Cisco ASA - Permitindo acesso externo a um servidor seguro via RDP

Question

Eu sou novo no fórum e realmente espero que alguém possa me ajudar. Estou puxando meu cabelo! Eu publiquei em ambos os fóruns da Cisco e fóruns do Windows na esperança de que alguém possa sugerir algo, mas ninguém sequer viu minhas perguntas. Eu realmente espero que este fórum seja muito mais ativo!

Estou tentando permitir que um terceiro participe do RDP para dois de nossos servidores usando portas personalizadas (3390 e 3391). Eu configurei duas regras de acesso em nosso ASA 5515-X usando o ASDM (não consigo fazer CLI).

As regras são as seguintes:

Source Criteria - Permit - Any Destination Criteria - internal.server.local - (Service) RDP

Em seguida, apliquei uma regra NAT da seguinte forma:

Match Source Interface - Internet - Source Address - Any Destination Interface - LAN - Destination Address - 1.2.3.4 (Our public IP) - Service - 3390 (Custom RDP)

Action Source NAT Type - Static - Source Address - Original - Destination Address - internal.server.local - Service - RDP

E novamente para o outro servidor usando uma regra NAT usando 3391 para a porta personalizada.

Esta regra parece estar funcionando e os logs mostram que a tentativa de conexão foi feita, mas parece que o servidor Windows na outra extremidade está recusando a conexão.

6   Dec 22 2015 08:18:43    302014  213.205.x.x 49639   10.11.200.55    3389    Teardown TCP connection 20423786 for BTnet:213.205.x.x/49639 to LAN:10.11.200.55/3389 duration 0:00:30 bytes 0 SYN Timeout

Eu verifiquei duas vezes o servidor, o firewall está desativado e também existe uma regra de exceção para permitir conexões RDP, além de RDP estar habilitado.

Esta manhã, também notei o seguinte erro após executar um rastreamento:

5   Dec 22 2015 07:34:08    305013  213.205.x.x 49345   10.11.200.55    3389    Asymmetric NAT rules matched for forward and reverse flows; Connection for tcp src BTnet:213.205.x.x/49345 dst LAN:10.11.200.55/3389 denied due to NAT reverse path failure

Este poderia ser o motivo real de sua falha? Eu ficaria eternamente grato por qualquer sugestão.

    

Answer 1

Bem, as regras NAT não parecem estar corretamente configuradas. O conceito de encaminhamento de porta para o Cisco ASA é um pouco complicado:

Port Redirection (Forwarding) with Static

Port forwarding or port redirection is a useful feature where the outside users try to access an internal server on a specific port. In order to achieve this, the internal server, which has a private IP address, will be translated to a public IP address which in turn is allowed access for the specific port.

Portanto, para encaminhamento de porta para um servidor interno, há duas etapas que você precisará executar:

1. Traduza o IP do servidor interno, 10.11.200.55 na porta 3389, para o endereço IP público x.x.x.x do seu ASA na porta 3390.
2. Permitir acesso ao IP público, x.x.x.x na porta 3390.

Estão disponíveis instruções detalhadas passo-a-passo no site da Cisco: Relecionamento de encaminhamento (encaminhamento) com estática