ASA: منفذ VPN وPAT ثابتة لـDMZ على عنوان IP عام واحد
عنوان عام واحد وخدمتان. اجرد العنوان والنقل والمنفذ لمستمع VPN وPAT الخاص بـDMZ قبل أن يحتل أحدهما مدخل الآخر.
خدمتان وعنوان عام واحد واسم DNS يبدو وكأنه يحجز منفذا. لكنه لا يفعل ذلك. قبل أن تنشر خادم DMZ إلى جانب مدخل VPN على جهاز ASA، اكتب مجموعات المداخل وتحقق منها بالترتيب؛ أول حقل يطابق خدمة قائمة هو النقطة التي تتوقف عندها الخطة. كل ما يلي يفترض أن VPN ينتهي على الجهاز نفسه، لا على خادم داخلي.
اكتب الحقول الخمسة قبل أن تكتب الأمر
لكل مدخل عام سجّل عائلة العنوان والعنوان العام والنقل والمنفذ العام والمالك. المالك إما خدمة محلية على ASA وإما خادم داخلي مترجم. قد يشترك مدخلان في عنوان ويبقيان مجموعتين مختلفتين، وقد يبدو مدخلان مختلفين في رسم تخطيطي بينما يتصادمان على الجهاز.
احتفظ بعمود ثانٍ للمنفذ الحقيقي، الذي يستمع عليه الخادم الداخلي فعلا. المنفذ العام والمنفذ الحقيقي خياران مستقلان، وفي اللحظة التي تدمجهما في عمود واحد تفقد القدرة على قراءة ترجمتك لاحقا.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
اقرأ المواضع الحقيقية والمعيّنة بشكل صحيح
ابدأ من المجموعة التي لديك بالفعل، لا من الخادم الذي تريد إضافته. التقسيم التوضيحي يبقي مدخل VPN المعتمد على TCP 443 العام وينشر خادم DMZ HTTPS على TCP 8443 العام بينما يبقى ذلك الخادم يستمع على 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443في الأمر المنشور تقع الخدمة الحقيقية والخدمة المعيّنة في مواضع ثابتة، وعكسهما يصف تعيينا مختلفا لا تعيينا معطلا. هذه هي الطريقة الأكثر شيوعا لتحول ترجمة عاملة إلى لغز: التكوين صالح، لكنه يشير إلى مكان آخر فحسب.
يوثّق دليل ASA 9.16 NAT من Cisco التعيين الثابت PAT واستخدام عنوان الواجهة ومعاني المنفذ الحقيقي مقابل المعيّن. اقرأ القسم الخاص بالإضافة التي تشغلها فعلا؛ الأمر المحفوظ من منصة أقدم ليس تكوينا كاملا حديثا.
احسب النقل جزءا من الحجز
TCP 443 وUDP 443 مجموعتان مختلفتان، وهذا الاختلاف لا يمنحك مجموعة UDP مجانا. قد يكون لـVPN مستمعان منفصلان لـTLS وDTLS، وقد تحتفظ خدمات أخرى مكوّنة بالنقل الذي تريده. اجرد المستمعين الفعليين وسياسة الوصول بدلا من افتراض أن صفحة الويب هي مدخل VPN بأكمله.
اسم مضيف ثانٍ يُحلّ إلى العنوان نفسه لا يحل تصادما على مستوى النقل أيضا. DNS هو تعيين اسم إلى عنوان وليس وسيط منافذ، ونشر خادم عبر PAT ليس العملية نفسها كتحريك مستمع VPN إلى منفذ آخر.
إذا كان على مدخل VPN أن ينتقل فعلا، تتغير أربعة أشياء معا: ملف تعريف العميل وعنوان URL العام والتصفية في المنبع وكل نقل يستخدمه النشر. نفّذها في نافذة واحدة بدلا من واحد تلو الآخر. أبق مسار إدارة منفصلا إلى الجهاز مفتوحا قبل أن تلمس الخدمة التي تستخدمها للوصول إليه. بدون مسار ثانٍ يصبح النقل تغييرا لا يمكنك التراجع عنه من الخارج.
تحقق من الخارج باتصالات جديدة
اسمح فقط بتطبيق DMZ المقصود ضمن سياسة الوصول الفعلية، ثم افحص ترتيب التعيين المطابق ومسار عودة الخادم واسم المضيف على الشهادة. PAT يغيّر وجهة الشبكة؛ وهو لا يمنح وصولا إلى التطبيق ولا يصلح شهادة تسمّي مضيفا مختلفا.
اختبر الخدمتين باتصالات جديدة من مضيف خارجي مصرح له: يجب أن يظل VPN يؤسس، ويجب أن يصل طلب DMZ إلى مستمعه المقصود. الجلسة القائمة قد تحتفظ بحالة أسبق، لذا لا تثبت شيئا عن تعيين غيّرته قبل دقيقة.
أغلق الحلقة بتحديث جرد المداخل بما نشرته، بما في ذلك أي مستمع اكتشفته بدلا من أن تنشئه. الشخص التالي الذي ينشر خدمة على ذلك العنوان سيبدأ من جدولك، وصف خاطئ هناك يكلف أكثر من أمر خاطئ هنا.