ASA: VPN-port és statikus DMZ PAT egyetlen nyilvános IP-n
Egy nyilvános cím, két szolgáltatás. Leltározza fel a címet, a szállítást és a portot a VPN-figyelő és a DMZ PAT számára, mielőtt az egyik elfoglalná a másik bejegyzését.
Két szolgáltatás, egy nyilvános cím és egy DNS-név, amely úgy tűnik, mintha portot foglalna le. Nem teszi. Mielőtt DMZ-kiszolgálót tenne közzé a VPN-bejegyzés mellé egy ASA-n, írja fel a bejegyzés-tuple-öket, és sorrendben ellenőrizze őket; az első mező, amely egy létező szolgáltatással egyezik, az a pont, ahol a terv megáll. Az alábbiak mind feltételezik, hogy a VPN magán az eszközön végződik, nem egy belső kiszolgálón.
Írja le az öt mezőt, mielőtt megírja a parancsot
Minden nyilvános bejegyzéshez jegyezze fel a címcsaládot, a nyilvános címet, a szállítást, a nyilvános portot és a tulajdonost. A tulajdonos vagy egy ASA-helyi szolgáltatás, vagy egy lefordított belső kiszolgáló. Két bejegyzés osztozhat egy címen, és mégis különböző tuple lehet, és két bejegyzés különbözőnek tűnhet egy diagramon, miközben ütközik az eszközön.
Tartson második oszlopot a valódi portnak, annak, amelyen a belső kiszolgáló valóban figyel. A nyilvános port és a valódi port független választások, és abban a pillanatban, amikor egyetlen oszlopba vonja össze őket, elveszíti a képességét, hogy később elolvassa a saját fordítását.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Olvassa helyesen a valódi és a leképezett pozíciókat
A már meglévő tuple-ből induljon ki, ne abból a kiszolgálóból, amelyet hozzá akar adni. Egy szemléltető felosztás a jóváhagyott VPN-bejegyzést a nyilvános TCP 443-on tartja, és DMZ HTTPS-kiszolgálót tesz közzé a nyilvános TCP 8443-on, miközben az a kiszolgáló továbbra is a 443-on figyel:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443A telepített parancsban a valódi szolgáltatás és a leképezett szolgáltatás rögzített helyen áll, és felcserélésük más leképezést ír le, nem hibásat. Ez a leggyakoribb módja annak, hogy egy működő fordítás rejtvénnyé váljon: a konfiguráció érvényes, csak éppen máshová mutat.
A Cisco ASA 9.16 NAT útmutatója dokumentálja a statikus PAT-ot, az interfész-cím használatát és a valódi és a leképezett port jelentését. Olvassa el annak a kiadásnak a szakaszát, amelyet valóban futtat; egy régebbi platformról megjegyzett parancs nem teljes jelenlegi konfiguráció.
Számítsa a szállítást a foglalás részének
A TCP 443 és a UDP 443 különböző tuple, és ez a különbség nem adja ingyen a UDP-t. Egy VPN-nek lehetnek külön TLS- és DTLS-figyelői, és más konfigurált szolgáltatások már tarthatják a kívánt szállítást. Leltározza fel a tényleges figyelőket és a hozzáférési szabályzatot, ahelyett hogy azt feltételezné, a weboldal a teljes VPN-bejegyzés.
Egy második hosztnév, amely ugyanarra a címre oldódik fel, szintén nem old fel szállítási szintű ütközést. A DNS név-cím leképezés, nem portközvetítő, és egy kiszolgáló PAT-on keresztüli közzététele nem ugyanaz a művelet, mint a VPN-figyelő másik portra mozgatása.
Ha a VPN-bejegyzésnek valóban mozdulnia kell, négy dolog változik együtt: az ügyfélprofil, a nyilvános URL, a felső szűrés és minden szállítás, amelyet a telepítés használ. Egy ablakban tegye meg őket, ne egyenként. Tartsa nyitva az eszközhöz vezető külön kezelési útvonalat, mielőtt hozzányúlna ahhoz a szolgáltatáshoz, amelyen keresztül eléri. Második útvonal nélkül a mozgatás olyan változtatás, amelyet kívülről nem tud visszavonni.
Ellenőrizze kívülről friss kapcsolatokkal
A tényleges hozzáférési szabályzat alatt csak a szándékolt DMZ-alkalmazást engedélyezze, majd ellenőrizze az egyező fordítási sorrendet, a kiszolgáló visszautját és a tanúsítvány hosztnevét. A PAT megváltoztatja a hálózati célállomást; nem ad alkalmazás-hozzáférést, és nem javít meg egy tanúsítványt, amely más hosztot nevez meg.
Tesztelje mindkét szolgáltatást új kapcsolatokkal egy engedélyezett külső hosztról: a VPN-nek továbbra is fel kell épülnie, és a DMZ-kérésnek el kell érnie a szándékolt figyelőjét. Egy felépült munkamenet megtarthat korábbi állapotot, ezért semmit sem bizonyít egy olyan leképezésről, amelyet egy perce módosított.
Zárja a hurkot úgy, hogy a bejegyzésleltárt frissíti azzal, amit telepített, beleértve minden olyan figyelőt, amelyet felfedezett, nem pedig létrehozott. A következő ember, aki szolgáltatást tesz közzé azon a címen, az Ön táblázatából indul, és egy hibás sor ott többe kerül, mint egy hibás parancs itt.