Task: открыть 80 порт для определенного интерфейса и замапить его в 3389, на один из локальных хостов.
В качестве интерфейса управления - я использую ASDM-IDM Launcher но по большому счету - все это вполне реально сделать в терминале Putty или др. Например мульти-строки я выполнял в CLI (Command Line Interface), который также доступен из ASDM.Казалось-бы простая задача, но все же не без подводных камней...
Рабочий пример (аналогичного решения) выглядел так:
object network TS_Ext_3389
nat (inside,outside) static TS_Ext_3389_NAT_IP
object network TS_Ext_80_to_3389
nat (inside,outside) static TS_Ext_80_to_3389_NAT_IP
где TS_Ext_3389_NAT_IP = 192.168.1.1
а TS_Ext_80_to_3389_NAT_IP = 192.168.1.2
При этом хост один и тот-же. Ну я забил на это, подумав, что так значит надо было.
И подумал, что ничего не мешает использовать и один IP, на машине.
Начал добавлять в ASDM Public Service - а он ругается...
Решил убрать на существующем правиле http а потом добавить его вновь - ОП! Словил ту же ошибку
В итоге не мог добавить как для старого правила, так и для нового.
Оказалось:
Имея в наличии "ОДИН" статический NAT для этого интерфейса:nat (inside,outside) static TS_NAT_IP
object network TS_Ext_3389
- добавить еще один NAT является невозможным (что вполне логично).
Как-же быть?
Решение.
Удаляем "существующие" NAT для интересующего нас объекта (в моем случае это всего ОДНО правило, которое осталось) Открываем CLI.Я запускал поддержку Multiple Line (чтобы писать несколько строк и ASA это "проглатывала") и пишем следующее:
object network TS
nat (inside,outside) static TS_NAT_IP service tcp 3389 3389
object network ts_80_3389
nat (any,any) static TS_NAT_IP service tcp 3389 www
где объекты имеют значения:
object network TS
host 192.168.1.44 #т.е. это локальный адрес сервера
description TS
object network ts_80_3389
host 192.168.1.44 #т.е. это локальный адрес сервера
object network TS_NAT_IP
host 195.173.27.16 #т.е. это внешний публичный адрес
description TS_NAT_IP
Не упускаем из внимания access-list:
access-list outside_access extended permit object MS_RDP any4 object TSaccess-list outside_access extended permit object MS_RDP any4 object TS_80_to_3389
Комментариев нет:
Отправить комментарий