ASA: port VPN i PAT estàtic de DMZ en una sola IP pública
Una adreça pública, dos serveis. Inventorieu adreça, transport i port per al listener VPN i el PAT de DMZ abans que un ocupi l'entrada de l'altre.
Dos serveis, una adreça pública i un nom DNS que sembla que reserva un port. No ho fa. Abans de publicar un servidor DMZ al costat de l'entrada VPN en un ASA, anoteu les tuples d'entrada i comproveu-les per ordre; el primer camp que coincideix amb un servei existent és on s'atura el pla. Tot el que segueix assumeix que la VPN acaba al mateix aparell, no en un servidor intern.
Escriviu els cinc camps abans d'escriure l'ordre
Per a cada entrada pública, anoteu la família d'adreces, l'adreça pública, el transport, el port públic i el propietari. El propietari és o bé un servei local de l'ASA o bé un servidor intern traduït. Dues entrades poden compartir una adreça i seguir sent tuples diferents, i dues entrades poden semblar diferents en un diagrama mentre xoquen a l'aparell.
Manteniu una segona columna per al port real, el que el servidor intern escolta de veritat. El port públic i el port real són eleccions independents, i en el moment que els ajunteu en una sola columna perdeu la capacitat de llegir la vostra pròpia traducció més endavant.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Llegiu correctament les posicions real i mapejada
Partiu de la tupla que ja teniu, no del servidor que voleu afegir. Una divisió il·lustrativa manté l'entrada VPN aprovada al TCP 443 públic i publica un servidor DMZ HTTPS al TCP 8443 públic mentre aquest servidor continua escoltant al 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443A l'ordre desplegada, el servei real i el servei mapejat seuen en posicions fixes, i invertir-los descriu un mapeig diferent, no un de trencat. Aquesta és la manera més comuna que una traducció funcional es converteixi en un trencaclosques: la configuració és vàlida, simplement apunta a un altre lloc.
La guia de NAT d'ASA 9.16 de Cisco documenta el PAT estàtic, l'ús de l'adreça d'interfície i els significats de port real versus mapejat. Llegiu la secció de la versió que realment executeu; una ordre recordada d'una plataforma més antiga no és una configuració actual completa.
Compteu el transport com a part de la reserva
TCP 443 i UDP 443 són tuples diferents, i aquesta diferència no us regala la d'UDP. Una VPN pot tenir listeners TLS i DTLS separats, i altres serveis configurats poden ja tenir el transport que voleu. Inventorieu els listeners efectius i la política d'accés en lloc d'assumir que la pàgina web és tota l'entrada VPN.
Un segon nom d'host que resol a la mateixa adreça tampoc no resol una col·lisió a nivell de transport. El DNS és un mapatge de nom a adreça, no un corredor de ports, i publicar un servidor mitjançant PAT no és la mateixa operació que moure el listener VPN a un altre port.
Si l'entrada VPN s'ha de moure de veritat, quatre coses canvien alhora: el perfil del client, l'URL pública, el filtratge aigües amunt i cada transport que utilitza el desplegament. Feu-les en una sola finestra en lloc d'una per una. Manteniu un camí de gestió separat cap a l'aparell obert abans de tocar el servei que feu servir per arribar-hi. Sense un segon camí, el moviment és un canvi del qual no podeu recular des de fora.
Verifiqueu des de fora amb connexions noves
Permeteu només l'aplicació DMZ prevista sota la política d'accés efectiva, i després comproveu l'ordre de traducció corresponent, el camí de retorn del servidor i el nom d'host al certificat. El PAT canvia la destinació de xarxa; no atorga accés a l'aplicació i no repara un certificat que anomena un host diferent.
Proveu tots dos serveis amb connexions noves des d'un host extern autoritzat: la VPN hauria de continuar establint-se, i la petició DMZ hauria d'arribar al seu listener previst. Una sessió establerta pot conservar estat anterior, així que no demostra res sobre un mapeig que vau canviar fa un minut.
Tanqueu el bucle actualitzant l'inventari d'entrades amb el que heu desplegat, incloent-hi qualsevol listener que hàgiu descobert en lloc de creat. La propera persona que publiqui un servei en aquesta adreça començarà per la vostra taula, i una fila equivocada allà costa més que una ordre equivocada aquí.