ASA: VPN-Port und statische DMZ-PAT auf einer öffentlichen IP

Zwei Dienste, eine öffentliche Adresse und ein DNS-Name, der sich anfühlt, als reserviere er einen Port. Tut er nicht. Bevor Sie auf einer ASA einen DMZ-Server neben dem VPN-Eintrag veröffentlichen, schreiben Sie die Eintrags-Tupel auf und prüfen Sie sie der Reihe nach; das erste Feld, das zu einem bestehenden Dienst passt, ist die Stelle, an der der Plan endet. Alles Folgende setzt voraus, dass das VPN auf dem Gerät selbst endet, nicht auf einem inneren Server.

Schreiben Sie die fünf Felder, bevor Sie den Befehl schreiben

Notieren Sie für jeden öffentlichen Eintrag die Adressfamilie, die öffentliche Adresse, den Transport, den öffentlichen Port und den Eigentümer. Der Eigentümer ist entweder ein ASA-lokaler Dienst oder ein übersetzter innerer Server. Zwei Einträge können eine Adresse teilen und dennoch unterschiedliche Tupel sein, und zwei Einträge können im Diagramm unterschiedlich aussehen und trotzdem auf dem Gerät kollidieren.

Führen Sie eine zweite Spalte für den echten Port, den der innere Server tatsächlich abhört. Der öffentliche Port und der echte Port sind unabhängige Entscheidungen, und in dem Moment, in dem Sie sie in einer Spalte zusammenfassen, verlieren Sie die Fähigkeit, Ihre eigene Übersetzung später zu lesen.

Lesen Sie die echten und die abgebildeten Positionen richtig

Beginnen Sie bei dem Tupel, das Sie bereits haben, nicht bei dem Server, den Sie hinzufügen wollen. Eine illustrierende Aufteilung behält den freigegebenen VPN-Eintrag auf öffentlichem TCP 443 und veröffentlicht einen DMZ-HTTPS-Server auf öffentlichem TCP 8443, während dieser Server weiter auf 443 lauscht:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Im ausgerollten Befehl stehen der echte Dienst und der abgebildete Dienst an festen Positionen, und sie zu vertauschen beschreibt eine andere Zuordnung als eine defekte. Das ist der häufigste Weg, auf dem aus einer funktionierenden Übersetzung ein Rätsel wird: Die Konfiguration ist gültig, sie zeigt nur woanders hin.

Der ASA 9.16 NAT-Leitfaden von Cisco dokumentiert statische PAT, die Verwendung von Interface-Adressen und die Bedeutung von echtem gegenüber abgebildetem Port. Lesen Sie den Abschnitt für die Version, die Sie tatsächlich betreiben; ein Befehl aus einer älteren Plattform ist keine vollständige aktuelle Konfiguration.

Zählen Sie den Transport zur Reservierung dazu

TCP 443 und UDP 443 sind unterschiedliche Tupel, und dieser Unterschied schenkt Ihnen das UDP nicht. Ein VPN kann getrennte TLS- und DTLS-Listener haben, und andere konfigurierte Dienste halten möglicherweise bereits den Transport, den Sie wollen. Erfassen Sie die effektiven Listener und die Zugriffsrichtlinie, statt anzunehmen, die Webseite sei der ganze VPN-Eintrag.

Ein zweiter Hostname, der auf dieselbe Adresse auflöst, löst auch keine Kollision auf Transportebene. DNS ist eine Namens-zu-Adress-Abbildung, kein Port-Makler, und einen Server per PAT zu veröffentlichen ist nicht derselbe Vorgang wie den VPN-Listener auf einen anderen Port zu verschieben.

Wenn der VPN-Eintrag wirklich umziehen muss, ändern sich vier Dinge gemeinsam: das Client-Profil, die öffentliche URL, die vorgelagerte Filterung und jeder Transport, den das Deployment nutzt. Machen Sie sie in einem Fenster statt nacheinander. Halten Sie einen separaten Verwaltungspfad zum Gerät offen, bevor Sie den Dienst anfassen, über den Sie es erreichen. Ohne einen zweiten Pfad ist der Umzug eine Änderung, die Sie von außen nicht zurücknehmen können.

Prüfen Sie von außen mit frischen Verbindungen

Erlauben Sie unter der effektiven Zugriffsrichtlinie nur die vorgesehene DMZ-Anwendung, und prüfen Sie dann die passende Übersetzungsreihenfolge, den Rückweg des Servers und den Hostnamen im Zertifikat. PAT ändert das Netzwerkziel; es gewährt keinen Anwendungszugriff und repariert kein Zertifikat, das einen anderen Host nennt.

Testen Sie beide Dienste mit neuen Verbindungen von einem autorisierten äußeren Host: Das VPN sollte weiterhin aufbauen, und die DMZ-Anfrage sollte ihren vorgesehenen Listener erreichen. Eine bestehende Sitzung kann früheren Zustand behalten, beweist also nichts über eine Zuordnung, die Sie vor einer Minute geändert haben.

Schließen Sie den Kreis, indem Sie das Eintragsverzeichnis mit dem aktualisieren, was Sie ausgerollt haben, einschließlich jedes Listeners, den Sie entdeckt statt erstellt haben. Die nächste Person, die auf dieser Adresse einen Dienst veröffentlicht, beginnt bei Ihrer Tabelle, und eine falsche Zeile dort kostet mehr als ein falscher Befehl hier.