ASA: VPN-gátt og kyrrstætt DMZ-PAT á einni opinberri IP-tölu

Tvær þjónustur, eitt opinbert vistfang og DNS-heiti sem virðist taka gátt frá. Það gerir það ekki. Áður en þú birtir DMZ-þjón á móti VPN-færslunni á ASA, skrifaðu niður færslupörin og athugaðu þau í röð; fyrsta sviðið sem passar við fyrirliggjandi þjónustu er þar sem áætlunin stöðvast. Allt hér að neðan gerir ráð fyrir að VPN endi á tækinu sjálfu, ekki á innri þjóni.

Skrifaðu sviðin fimm áður en þú skrifar skipunina

Fyrir hverja opinbera færslu skaltu skrá vistfangafjölskylduna, opinbera vistfangið, flutninginn, opinberu gáttina og eigandann. Eigandinn er annaðhvort staðbundin ASA-þjónusta eða þýdd innri þjónn. Tvær færslur geta deilt vistfangi og samt verið mismunandi pör, og tvær færslur geta litið mismunandi út á skýringarmynd á meðan þær rekast saman á tækinu.

Haltu öðrum dálki fyrir raunverulegu gáttina, þá sem innri þjónninn hlustar í raun á. Opinbera gáttin og raunverulega gáttin eru óháðar ákvarðanir, og á því augnabliki sem þú sameinar þær í einn dálk tapar þú getunni til að lesa þína eigin þýðingu síðar.

Lestu raunverulegar og varpaðar stöður rétt

Byrjaðu á parinu sem þú hefur nú þegar, ekki á þjóninum sem þú vilt bæta við. Skýrandi skipting heldur samþykktu VPN-færslunni á opinberu TCP 443 og birtir DMZ HTTPS-þjón á opinberu TCP 8443 á meðan sá þjónn heldur áfram að hlusta á 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Í innleiddri skipun standa raunverulega þjónustan og varpaða þjónustan á föstum stöðum, og að snúa þeim við lýsir annarri vörpun frekar en brotinni. Þetta er algengasta leiðin sem vinnandi þýðing verður að gátu: stillingin er gild, hún bendir bara annað.

Leiðarvísir ASA 9.16 NAT frá Cisco skjalfestir kyrrstætt PAT, notkun tengifangs og merkingu raunverulegrar gagnvart varpaðri gátt. Lestu hlutann fyrir þá útgáfu sem þú keyrir í raun; skipun sem munað er eftir frá eldri kerfisstjórn er ekki fullnægjandi núverandi stilling.

Teldu flutninginn sem hluta af frátektinni

TCP 443 og UDP 443 eru mismunandi pör, og sá munur gefur þér ekki UDP-ið frítt. VPN getur haft aðskilda TLS- og DTLS-hlustara, og aðrar stilltar þjónustur geta þegar haldið flutningnum sem þú vilt. Skráðu virka hlustarana og aðgangstefnuna í stað þess að gera ráð fyrir að vefsíðan sé öll VPN-færslan.

Annað hýsilheiti sem leysist á sama vistfang leysir heldur ekki árekstur á flutningsstigi. DNS er heiti-í-vistfang vörpun, ekki gáttamiðlari, og að birta þjón í gegnum PAT er ekki sama aðgerð og að færa VPN-hlustarann á aðra gátt.

Ef VPN-færslan verður raunverulega að færast, breytast fjórir hlutir saman: biðlarasniðið, opinbera slóðin, síunin ofar í keðjunni og hver sá flutningur sem innleiðingin notar. Gerðu þá í einum glugga í stað eins í einu. Haltu aðskilinni stjórnunarleið að tækinu opinni áður en þú snertir þjónustuna sem þú notar til að ná til þess. Án annarrar leiðar er færslan breyting sem þú getur ekki afturkallað utan frá.

Staðfestu utan frá með ferskum tengingum

Leyfðu aðeins fyrirhugaða DMZ-forritið samkvæmt virkri aðgangstefnu, athugaðu síðan samsvarandi þýðingarröð, endurkomuleið þjónsins og hýsilheitið á vottorðinu. PAT breytir netáfangastað; það veitir ekki forritaaðgang og lagar ekki vottorð sem nefnir annan hýsil.

Prófaðu báðar þjónusturnar með nýjum tengingum frá heimilaðri ytri hýsil: VPN ætti enn að koma upp, og DMZ-beiðnin ætti að ná til fyrirhugaðs hlustara. Tenging sem þegar er komin upp getur haldið fyrra ástandi, svo hún sannar ekkert um vörpun sem þú breyttir fyrir mínútu.

Lokaðu hringnum með því að uppfæra færsluskrána með því sem þú innleiddir, þar á meðal hverjum þeim hlustara sem þú uppgötvaðir frekar en bjóst til. Næsta manneskja sem birtir þjónustu á því vistfangi byrjar á töflunni þinni, og röng röð þar kostar meira en röng skipun hér.