ASA: порт VPN і статычны PAT для DMZ на адным публічным IP

Дзве службы, адзін публічны адрас і імя DNS, якое нібыта рэзервуе порт. Не рэзервуе. Перш чым апублікаваць сервер DMZ побач з запісам VPN на ASA, запішыце картэжы запісаў і праверце іх па парадку; першае поле, якое супадае з існуючай службай, - гэта месца, дзе план спыняецца. Усё ніжэй мяркуе, што VPN завяршаецца на самай прыладзе, а не на ўнутраным серверы.

Запішыце пяць палёў, перш чым запісаць каманду

Для кожнага публічнага запісу зафіксуйце сямейства адрасоў, публічны адрас, транспарт, публічны порт і ўладальніка. Уладальнік - гэта альбо лакальная служба ASA, альбо трансляваны ўнутраны сервер. Два запісы могуць дзяліць адрас і пры гэтым быць рознымі картэжамі, а два запісы могуць выглядаць па-рознаму на схеме і сутыкацца на прыладзе.

Трымайце другі слупок для рэальнага порта - таго, на якім унутраны сервер фактычна слухае. Публічны порт і рэальны порт - незалежныя выбары, і ў момант, калі вы зліваеце іх у адзін слупок, вы губляеце магчымасць прачытаць уласны пераклад пазней.

Чытайце рэальныя і адлюстраваныя пазіцыі правільна

Пачынайце з картэжа, які ў вас ужо ёсць, а не з сервера, які вы хочаце дадаць. Ілюстрацыйны падзел пакідае зацверджаны запіс VPN на публічным TCP 443 і публікуе сервер DMZ HTTPS на публічным TCP 8443, пакуль гэты сервер працягвае слухаць на 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

У разгорнутай камандзе рэальная служба і адлюстраваная служба займаюць фіксаваныя пазіцыі, і іх перамен апісвае іншае адлюстраванне, а не зламанае. Гэта самы часты шлях, якім працуючы пераклад ператвараецца ў загадку: канфігурацыя сапраўдная, яна проста паказвае ў іншае месца.

Кіраўніцтва ASA 9.16 NAT ад Cisco апісвае статычны PAT, выкарыстанне адраса інтэрфейса і значэнні рэальнага і адлюстраванага порта. Чытайце раздзел для той версіі, якую вы фактычна запускаеце; каманда, успомненая са старой платформы, не з'яўляецца поўнай бягучай канфігурацыяй.

Лічыце транспарт часткай рэзервавання

TCP 443 і UDP 443 - розныя картэжы, і гэтая розніца не дае вам UDP бясплатна. VPN можа мець асобныя слухачы TLS і DTLS, а іншыя наладжаныя службы могуць ужо займаць патрэбны вам транспарт. Пералічыце эфектыўныя слухачы і палітыку доступу замест таго, каб меркаваць, што вэб-старонка - гэта ўвесь запіс VPN.

Другое імя хоста, якое вырашаецца ў той жа адрас, таксама не вырашае калізію на ўзроўні транспарту. DNS - гэта адлюстраванне імя ў адрас, а не брокер партоў, і публікацыя сервера праз PAT - не тое ж дзеянне, што перанос слухача VPN на іншы порт.

Калі запіс VPN сапраўды трэба перанесці, чатыры рэчы змяняюцца разам: профіль кліента, публічны URL, фільтраванне вышэй па плыні і кожны транспарт, які выкарыстоўвае разгортванне. Рабіце іх у адным акне, а не па адным. Трымайце асобны шлях кіравання да прылады адкрытым, перш чым кранаць службу, праз якую вы да яе дабіраецеся. Без другога шляху перанос - гэта змена, якую вы не зможаце адмяніць звонку.

Правярайце звонку свежымі злучэннямі

Дазвольце толькі прызначанае праграмаванне DMZ у межах эфектыўнай палітыкі доступу, затым праверце адпаведны парадак трансляцыі, зваротны шлях сервера і імя хоста ў сертыфікаце. PAT змяняе сеткавае прызначэнне; ён не дае доступу да праграмы і не выпраўляе сертыфікат, які называе іншага хоста.

Праверце абедзве службы новымі злучэннямі з аўтарызаванага знешняга хоста: VPN павінен па-ранейшаму ўстанаўлівацца, а запыт DMZ павінен дасягнуць свайго прызначанага слухача. Устаноўленая сесія можа захоўваць ранейшы стан, таму яна нічога не даказвае пра адлюстраванне, якое вы змянілі хвіліну таму.

Замкніце цыкл, абнавіўшы інвентар запісаў тым, што вы разгарнулі, уключаючы любога слухача, якога вы выявілі, а не стварылі. Наступны чалавек, які апублікуе службу на гэтым адрасе, пачне з вашай табліцы, і няправільны радок там каштуе даражэй за няправільную каманду тут.