ASA: VPN-poarte en statyske DMZ-PAT op ien iepenbiere IP
Ien iepenbier adres, twa tsjinsten. Ynventarisearje adres, transport en poarte foar de VPN-harker en de DMZ-PAT foardat ien de ynskriuwing fan de oare opeasket.
Twa tsjinsten, ien iepenbier adres en in DNS-namme dy't fielt as reservet er in poarte. Dat docht er net. Foardat jo in DMZ-tsjinner njonken de VPN-ynskriuwing op in ASA publisearje, skriuw de ynskriuwing-tuples op en kontrolearje se yn folchoarder; it earste fjild dat by in besteande tsjinst past, is wêr't it plan stiet. Alles hjirûnder giet derfan út dat de VPN op it apparaat sels einiget, net op in ynterne tsjinner.
Skriuw de fiif fjilden foardat jo it kommando skriuwe
Foar elke iepenbiere ynskriuwing: notearje de adresfamylje, it iepenbiere adres, it transport, de iepenbiere poarte en de eigner. De eigner is of in ASA-lokale tsjinst of in oersetten ynterne tsjinner. Twa ynskriuwingen kinne in adres diele en dochs ferskillende tuples wêze, en twa ynskriuwingen kinne der yn in diagram oars útsjen wylst se op it apparaat botsing meitsje.
Hâld in twadde kolom foar de echte poarte, dejinge dêr't de ynterne tsjinner echt op harket. De iepenbiere poarte en de echte poarte binne ûnôfhinklike karren, en op it stuit dat jo se yn ien kolom gearfoegje, ferlieze jo it fermogen om jo eigen oersetting letter te lêzen.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Lês de echte en de mapte posysjes goed
Begjin by de tuple dy't jo al hawwe, net by de tsjinner dy't jo tafoegje wolle. In yllustrative splitsing hâldt de goedkarde VPN-ynskriuwing op iepenbiere TCP 443 en publisearret in DMZ HTTPS-tsjinner op iepenbiere TCP 8443 wylst dy tsjinner op 443 bliuwt harkjen:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443Yn it útrôle kommando steane de echte tsjinst en de mapte tsjinst op fêste posysjes, en se omkeare beskriuwt in oare mapping, net in brutsen ien. Dat is de meast foarkommende manier wêrop in wurkjende oersetting in kryptogram wurdt: de konfiguraasje is jildich, hy wiist gewoan earne oars hinne.
Cisco ASA 9.16 NAT-hantlieding dokumintearret statyske PAT, it brûken fan ynterface-adres en de betsjuttingen fan echte fersus mapte poarte. Lês de seksje foar de ferzje dy't jo echt draaie; in kommando dat út in âlder platfoarm ûnthâlden is, is gjin folsleine aktuele konfiguraasje.
Rekkenje transport as part fan de reservaasje
TCP 443 en UDP 443 binne ferskillende tuples, en dat ferskil jout jo de UDP net fergees. In VPN kin aparte TLS- en DTLS-harkers hawwe, en oare konfigurearre tsjinsten kinne it transport dat jo wolle al hâlde. Ynventarisearje de effektive harkers en it tagongsbelied ynstee fan oan te nimmen dat de webside de hiele VPN-ynskriuwing is.
In twadde hostnamme dy't nei itselde adres oplost, lost ek gjin botsing op transportnivo op. DNS is in namme-nei-adres-mapping, gjin poartebroker, en in tsjinner fia PAT publisearje is net deselde operaasje as de VPN-harker nei in oare poarte ferpleatse.
As de VPN-ynskriuwing echt ferpleatse moat, feroarje fjouwer dingen tagelyk: it kliïntprofyl, de iepenbiere URL, it filterjen streamop en elk transport dat de útrôl brûkt. Doch se yn ien finster ynstee fan ien foar ien. Hâld in apart behearpaad nei it apparaat iepen foardat jo de tsjinst oanreitsje dy't jo brûke om it te berikken. Sûnder in twadde paad is de ferpleatsing in feroaring dêr't jo fan bûten net op werom kinne.
Ferifiearje fan bûten mei frisse ferbinings
Stean allinnich de bedoelde DMZ-applikaasje ta ûnder it effektive tagongsbelied, kontrolearje dan de byhearrende oersettingsfolchoarder, it werompaad fan de tsjinner en de hostnamme op it sertifikaat. PAT feroaret de netwurkbestimming; it jout gjin applikaasjetagong en it reparreart gjin sertifikaat dat in oare host neamt.
Test beide tsjinsten mei nije ferbinings fan in autorisearre bûtenhost: de VPN moat noch altyd opbouwe, en it DMZ-fersyk moat syn bedoelde harker berikke. In fêstige sesje kin eardere tastân hâlde, dus it bewiist neat oer in mapping dy't jo in minút lyn feroare hawwe.
Slút de ring troch de ynskriuwingynventaris by te wurkjen mei wat jo útrôle hawwe, ynklusyf elke harker dy't jo ûntdutsen hawwe ynstee fan makke. De folgjende persoan dy't in tsjinst op dat adres publisearret, begjint by jo tabel, en in ferkearde rige dêr kostet mear as in ferkeard kommando hjir.