ASA: פורט VPN ו-PAT סטטי ל-DMZ על IP ציבורי אחד
כתובת ציבורית אחת, שני שירותים. ערכו מלאי של כתובת, תעבורה ופורט עבור מאזין ה-VPN וה-PAT של ה-DMZ לפני שאחד תופס את הרשומה של השני.
שני שירותים, כתובת ציבורית אחת ושם DNS שמרגיש כאילו הוא שומר על פורט. הוא לא. לפני שאתם מפרסמים שרת DMZ לצד רשומת ה-VPN ב-ASA, רשמו את צירופי הרשומה ובדקו אותם לפי הסדר; השדה הראשון שמתאים לשירות קיים הוא המקום שבו התוכנית נעצרת. כל מה שלהלן מניח שה-VPN מסתיים במכשיר עצמו, לא בשרת פנימי.
רשמו את חמשת השדות לפני שתכתבו את הפקודה
עבור כל רשומה ציבורית, תעדו את משפחת הכתובות, הכתובת הציבורית, התעבורה, הפורט הציבורי והבעלים. הבעלים הוא שירות מקומי ב-ASA או שרת פנימי מתורגם. שתי רשומות יכולות לחלוק כתובת ועדיין להיות צירופים שונים, ושתי רשומות יכולות להיראות שונות בתרשים ובכל זאת להתנגש במכשיר.
שמרו עמודה שנייה לפורט האמיתי, זה שהשרת הפנימי באמת מאזין עליו. הפורט הציבורי והפורט האמיתי הם בחירות בלתי תלויות, וברגע שאתם מאחדים אותם לעמודה אחת אתם מאבדים את היכולת לקרוא את התרגום שלכם בהמשך.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
קראו נכון את המיקומים האמיתיים והממופים
התחילו מהצירוף שכבר יש לכם, לא מהשרת שאתם רוצים להוסיף. פיצול המחשבתי משאיר את רשומת ה-VPN המאושרת על TCP 443 ציבורי ומפרסם שרת DMZ HTTPS על TCP 8443 ציבורי בזמן שהשרת הזה ממשיך להאזין על 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443בפקודה הפרוסה, השירות האמיתי והשירות הממופה נמצאים בעמדות קבועות, והחלפה ביניהם מתארת מיפוי אחר ולא מקולקל. זו הדרך הנפוצה ביותר שבה תרגום עובד הופך לחידה: התצורה תקפה, היא פשוט מצביעה למקום אחר.
מדריך NAT של ASA 9.16 מבית Cisco מתעד PAT סטטי, שימוש בכתובת ממשק ומשמעות הפורט האמיתי לעומת הממופה. קראו את הקטע של המהדורה שאתם באמת מריצים; פקודה שזכורה מפלטפורמה ישנה יותר אינה תצורה נוכחית מלאה.
ספרו את התעבורה כחלק מההזמנה
TCP 443 ו-UDP 443 הם צירופים שונים, וההבדל הזה לא נותן לכם את ה-UDP בחינם. ל-VPN יכולים להיות מאזינים נפרדים ל-TLS ול-DTLS, ושירותים מוגדרים אחרים יכולים כבר להחזיק בתעבורה שאתם רוצים. ערכו מלאי של המאזינים האפקטיביים ושל מדיניות הגישה במקום להניח שדף האינטרנט הוא כל רשומת ה-VPN.
שם מארח שני שמתפענח לאותה כתובת גם הוא לא פותר התנגשות ברמת התעבורה. DNS הוא מיפוי שם לכתובת, לא מתווך פורטים, ופרסום שרת דרך PAT אינו אותה פעולה כמו העברת מאזין ה-VPN לפורט אחר.
אם רשומת ה-VPN באמת צריכה לזוז, ארבעה דברים משתנים יחד: פרופיל הלקוח, כתובת ה-URL הציבורית, הסינון במעלה הזרם וכל תעבורה שהפריסה משתמשת בה. עשו אותם בחלון אחד במקום אחד בכל פעם. השאירו נתיב ניהול נפרד למכשיר פתוח לפני שאתם נוגעים בשירות שבאמצעותו אתם מגיעים אליו. בלי נתיב שני, התזוזה היא שינוי שאי אפשר לחזור ממנו מבחוץ.
אמתו מבחוץ עם חיבורים חדשים
אפשרו רק את יישום ה-DMZ המיועד תחת מדיניות הגישה האפקטיבית, ואז בדקו את סדר התרגום המתאים, את נתיב החזרה של השרת ואת שם המארח בתעודה. PAT משנה את יעד הרשת; הוא לא מעניק גישה ליישום ולא מתקן תעודה שמציינת מארח אחר.
בדקו את שני השירותים בחיבורים חדשים ממארח חיצוני מורשה: ה-VPN אמור עדיין להתבסס, ובקשת ה-DMZ אמורה להגיע למאזין המיועד שלה. הפעלה קיימת יכולה לשמור מצב קודם, ולכן היא לא מוכיחה דבר על מיפוי ששיניתם לפני דקה.
סגרו את הלולאה בעדכון מלאי הרשומות במה שפרסתם, כולל כל מאזין שגיליתם ולא יצרתם. האדם הבא שיפרסם שירות בכתובת הזו יתחיל מהטבלה שלכם, ושורה שגויה שם עולה יותר מפקודה שגויה כאן.