ASA: θύρα VPN και στατικό PAT DMZ σε μία δημόσια IP
Μία δημόσια διεύθυνση, δύο υπηρεσίες. Καταγράψτε διεύθυνση, μεταφορά και θύρα για τον listener VPN και το PAT του DMZ πριν το ένα διεκδικήσει την καταχώριση του άλλου.
Δύο υπηρεσίες, μία δημόσια διεύθυνση και ένα όνομα DNS που μοιάζει να δεσμεύει θύρα. Δεν το κάνει. Πριν δημοσιεύσετε διακομιστή DMZ δίπλα στην καταχώριση VPN σε ένα ASA, γράψτε τις πλειάδες καταχώρισης και ελέγξτε τις με τη σειρά; το πρώτο πεδίο που ταιριάζει με υπάρχουσα υπηρεσία είναι το σημείο όπου σταματά το σχέδιο. Όλα τα παρακάτω υποθέτουν ότι το VPN τερματίζει στη συσκευή την ίδια, όχι σε εσωτερικό διακομιστή.
Γράψτε τα πέντε πεδία πριν γράψετε την εντολή
Για κάθε δημόσια καταχώριση, καταγράψτε την οικογένεια διευθύνσεων, τη δημόσια διεύθυνση, τη μεταφορά, τη δημόσια θύρα και τον ιδιοκτήτη. Ο ιδιοκτήτης είναι είτε υπηρεσία τοπική στο ASA είτε μεταφρασμένος εσωτερικός διακομιστής. Δύο καταχωρίσεις μπορεί να μοιράζονται διεύθυνση και να είναι ακόμη διαφορετικές πλειάδες, και δύο καταχωρίσεις μπορεί να φαίνονται διαφορετικές σε ένα διάγραμμα ενώ συγκρούονται στη συσκευή.
Κρατήστε δεύτερη στήλη για την πραγματική θύρα, εκείνη στην οποία πράγματι ακούει ο εσωτερικός διακομιστής. Η δημόσια θύρα και η πραγματική θύρα είναι ανεξάρτητες επιλογές, και τη στιγμή που τις συνενώνετε σε μία στήλη χάνετε την ικανότητα να διαβάσετε αργότερα τη δική σας μετάφραση.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Διαβάστε σωστά τις πραγματικές και τις αντιστοιχισμένες θέσεις
Ξεκινήστε από την πλειάδα που έχετε ήδη, όχι από τον διακομιστή που θέλετε να προσθέσετε. Μια ενδεικτική διάσπαση κρατά την εγκεκριμένη καταχώριση VPN στη δημόσια TCP 443 και δημοσιεύει διακομιστή DMZ HTTPS στη δημόσια TCP 8443, ενώ ο διακομιστής συνεχίζει να ακούει στην 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443Στην αναπτυγμένη εντολή, η πραγματική υπηρεσία και η αντιστοιχισμένη υπηρεσία στέκονται σε σταθερές θέσεις, και η αντιστροφή τους περιγράφει διαφορετική αντιστοίχιση και όχι χαλασμένη. Αυτός είναι ο συνηθέστερος τρόπος με τον οποίο μια λειτουργική μετάφραση γίνεται γρίφος: η διαμόρφωση είναι έγκυρη, απλώς δείχνει αλλού.
Ο οδηγός NAT του ASA 9.16 της Cisco τεκμηριώνει το στατικό PAT, τη χρήση διεύθυνσης διασύνδεσης και τις έννοιες της πραγματικής έναντι της αντιστοιχισμένης θύρας. Διαβάστε την ενότητα για την έκδοση που εκτελείτε πραγματικά; μια εντολή θυμημένη από παλαιότερη πλατφόρμα δεν είναι πλήρης τρέχουσα διαμόρφωση.
Μετρήστε τη μεταφορά ως μέρος της δέσμευσης
Οι TCP 443 και UDP 443 είναι διαφορετικές πλειάδες, και αυτή η διαφορά δεν σας δίνει δωρεάν την UDP. Ένα VPN μπορεί να έχει ξεχωριστούς listeners TLS και DTLS, και άλλες διαμορφωμένες υπηρεσίες μπορεί να κρατούν ήδη τη μεταφορά που θέλετε. Καταγράψτε τους ενεργούς listeners και την πολιτική πρόσβασης αντί να υποθέσετε ότι η ιστοσελίδα είναι ολόκληρη η καταχώριση VPN.
Ένα δεύτερο όνομα κεντρικού υπολογιστή που επιλύεται στην ίδια διεύθυνση δεν λύνει ούτε σύγκρουση σε επίπεδο μεταφοράς. Το DNS είναι αντιστοίχιση ονόματος σε διεύθυνση, όχι μεσίτης θυρών, και η δημοσίευση διακομιστή μέσω PAT δεν είναι η ίδια λειτουργία με τη μετακίνηση του listener VPN σε άλλη θύρα.
Αν η καταχώριση VPN πρέπει πραγματικά να μετακινηθεί, τέσσερα πράγματα αλλάζουν μαζί: το προφίλ πελάτη, η δημόσια URL, το φιλτράρισμα ανάντη και κάθε μεταφορά που χρησιμοποιεί η ανάπτυξη. Κάντε τα σε ένα παράθυρο αντί ένα-ένα. Κρατήστε ανοιχτή ξεχωριστή διαδρομή διαχείρισης προς τη συσκευή πριν αγγίξετε την υπηρεσία που χρησιμοποιείτε για να φτάσετε σε αυτήν. Χωρίς δεύτερη διαδρομή, η μετακίνηση είναι αλλαγή από την οποία δεν μπορείτε να επιστρέψετε από έξω.
Επαληθεύστε από έξω με νέες συνδέσεις
Επιτρέψτε μόνο την προβλεπόμενη εφαρμογή DMZ βάσει της ενεργού πολιτικής πρόσβασης, έπειτα ελέγξτε τη σειρά μετάφρασης που ταιριάζει, τη διαδρομή επιστροφής του διακομιστή και το όνομα κεντρικού υπολογιστή στο πιστοποιητικό. Το PAT αλλάζει τον προορισμό δικτύου· δεν παρέχει πρόσβαση στην εφαρμογή και δεν επισκευάζει πιστοποιητικό που ονομάζει άλλον κεντρικό υπολογιστή.
Δοκιμάστε και τις δύο υπηρεσίες με νέες συνδέσεις από εξουσιοδοτημένο εξωτερικό κεντρικό υπολογιστή: το VPN θα πρέπει να εξακολουθεί να εγκαθίσταται και το αίτημα DMZ θα πρέπει να φτάνει στον προβλεπόμενο listener. Μια εγκατεστημένη συνεδρία μπορεί να διατηρεί προηγούμενη κατάσταση, οπότε δεν αποδεικνύει τίποτα για αντιστοίχιση που αλλάξατε πριν από ένα λεπτό.
Κλείστε τον κύκλο ενημερώνοντας το μητρώο καταχωρίσεων με αυτό που αναπτύξατε, συμπεριλαμβανομένου κάθε listener που ανακαλύψατε αντί να δημιουργήσατε. Το επόμενο άτομο που θα δημοσιεύσει υπηρεσία σε αυτή τη διεύθυνση θα ξεκινήσει από τον πίνακα σας, και μια λάθος γραμμή εκεί κοστίζει περισσότερο από μια λάθος εντολή εδώ.