Encaminhamento de porta Cisco ASA para iniciantes

Question

Sou um empreiteiro para uma escola particular onde sou encarregado de desenvolver uma API pública para o banco de dados deles para usar em aplicativos para dispositivos móveis.

Eles hospedam seu próprio site nas instalações da escola e sua rede é controlada por um Cisco ASA 5510 executando o CLI 8.2.

Eles estão me fornecendo um servidor blade dedicado e um IP estático para este projeto, então pedi ao SysAdmin para mapear o IP para a máquina e também para abrir a porta 80 e a porta 22 para acessá-lo.

No final, o cara disse que tentou o que podia, mas não pareceu funcionar. Ele claramente não é quem configurou seus sistemas, e eu não tenho experiência com a Cisco, então espero que alguém aqui possa me apontar na direção certa.

Aqui está a saída do comando "show run" que ele me enviou: link . A máquina que estamos tentando abrir, mas não funciona, acaba com o 211, e o site deles, que está funcionando bem, é 209.

Eu sei que há muitas perguntas sobre o Cisco ASA Port Forwarding no ServerFault, mas mesmo depois de ler o manual do ASA, tenho tão pouca experiência com o dispositivo que as respostas não me ajudam muito. Minhas desculpas e meus agradecimentos antecipadamente.

    

Answer 1

Etapa 1: corrija este problema ... relacionado a acl_out referenciado por access-group acl_out in interface Outside

! ... more acl lines above
access-list acl_out extended permit tcp any host 222.22.2.215 eq 3389
            ^^^^^^^
access-list acl-out extended permit tcp any host 222.22.2.210 eq www
access-list acl-out extended permit tcp any host 222.22.2.210 eq ssh
access-list acl-out extended permit tcp any host 222.22.2.211 eq ssh
access-list acl-out extended permit tcp any host 222.22.2.211 eq www
            ^^^^^^^

acl-out não é o nome correto. Você deveria estar usando acl_out

Por favor, adicione as seguintes linhas na parte inferior do acl usando o ASA CLI e teste novamente:

access-list acl_out extended permit tcp any host 222.22.2.210 eq www
access-list acl_out extended permit tcp any host 222.22.2.210 eq ssh
access-list acl_out extended permit tcp any host 222.22.2.211 eq ssh
access-list acl_out extended permit tcp any host 222.22.2.211 eq www

    

Answer 2

A configuração prototípica (verifique se você está no modo habilitado):

Deve haver alguma lista de acesso na interface externa que controla qual tráfego pode entrar na rede. É possível que ele não exista já, mas se você já tiver alguma regra de entrada, ela estará lá.

Para verificar se você tem essa lista de acesso, execute

show run access-group

Ele deve retornar algo como

access-group Internet_In in interface Internet

Isso significa (lendo da direita para a esquerda) que o tráfego para a interface "Internet" (que é uma interface com nameif Internet como mostrado em show run int ), tráfego de entrada, deve passar pela lista de acesso "Internet_In". >

Você pode exibir esta lista de acesso com:

show run access-list Internet_In access-list Internet_In extended permit tcp any host ${Public_IP} eq ${Public_Port}

Essa segunda linha geralmente aparecerá muitas vezes, para cada combinação de IP e Porta sendo encaminhada para dentro. Descobrir quais linhas estão faltando. Se você não tem um grupo de acesso, você deveria ter um por causa da segurança. Normalmente, você só sentirá falta de uma linha ou três da lista de acesso.

Para adicionar linhas à lista de acesso, entre no modo de configuração com conf t e digite as linhas que deseja na lista de acesso no mesmo formato mostrado anteriormente.

Depois de permitir o tráfego, o ASA precisa saber para onde está indo se você estiver executando o NAT. O comando static mapeia o tráfego para trás em uma interface NAT. Se você não está usando NAT neste ASA, então não precisa se preocupar com este mapeamento ( show run nat exibirá a configuração NAT).

Para ativar a execução de configuração estática existente:

show run static

Ele deve retornar algo se você já tiver uma configuração de mapeamento, como:

static (inside,Internet) tcp ${Public_IP} ${Public_Port} ${Priv_IP} ${Priv_Port} netm 255.255.255.255

Onde "inside" e "Internet" são nameif de interfaces e o resto é bastante autoexplicativo. Mais uma vez, descubra quais linhas você está perdendo, adicione-as no modo de configuração.