ASA: Port VPN dan PAT Statis DMZ pada Satu IP Publik
Satu alamat publik, dua layanan. Inventarisasikan alamat, transport, dan port untuk listener VPN serta PAT DMZ sebelum yang satu mengambil entri yang lain.
Dua layanan, satu alamat publik, dan satu nama DNS yang terasa seperti memesan port. Tidak. Sebelum memublikasikan server DMZ di samping entri VPN pada sebuah ASA, tuliskan tuple entri dan periksa berurutan; bidang pertama yang cocok dengan layanan yang sudah ada adalah tempat rencana berhenti. Semua di bawah ini mengasumsikan VPN berakhir pada perangkat itu sendiri, bukan pada server internal.
Tulis kelima bidang sebelum menulis perintah
Untuk setiap entri publik, catat keluarga alamat, alamat publik, transport, port publik, dan pemiliknya. Pemilik adalah layanan lokal ASA atau server internal yang diterjemahkan. Dua entri dapat berbagi alamat dan tetap menjadi tuple berbeda, dan dua entri dapat tampak berbeda pada diagram namun bertabrakan pada perangkat.
Pertahankan kolom kedua untuk port asli, port yang benar-benar didengarkan server internal. Port publik dan port asli adalah pilihan independen, dan begitu Anda menggabungkannya ke satu kolom, Anda kehilangan kemampuan membaca terjemahan Anda sendiri nanti.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Baca posisi asli dan posisi terpetakan dengan benar
Mulailah dari tuple yang sudah Anda miliki, bukan dari server yang ingin Anda tambahkan. Pembagian ilustratif mempertahankan entri VPN yang disetujui pada TCP 443 publik dan memublikasikan server DMZ HTTPS pada TCP 8443 publik sementara server itu tetap mendengarkan pada 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443Dalam perintah yang diterapkan, layanan asli dan layanan terpetakan berada pada posisi tetap, dan menukarnya menggambarkan pemetaan yang berbeda, bukan yang rusak. Inilah cara paling umum sebuah terjemahan yang berfungsi berubah menjadi teka-teki: konfigurasinya valid, ia hanya menunjuk ke tempat lain.
Panduan NAT ASA 9.16 dari Cisco mendokumentasikan PAT statis, penggunaan alamat antarmuka, dan arti port asli versus port terpetakan. Bacalah bagian untuk rilis yang benar-benar Anda jalankan; perintah yang diingat dari platform lama bukan konfigurasi terkini yang lengkap.
Hitung transport sebagai bagian dari pemesanan
TCP 443 dan UDP 443 adalah tuple berbeda, dan perbedaan itu tidak memberi Anda UDP secara gratis. Sebuah VPN dapat memiliki listener TLS dan DTLS terpisah, dan layanan lain yang dikonfigurasi mungkin sudah memegang transport yang Anda inginkan. Inventarisasikan listener efektif dan kebijakan akses alih-alih menganggap halaman web adalah seluruh entri VPN.
Nama host kedua yang mengarah ke alamat yang sama juga tidak menyelesaikan tabrakan tingkat transport. DNS adalah pemetaan nama ke alamat, bukan perantara port, dan memublikasikan server melalui PAT bukan operasi yang sama dengan memindahkan listener VPN ke port lain.
Jika entri VPN benar-benar harus pindah, empat hal berubah bersamaan: profil klien, URL publik, pemfilteran di hulu, dan setiap transport yang digunakan penerapan. Lakukan dalam satu jendela, bukan satu per satu. Jaga jalur manajemen terpisah ke perangkat tetap terbuka sebelum Anda menyentuh layanan yang Anda pakai untuk mencapainya. Tanpa jalur kedua, pemindahan adalah perubahan yang tidak dapat Anda batalkan dari luar.
Verifikasi dari luar dengan koneksi baru
Izinkan hanya aplikasi DMZ yang dimaksud di bawah kebijakan akses efektif, lalu periksa urutan terjemahan yang cocok, jalur balik server, dan nama host pada sertifikat. PAT mengubah tujuan jaringan; ia tidak memberikan akses aplikasi dan tidak memperbaiki sertifikat yang menyebut host lain.
Uji kedua layanan dengan koneksi baru dari host luar yang berwenang: VPN seharusnya tetap terbentuk, dan permintaan DMZ seharusnya mencapai listener yang dimaksud. Sesi yang sudah terbentuk dapat menyimpan status sebelumnya, jadi ia tidak membuktikan apa pun tentang pemetaan yang Anda ubah satu menit lalu.
Tutup lingkarannya dengan memperbarui inventaris entri sesuai yang Anda terapkan, termasuk setiap listener yang Anda temukan alih-alih buat. Orang berikutnya yang memublikasikan layanan pada alamat itu akan mulai dari tabel Anda, dan baris yang salah di sana lebih mahal daripada perintah yang salah di sini.