Publication d’un serveur en DMZ sur une autre adresse IP que l’adresse outside du ASA

[gfimetz01]

Bonjour à tous,

Nous avons un Cisco ASA 5506 en version 9.5, avec 3 pattes inside, outside, DMZ, avec plusieurs serveurs en DMZ publiés sur l’adresse outside x.x.x.194 du ASA (nous disposons de plusieurs adresses IP externes sur le subnet x.x.x.192 /29).

Tout cela fonctionne bien, mais nous souhaitons publier un serveur en DMZ sur l’adresse x.x.x.195, donc différente de l’adresse externe du ASA.

Déjà, il ne me semble pas qu’on puisse donner plusieurs adresses IP à la patte outside d’un ASA ?

J’ai trouvé l’option « Public Server » dans ASDM qui permet de publier un serveur en DMZ sur une autre adresse IP :

https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/113425-asdm-pub-server-00.html

J’ai testé et cela n’a pas fonctionné : impossible d’atteindre mon serveur sur l’adresse x.x.x.195.

Quelqu’un peut-il m’aider à comprendre comment ou peut publier un serveur en DMZ sur une adresse IP différente de cette de la patte outside du ASA ?

Déjà, je bute sur le fonctionnement de base : je ne comprends pas comment une requête venant d’Internet et adressée à l’adresse x.x.x.195 peut être reçue et traitée par le Cisco ASA qui n’a que l’adresse x.x.x.194 ?

Merci à tous ceux qui pourront m’éclairer.

Bien cordialement,

Christophe

[Francesco Molino]

Bonjour,

Les IPs publiques supplémentaires n'ont pas besoin d'être configurées sur l'interface outside.
Sur votre ASA, vous devez simplement configurer la nat pour ce serveur avec la nouvelle IP publique et tout devrait fonctionner sans souci.
Dans certaines conditions, avec certains ISP, il faut leur demander de mettre une route statique pour forcer le trafic à joindre l'IP outside de votre firewall mais cela est rare.

Pouvez vous partager votre configuration pour voir ce qui a été fait et pourquoi cela ne fonctionne pas?

[gfimetz01]

Bonsoir, merci de votre réponse.

J'ai refait un test avec un serveur FTP et cela fonctionne tout de suite.

Hier je testais avec une VM Win7 en RDP. Je ne sais pas si c'est du à ce port, il m'a semblé que l'option "Public Server" dans ASDM propose des ports prédéfinis, où il n'y a pas le RDP.

Je vais tester encore une fois avec des ports différents pour être sûr.

Encore une fois merci de votre aide.

Christophe

[Francesco Molino]

Ok laissez-moi savoir si tout est ok. Pour le rdp cela fonctionne comme pour les autres protocoles, mais il va faire créer l'objet TCP/3389 pour que ça marche.