ASA: VPN-poort en DMZ statiese PAT op een openbare IP
Een openbare adres, twee dienste. Inventariseer adres, transport en poort vir die VPN-luisteraar en die DMZ-PAT voordat een van hulle die ander se inskrywing opeis.
Twee dienste, een openbare adres, en 'n DNS-naam wat voel of dit 'n poort reserveer. Dit doen nie. Voordat jy 'n DMZ-bediener langs die VPN-inskrywing op 'n ASA publiseer, skryf die inskrywing-tupels neer en kontroleer hulle in volgorde; die eerste veld wat by 'n bestaande diens pas, is waar die plan stop. Alles hieronder aanvaar dat die VPN op die toestel self termineer, nie op 'n binneste bediener nie.
Skryf die vyf velde voordat jy die opdrag skryf
Vir elke openbare inskrywing teken jy die adresfamilie, die openbare adres, die transport, die openbare poort en die eienaar aan. Die eienaar is of 'n ASA-plaaslike diens of 'n vertaalde binneste bediener. Twee inskrywings kan 'n adres deel en steeds verskillende tupels wees, en twee inskrywings kan in 'n diagram verskillend lyk terwyl hulle op die toestel bots.
Hou 'n tweede kolom vir die werklike poort, die een waarop die binneste bediener werklik luister. Die openbare poort en die werklike poort is onafhanklike keuses, en sodra jy hulle in een kolom saamvat, verloor jy die vermoe om jou eie vertaling later te lees.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Lees die werklike en gekarteerde posisies korrek
Begin by die tupel wat jy reeds het, nie by die bediener wat jy wil byvoeg nie. 'n Illustratiewe verdeling hou die goedgekeurde VPN-inskrywing op openbare TCP 443 en publiseer 'n DMZ HTTPS-bediener op openbare TCP 8443 terwyl daardie bediener op 443 bly luister:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443In die ontplooide opdrag sit die werklike diens en die gekarteerde diens in vaste posisies, en om hulle om te ruil beskryf 'n ander kartering eerder as 'n gebreekte een. Dit is die algemeenste manier waarop 'n werkende vertaling in 'n raaisel verander: die konfigurasie is geldig, dit wys bloot erens anders.
Cisco se ASA 9.16 NAT-gids dokumenteer statiese PAT, die gebruik van koppelvlakadresse en die betekenis van werklike teenoor gekarteerde poorte. Lees die afdeling vir die weergawe wat jy werklik gebruik; 'n opdrag wat uit 'n ouer platform onthou is, is nie 'n volledige huidige konfigurasie nie.
Tel transport as deel van die reservering
TCP 443 en UDP 443 is verskillende tupels, en daardie verskil gee jou nie die UDP een gratis nie. 'n VPN kan aparte TLS- en DTLS-luisteraars he, en ander gekonfigureerde dienste kan reeds die transport hou wat jy will he. Inventariseer die effektiewe luisteraars en die toegangsbeleid eerder as om aan te neem die webblad is die hele VPN-inskrywing.
'n Tweede gasheernaam wat na dieselfde adres resolveer, los ook nie 'n botsing op transportvlak op nie. DNS is 'n naam-na-adres-kartering, nie 'n poortbemiddelaar nie, en om 'n bediener deur PAT te publiseer is nie dieselfde operasie as om die VPN-luisteraar na 'n ander poort te skuif nie.
As die VPN-inskrywing werklik moet skuif, verander vier dinge saam: die klientprofiel, die openbare URL, die opstroomfiltering en elke transport wat die ontplooiing gebruik. Doen hulle in een venster eerder as een op 'n slag. Hou 'n aparte bestuurspad na die toestel oop voordat jy die diens aanraak wat jy gebruik om dit te bereik. Sonder 'n tweede pad is die skuif 'n verandering waarmee jy nie van buite af kan terugtrek nie.
Verifieer van buite met vars verbindings
Laat slegs die beoogde DMZ-toepassing toe onder die effektiewe toegangsbeleid, en kontroleer dan die ooreenstemmende vertalingsorde, die bediener se terugpad en die gasheernaam op die sertifikaat. PAT verander die netwerkbestemming; dit verleen nie toepassingstoegang nie en dit herstel nie 'n sertifikaat wat 'n ander gasheer noem nie.
Toets beide dienste met nuwe verbindings vanaf 'n gemagtigde buitenste gasheer: die VPN moet steeds vestig, en die DMZ-versoek moet sy bedoelde luisteraar bereik. 'n Gevestigde sessie kan vroeer toestand behou, so dit bewys niks oor 'n kartering wat jy 'n minuut gelede verander het nie.
Sluit die lus deur die inskrywingsinventaris by te werk met wat jy ontplooi het, insluitend enige luisteraar wat jy ontdek het eerder as geskep het. Die volgende persoon wat 'n diens op daardie adres publiseer, sal van jou tabel begin, en 'n verkeerde ry daar kos meer as 'n verkeerde opdrag hier.