko tun ijẹrisi ti o darukọ agbalejo miiran ṣe.
Dan awọn iṣẹ mejeeji pẹlu awọn asopọ tuntun lati agbalejo ita ti a fun laṣẹ: VPN yẹ ki o tun fi idi mulẹ, ati pe ibeere DMZ yẹ ki o de ọdọ olugbọ ti a pinnu rẹ. Ipejọ ti o ti fi idi mulẹ le tọju ipo iṣaaju, nitorina ko fi ohunkohun han nipa yiya aworan ti o yipada ni isẹju kan sẹyin.
Pa iyipo naa nipa imudojuiwọn akojọ titẹsi pẹlu ohun ti o ti gbe kalẹ, pẹlu gbogbo olugbọ ti o ṣe awari dipo ti o ṣẹda. Ẹni ti o tẹle lati gbe iṣẹ jade lori adirẹsi yẹn yoo bẹrẹ lati tabili rẹ, ati ila ti ko tọ nibẹ ni iye owo ju aṣẹ ti ko tọ nibi.