Я бы улучшил переадресацию портов с внешнего хоста во внутреннюю сеть на моем ASA.
Сеть и хост находятся на двух разных интерфейсах: внутренняя сеть находится на внутреннем интерфейсе g0 / 1 с IP-адресом 192.168.10.0/24, а внешний хост - на внешнем интерфейсе g0 / 7 с IP-адресом 192.168.17.57. В своей конфигурации я использовал порт 500, чтобы попытаться настроить переадресацию портов.
Используя функцию Windows «информационная служба Интернета», я могу связываться из внутренней подсети с внешним хостом, используя «192.168.17.57:500», но я не могу сделать то же самое с внешнего хоста во внутреннюю сеть.
Как это можно включить?
Это моя конфигурация:
interface GigabitEthernet0/0
nameif inside7
security-level 100
ip address 192.168.8.1 255.255.255.0
interface GigabitEthernet0/1
nameif inside1
security-level 100
ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/2
nameif inside2
security-level 100
ip address 192.168.12.1 255.255.255.0
interface GigabitEthernet0/3
shutdown
no nameif
no security-level
no ip address
interface GigabitEthernet0/4
shutdown
no nameif
no security-level
no ip address
interface GigabitEthernet0/5
shutdown
no nameif
no security-level
no ip address
interface GigabitEthernet0/6
shutdown
no nameif
no security-level
no ip address
interface GigabitEthernet0/7
nameif outside7
security-level 0
ip address 192.168.17.1 255.255.255.0
interface GigabitEthernet0/8
shutdown
no nameif
no security-level
no ip address
interface Management0/0
management-only
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
ftp mode passive
dns server-group DefaultDNS
domain-name copying.com
object network RETE1
range 192.168.10.100 192.168.10.160
object network RETE7
host 192.168.17.1
object network rete1
subnet 192.168.10.0 255.255.255.0
object service PORT
service tcp destination eq 500
object network rete17
host 192.168.17.57
object network RETE17
subnet 192.168.17.0 255.255.255.0
object service HTTP
service tcp destination eq www
object network HOST1
host 192.168.10.102
access-list ACL2 extended permit tcp 192.168.10.0 255.255.255.0 interface outside7 eq 500
access-list ACL extended permit tcp host 192.168.17.57 192.168.10.0 255.255.255.0 eq 500
access-list ACL extended permit tcp host 192.168.17.57 192.168.10.0 255.255.255.0 eq www
access-list ICMP extended permit icmp host 192.168.17.57 192.168.10.0 255.255.255.0
pager lines 23
logging asdm informational
mtu inside7 1500
mtu inside1 1500
mtu inside2 1500
mtu outside7 1500
mtu management 1500
no failover
no monitor-interface service-module
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
no arp permit-nonconnected
nat (inside1,outside7) source static RETE1 interface service PORT HTTP
nat (outside7,inside1) source static rete17 interface service PORT HTTP
access-group ACL2 out interface inside1
access-group ACL in interface outside7
timeout xlate 3:00:00
timeout pat-xlate 0:00:30
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
timeout floating-conn 0:00:00
user-identity default-domain LOCAL
aaa authentication enable console LOCAL
aaa authentication ssh console LOCAL
http server enable
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
no service password-recovery
crypto ipsec security-association pmtu-aging infinite
crypto ca trustpoint _SmartCallHome_ServerCA
no validation-usage
crl configure
crypto ca trustpool policy
auto-import
crypto ca certificate chain _SmartCallHome_ServerCA
certificate ca 6ecc7aa5a7032009b8cebcf4e952d491
class-map inspection_default
match default-inspection-traffic
class-map ICMP-CLASS
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum client auto
message-length maximum 512
policy-map ICMP-POLICY
class ICMP-CLASS
inspect icmp
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
inspect ip-options
service-policy global_policy global
service-policy ICMP-POLICY interface outside7
no call-home reporting anonymous
call-home
Андреа,
Я не уверен, что правильно понял ваш вопрос.
Вы говорите, что ваш внутренний интерфейс g0 / 1 с IP-адресом 192.168.10.0/24. Хорошо, в этом есть смысл.
Вы говорите, что ваш внешний хост находится на внешнем интерфейсе g0 / 7 с IP-адресом 192.168.17.57. Что вы подразумеваете под своим "внешним хозяином"? Этот роутер не используется как шлюз (только для внутренней маршрутизации трафика)?
В любом случае, правильный способ перенаправления порта указан ниже.
Для целевого хоста (хост, который отвечает на запросы, полученные через TCP-порт 500), вам необходимо создать объект. В приведенном ниже коде замените Частный с частным IP-адресом целевого хоста.
object network obj_*Private*
host *Private*
Затем вам нужно добавить оператор NAT, чтобы трафик транслировался с частного IP-адреса на общедоступный IP-адрес. В следующем коде вам нужно будет изменить «внутри» на интерфейс, к которому подключен частный IP-адрес целевого хоста, и «снаружи» на интерфейс, к которому подключен источник запроса на обслуживание, изменить Общественные на общедоступный IP-адрес, который вы собираетесь использовать для хоста, измените SPORT на порт, на который будет сделан запрос, и измените DPORT на порт, на котором сервер будет принимать запрос.
nat (inside,outside) static *Public* service tcp SPORT DPORT
Ваши последние изменения могут выглядеть так.
object network obj_192.168.10.102
host 192.168.10.102
nat (inside,outside) static 192.168.17.57 service tcp 500 500