ASA: VPN prievadas ir statinis DMZ PAT viename viešame IP

Dvi paslaugos, vienas viešas adresas ir DNS vardas, kuris atrodo tarsi rezervuotų prievadą. Nerezervuoja. Prieš skelbdami DMZ serverį šalia VPN įrašo ASA įrenginyje, užsirašykite įrašų kortelius ir patikrinkite juos iš eilės; pirmasis laukas, kuris sutampa su esama paslauga, yra vieta, kurioje planas sustoja. Viskas žemiau daro prielaidą, kad VPN baigiasi pačiame įrenginyje, o ne vidiniame serveryje.

Užrašykite penkis laukus prieš rašydami komandą

Kiekvienam viešam įrašui užrašykite adresų šeimą, viešą adresą, transportą, viešą prievadą ir savininką. Savininkas yra arba vietinė ASA paslauga, arba išverstas vidinis serveris. Du įrašai gali dalytis adresu ir vis tiek būti skirtingi korteliai, o du įrašai diagramoje gali atrodyti skirtingai, nors įrenginyje susiduria.

Laikykite antrą stulpelį tikrajam prievadui, tam, kurio vidinis serveris iš tikrųjų klausosi. Viešas prievadas ir tikrasis prievadas yra nepriklausomi pasirinkimai, ir tuo metu, kai juos sujungiate į vieną stulpelį, prarandate galimybę vėliau perskaityti savo paties vertimą.

Taisyklingai skaitykite tikrąsias ir susietąsias pozicijas

Pradėkite nuo kortelio, kurį jau turite, o ne nuo serverio, kurį norite pridėti. Iliustracinis padalijimas palieka patvirtintą VPN įrašą viešame TCP 443 ir paskelbia DMZ HTTPS serverį viešame TCP 8443, o tas serveris toliau klausosi 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Diegtoje komandoje tikroji paslauga ir susietoji paslauga stovi fiksuotose pozicijose, o jas sukeitus aprašomas kitas susiejimas, o ne sugedęs. Tai dažniausias būdas, kuriuo veikiantis vertimas virsta galvosūkiu: konfigūracija galioja, ji tiesiog rodo kitur.

Cisco ASA 9.16 NAT vadovas dokumentuoja statinį PAT, sąsajos adreso naudojimą ir tikrojo bei susietojo prievado reikšmes. Skaitykite skyrių apie versiją, kurią iš tikrųjų naudojate; komanda, prisiminta iš senesnės platformos, nėra visa dabartinė konfigūracija.

Skaičiuokite transportą kaip rezervacijos dalį

TCP 443 ir UDP 443 yra skirtingi korteliai, ir tas skirtumas nedovanoja UDP. VPN gali turėti atskirus TLS ir DTLS klausytojus, o kitos sukonfigūruotos paslaugos jau gali laikyti norimą transportą. Suinventorizuokite efektyvius klausytojus ir prieigos politiką, o ne manykite, kad tinklalapis yra visas VPN įrašas.

Antrasis prieglobos vardas, kuris sprendžiasi į tą patį adresą, taip pat neišsprendžia transporto lygio susidūrimo. DNS yra vardo į adresą susiejimas, o ne prievadų brokeris, ir serverio skelbimas per PAT nėra ta pati operacija kaip VPN klausytojo perkėlimas į kitą prievadą.

Jei VPN įrašas tikrai turi judėti, keturi dalykai keičiasi kartu: kliento profilis, viešas URL, filtravimas prieš srautą ir kiekvienas transportas, kurį naudoja diegimas. Atlikite juos viename lange, o ne po vieną. Prieš liesdami paslaugą, kuria pasiekiate įrenginį, palikite atvirą atskirą valdymo kelią. Be antrojo kelio perkėlimas yra pakeitimas, kurio iš išorės negalite atšaukti.

Tikrinkite iš išorės naujomis jungtimis

Leiskite tik numatytą DMZ programą pagal efektyvią prieigos politiką, tada patikrinkite atitinkamą vertimo tvarką, serverio grįžimo kelią ir sertifikate esantį prieglobos vardą. PAT keičia tinklo paskirties vietą; jis nesuteikia programos prieigos ir nepataiso sertifikato, kuriame nurodytas kitas prieglobos vardas.

Išbandykite abi paslaugas naujomis jungtimis iš įgalioto išorinio prieglobos kompiuterio: VPN turėtų vis dar užsistatyti, o DMZ užklausa turėtų pasiekti numatytą klausytoją. Užmegzta sesija gali išlaikyti ankstesnę būseną, todėl ji nieko neįrodo apie susiejimą, kurį pakeitėte prieš minutę.

Uždarykite ciklą atnaujindami įrašų inventorizaciją tuo, ką įdiegėte, įskaitant kiekvieną klausytoją, kurį atradote, o ne sukūrėte. Kitas žmogus, kuris paskelbs paslaugą tame adrese, pradės nuo jūsų lentelės, o neteisinga eilutė ten kainuoja daugiau nei neteisinga komanda čia.