ASA: VPN-port ja staatiline DMZ PAT ühel avalikul IP-l

Kaks teenust, üks avalik aadress ja DNS-nimi, mis näib porti broneerivat. Ei broneeri. Enne kui avaldate ASA-l VPN-kirje kõrvale DMZ-serveri, kirjutage kirjete tuplid üles ja kontrollige neid järjekorras; esimene väli, mis kattub olemasoleva teenusega, on koht, kus plaan peatub. Kõik allpool eeldab, et VPN lõpeb seadmes endas, mitte sisemisel serveril.

Kirjutage viis välja enne käsu kirjutamist

Iga avaliku kirje jaoks märkige aadressiperekond, avalik aadress, transport, avalik port ja omanik. Omanik on kas ASA-kohalik teenus või tõlgitud sisemine server. Kaks kirjet võivad jagada aadressi ja olla siiski erinevad tuplid, ning kaks kirjet võivad diagrammil erinevad välja näha, kuid seadmes kokku põrgata.

Hoidke teist veergu tegeliku pordi jaoks, selle jaoks, millel sisemine server tegelikult kuulab. Avalik port ja tegelik port on sõltumatud valikud ja hetkel, mil te need ühte veergu kokku surute, kaotate võime hiljem oma tõlget lugeda.

Lugege tegelikke ja kaardistatud positsioone õigesti

Alustage tuplist, mis teil juba on, mitte serverist, mida soovite lisada. Illustreeriv jaotus hoiab kinnitatud VPN-kirje avalikul TCP 443 ja avaldab DMZ HTTPS-serveri avalikul TCP 8443, samal ajal kui see server kuulab edasi 443-l:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Kasutusele võetud käsus asuvad tegelik teenus ja kaardistatud teenus fikseeritud positsioonidel ning nende ümberpööramine kirjeldab teistsugust kaardistust, mitte katkist. See on kõige tavalisem viis, kuidas toimiv tõlge muutub mõistatuseks: konfiguratsioon on kehtiv, see lihtsalt osutab mujale.

Cisco ASA 9.16 NAT juhend dokumenteerib staatilise PATi, liidese aadressi kasutamise ning tegeliku ja kaardistatud pordi tähendused. Lugege seda jaotist väljaande kohta, mida te tegelikult kasutate; vanemast platvormist meelde jäänud käsk ei ole täielik praegune konfiguratsioon.

Arvestage transport broneeringu osana

TCP 443 ja UDP 443 on erinevad tuplid ja see erinevus ei anna teile UDP-d tasuta. VPN-il võivad olla eraldi TLS- ja DTLS-kuulajad ning muud konfigureeritud teenused võivad juba hoida transporti, mida soovite. Kaardistage tegelikud kuulajad ja juurdepääsupoliitika, selle asemel et eeldada, et veebileht on kogu VPN-kirje.

Teine hostinimi, mis laheneb samale aadressile, ei lahenda ka transporditasandi kokkupõrget. DNS on nime-aadressi kaardistus, mitte portide maakler, ja serveri avaldamine PATi kaudu ei ole sama toiming kui VPN-kuulaja teisele pordile viimine.

Kui VPN-kirje peab tõesti liikuma, muutuvad neli asja korraga: kliendi profiil, avalik URL, ülesvoolu filtreerimine ja iga transport, mida juurutus kasutab. Tehke need ühes aknas, mitte ükshaaval. Hoidke seadmele eraldi haldustee avatud enne, kui puudutate teenust, mida kasutate selle juurde jõudmiseks. Ilma teise teeta on liikumine muudatus, mida te väljastpoolt tagasi võtta ei saa.

Kontrollige väljastpoolt värskete ühendustega

Lubage kehtiva juurdepääsupoliitika all ainult ettenähtud DMZ-rakendus, seejärel kontrollige vastavat tõlkejärjekorda, serveri tagasiteed ja sertifikaadil olevat hostinime. PAT muudab võrgu sihtkohta; see ei anna rakendusele juurdepääsu ega paranda sertifikaati, mis nimetab teist hosti.

Testige mõlemat teenust uute ühendustega volitatud välisest hostist: VPN peaks endiselt ühenduse looma ja DMZ-päring peaks jõudma oma ettenähtud kuulajani. Loodud sessioon võib hoida varasemat olekut, seega ei tõenda see midagi kaardistuse kohta, mille muutsite minut tagasi.

Sulgege ring, uuendades kirjete loendit sellega, mille juurutasite, sealhulgas iga kuulaja, mille avastasite, mitte lõite. Järgmine inimene, kes sellel aadressil teenuse avaldab, alustab teie tabelist ja vale rida seal maksab rohkem kui vale käsk siin.