ASA: VPN-Port an statesch DMZ-PAT op enger eenzeger ëffentlecher IP
Eng ëffentlech Adress, zwee Servicer. Inventariséiert Adress, Transport a Port fir de VPN-Listener an d'DMZ-PAT, ier deen een dem aneren seng Aschreiwung hëlt.
Zwee Servicer, eng ëffentlech Adress an en DNS-Numm, deen sech ufillt wéi wann en e Port reservéiert. Dat mécht en net. Ier Dir en DMZ-Server nieft dem VPN-Aschreiwung op enger ASA publizéiert, schreift d'Aschreiwungs-Tupelen op a kontrolléiert se an der Rei; dat éischt Feld, dat mat engem bestehende Service iwwereneen kënnt, ass d'Plaz wou de Plang stopt. Alles hei drënner geet dovun aus, datt de VPN um Apparat selwer endet, net op engem banneschte Server.
Schreift déi fënnef Felder ier Dir den Uerder schreift
Fir all ëffentlech Aschreiwung: notéiert d'Adressfamill, déi ëffentlech Adress, den Transport, den ëffentleche Port an den Eegentemer. Den Eegentemer ass entweder en ASA-lokale Service oder en iwwersate banneschte Server. Zwou Aschreiwungen kënnen eng Adress deelen an trotzdem verschidden Tupelen sinn, an zwou Aschreiwungen kënnen an engem Diagramm anescht ausgesinn, während se um Apparat kollidéieren.
Halt eng zweet Kolonn fir de richtegen Port, deen deen de banneschte Server tatsächlech lauschtert. Den ëffentleche Port an de richtege Port sinn onofhängeg Choixen, an am Moment wou Dir se an enger Kolonn zesummebréngt, verléiert Dir d'Fäegkeet, Är eege Iwwersetzung méi spéit ze liesen.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Liest déi richteg an déi gemappt Positiounen richteg
Fänkt vum Tupel un, deen Dir schonn hutt, net vum Server deen Dir wëllt derbäisetzen. Eng illustrativ Opdeelung hält déi guttgeheescht VPN-Aschreiwung op ëffentlechem TCP 443 a publizéiert en DMZ HTTPS-Server op ëffentlechem TCP 8443, während deen Server weider op 443 lauschtert:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443Am deployéierten Uerder stinn de richtegen Service an de gemappte Service op fixe Positiounen, an se ëmzedréien beschreift eng aner Mapping, net eng futti. Dat ass dee heefegste Wee wéi eng funktionéierend Iwwersetzung zu engem Rätsel gëtt: d'Konfiguratioun ass gülteg, se weist just sosseneen.
De Cisco ASA 9.16 NAT-Guide dokumentéiert statesch PAT, d'Benotze vun der Interface-Adress an d'Bedeitung vum richtegen versus gemappte Port. Liest de Sektioun fir déi Verëffentlechung déi Dir tatsächlech bedreift; en Uerder aus enger eelerer Plattform erënnert ass keng komplett aktuell Konfiguratioun.
Zielt den Transport als Deel vun der Reservatioun
TCP 443 an UDP 443 si verschidden Tupelen, an deen Ënnerscheed schenkt Iech den UDP net. En VPN kann getrennte TLS- an DTLS-Listener hunn, an aner konfiguréiert Servicer kënnen den Transport deen Dir wëllt scho halen. Inventariséiert déi effektiv Listener an d'Zougriffsrichtlinn, amplaz uzehuelen d'Websäit wier déi ganz VPN-Aschreiwung.
En zweeten Hostnumm dee sech op déi selwecht Adress opléist léist och keng Kollisioun um Transportniveau. DNS ass eng Numm-zu-Adress-Mapping, keen Portsbroker, an en Server iwwer PAT publizéieren ass net déiselwecht Operatioun wéi de VPN-Listener op en anere Port ze verlagéieren.
Wann d'VPN-Aschreiwung wierklech misst réckelen, ännere sech véier Saachen zesummen: de Clientprofill, déi ëffentlech URL, d'Filterung flossop an all Transport deen d'Deployement benotzt. Maacht se an engem Fënster amplaz ee no deem aneren. Halt en separate Verwaltungswee zum Apparat op ier Dir de Service beréiert deen Dir benotzt fir en z'erreechen. Ouni en zweeten Wee ass d'Verlagerung eng Ännerung aus där Dir vun dobausse net zréck kënnt.
Verifizéiert vun dobausse mat frëschen Connexionen
Erlaabt nëmmen déi virgesinn DMZ-Applikatioun ënner der effektiver Zougriffsrichtlinn, iwwerpréift dann d'matcher Uerdnung vun der Iwwersetzung, den Zeréckwee vum Server an den Hostnumm um Zertifikat. PAT ännert den Netzwierkzil; et gëtt keen Applikatiounszougriff an et reparéiert keen Zertifikat dat en aneren Host nennt.
Test zwee Servicer mat neie Connexionen vun engem autoriséierten äusseren Host: de VPN soll nach ëmmer opgebaut ginn, an d'DMZ-Ufro soll hire virgesinne Listener erreechen. Eng etabléiert Sessioun kann fréieren Zoustand halen, dofir beweist se näischt iwwer eng Mapping déi Dir virun enger Minutt geännert hutt.
Schléisst de Krees of andeems Dir d'Aschreiwungsinventar mat deem aktualiséiert wat Dir deployéiert hutt, abegraff all Listener deen Dir entdeckt hutt amplaz erstallt. Déi nächst Persoun déi e Service op där Adress publizéiert fänkt bei Ärem Table un, an eng falsch Zeil do kascht méi wéi en falschen Uerder hei.