ASA: VPN-portti ja DMZ:n staattinen PAT yhdellä julkisella IP:llä

Kaksi palvelua, yksi julkinen osoite ja DNS-nimi, joka tuntuu varaavan portin. Ei varaa. Ennen kuin julkaiset DMZ-palvelimen VPN-merkinnän viereen ASA:ssa, kirjoita merkintöjen monikot ylös ja tarkista ne järjestyksessä; ensimmäinen kenttä, joka osuu olemassa olevaan palveluun, on kohta, jossa suunnitelma pysähtyy. Kaikki alla olettaa, että VPN päättyy itse laitteeseen, ei sisäiseen palvelimeen.

Kirjoita viisi kenttää ennen kuin kirjoitat komennon

Merkitse jokaisesta julkisesta merkinnästä osoiteperhe, julkinen osoite, kuljetus, julkinen portti ja omistaja. Omistaja on joko ASA-paikallinen palvelu tai käännetty sisäinen palvelin. Kaksi merkintää voi jakaa osoitteen ja olla silti eri monikkoja, ja kaksi merkintää voi näyttää kaaviossa erilaiselta ja silti törmätä laitteessa.

Pidä toinen sarake todelliselle portille, sille, jota sisäinen palvelin todella kuuntelee. Julkinen portti ja todellinen portti ovat itsenäisiä valintoja, ja heti kun painat ne yhteen sarakkeeseen, menetät kyvyn lukea omaa käännöstäsi myöhemmin.

Lue todelliset ja kartoitetut sijainnit oikein

Aloita monikosta, joka sinulla jo on, älä palvelimesta, jonka haluat lisätä. Havainnollistava jako pitää hyväksytyn VPN-merkinnän julkisessa TCP 443:ssa ja julkaisee DMZ HTTPS -palvelimen julkisessa TCP 8443:ssa, samalla kun palvelin kuuntelee edelleen 443:ssa:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Käyttöönotetussa komennossa todellinen palvelu ja kartoitettu palvelu ovat kiinteillä paikoilla, ja niiden vaihtaminen päittäin kuvaa erilaista kartoitusta, ei rikkinäistä. Tämä on yleisin tapa, jolla toimiva käännös muuttuu arvoitukseksi: kokoonpano on kelvollinen, se vain osoittaa muualle.

Cisco ASA 9.16 NAT -opas dokumentoi staattisen PAT:n, liitäntäosoitteen käytön sekä todellisen ja kartoitettu portin merkitykset. Lue sen julkaisun osio, jota todella ajat; vanhemmalta alustalta muistettu komento ei ole täydellinen nykyinen kokoonpano.

Laske kuljetus osaksi varausta

TCP 443 ja UDP 443 ovat eri monikkoja, eikä tuo ero anna sinulle UDP:tä ilmaiseksi. VPN:llä voi olla erilliset TLS- ja DTLS-kuuntelijat, ja muut määritetyt palvelut voivat jo pitää haluamaasi kuljetusta. Inventoi tehokkaat kuuntelijat ja käyttöoikeuskäytäntö sen sijaan, että olettaisit verkkosivun olevan koko VPN-merkintä.

Toinen isäntänimi, joka ratkeaa samaan osoitteeseen, ei sekään ratkaise kuljetustason törmäystä. DNS on nimen ja osoitteen kartoitus, ei porttivälittäjä, ja palvelimen julkaiseminen PAT:n kautta ei ole sama toimenpide kuin VPN-kuuntelijan siirtäminen toiseen porttiin.

Jos VPN-merkintää todella täytyy siirtää, neljä asiaa muuttuu yhdessä: asiakasprofiili, julkinen URL, ylävirran suodatus ja jokainen kuljetus, jota käyttöönotto käyttää. Tee ne yhdessä ikkunassa, ei yksi kerrallaan. Pidä erillinen hallintapolku laitteeseen auki ennen kuin kosket palveluun, jota käytät sen saavuttamiseen. Ilman toista polkua siirto on muutos, jota et voi perua ulkopuolelta.

Varmenna ulkopuolelta tuoreilla yhteyksillä

Salli vain aiottu DMZ-sovellus tehokkaan käyttöoikeuskäytännön alla, tarkista sitten vastaava käännösjärjestys, palvelimen paluupolku ja varmenteen isäntänimi. PAT muuttaa verkon kohdetta; se ei myönnä sovelluskäyttöä eikä korjaa varmennetta, joka nimeää toisen isännän.

Testaa molemmat palvelut uusilla yhteyksillä valtuutetusta ulkoisesta isännästä: VPN:n pitäisi edelleen muodostua ja DMZ-pyynnön pitäisi saavuttaa aiottu kuuntelijansa. Muodostettu istunto voi säilyttää aiempaa tilaa, joten se ei todista mitään kartoituksesta, jonka muutit minuutti sitten.

Sulje silmukka päivittämällä merkintäluettelo sillä, mitä otit käyttöön, mukaan lukien jokainen kuuntelija, jonka löysit etkä luonut. Seuraava henkilö, joka julkaisee palvelun tuossa osoitteessa, aloittaa taulukostasi, ja väärä rivi siellä maksaa enemmän kuin väärä komento tässä.