ASA: VPN ports un statiskais DMZ PAT vienā publiskajā IP

Divi pakalpojumi, viena publiskā adrese un DNS nosaukums, kas šķietami rezervē portu. Tas to nedara. Pirms publicējat DMZ serveri blakus VPN ierakstam uz ASA, pierakstiet ierakstu kortežus un pārbaudiet tos secībā; pirmais lauks, kas sakrīt ar esošu pakalpojumu, ir vieta, kur plāns apstājas. Viss zemāk pieņem, ka VPN beidzas pašā ierīcē, nevis iekšējā serverī.

Pierakstiet piecus laukus, pirms rakstāt komandu

Katram publiskajam ierakstam pierakstiet adrešu saimi, publisko adresi, transportu, publisko portu un īpašnieku. Īpašnieks ir vai nu ASA lokāls pakalpojums, vai tulkots iekšējs serveris. Divi ieraksti var dalīt adresi un joprojām būt dažādi korteži, un divi ieraksti diagrammā var izskatīties atšķirīgi, kamēr tie saduras ierīcē.

Turiet otru kolonnu īstajam portam, tam, kurā iekšējais serveris faktiski klausās. Publiskais ports un īstais ports ir neatkarīgas izvēles, un brīdī, kad jūs tos apvienojat vienā kolonnā, jūs zaudējat spēju vēlāk nolasīt savu tulkojumu.

Lasiet īstās un kartētās pozīcijas pareizi

Sāciet ar kortežu, kas jums jau ir, nevis ar serveri, kuru vēlaties pievienot. Ilustratīvs sadalījums patur apstiprināto VPN ierakstu publiskajā TCP 443 un publicē DMZ HTTPS serveri publiskajā TCP 8443, kamēr šis serveris turpina klausīties 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Izvietotajā komandā īstais pakalpojums un kartētais pakalpojums atrodas fiksētās pozīcijās, un to apmaiņa apraksta citu kartējumu, nevis salauztu. Šis ir visizplatītākais veids, kā strādājošs tulkojums pārvēršas mīklā: konfigurācija ir derīga, tā vienkārši norāda citur.

Cisco ASA 9.16 NAT rokasgrāmata dokumentē statisko PAT, saskarnes adreses lietojumu un īstā un kartētā porta nozīmes. Lasiet sadaļu par laidienu, kuru jūs faktiski izmantojat; komanda, kas atcerēta no vecākas platformas, nav pilnīga pašreizējā konfigurācija.

Uzskaitiet transportu kā daļu no rezervācijas

TCP 443 un UDP 443 ir dažādi korteži, un šī atšķirība jums UDP nedod par velti. VPN var būt atsevišķi TLS un DTLS klausītāji, un citi konfigurēti pakalpojumi jau var turēt vēlamo transportu. Uzskaitiet efektīvo klausītāju un piekļuves politikas, nevis pieņemiet, ka tīmekļa lapa ir viss VPN ieraksts.

Otrs resursdatora nosaukums, kas atrisinās uz to pašu adresi, arī neatrisina transporta līmeņa sadursmi. DNS ir nosaukuma uz adresi kartējums, nevis portu brokeris, un servera publicēšana caur PAT nav tā pati darbība kā VPN klausītāja pārvietošana uz citu portu.

Ja VPN ierakstam patiešām ir jāpārvietojas, četras lietas mainās kopā: klienta profils, publiskā URL, augšupējā filtrēšana un katrs transports, ko izmanto izvietojums. Veiciet tās vienā logā, nevis pa vienai. Pirms pieskaraties pakalpojumam, ar kuru sasniedzat ierīci, turiet atvērtu atsevišķu pārvaldības ceļu. Bez otra ceļa pārvietošana ir izmaiņa, no kuras no ārpuses nevarat atteikties.

Pārbaudiet no ārpuses ar svaigiem savienojumiem

Atļaujiet tikai paredzēto DMZ lietojumprogrammu saskaņā ar efektīvo piekļuves politiku, pēc tam pārbaudiet atbilstošo tulkošanas secību, servera atgriešanās ceļu un resursdatora nosaukumu sertifikātā. PAT maina tīkla galamērķi; tas nepiešķir lietojumprogrammas piekļuvi un nelabo sertifikātu, kurā nosaukts cits resursdators.

Pārbaudiet abus pakalpojumus ar jauniem savienojumiem no autorizēta ārēja resursdatora: VPN joprojām ir jāizveidojas, un DMZ pieprasījumam jāsasniedz paredzētais klausītājs. Izveidota sesija var saglabāt agrāko stāvokli, tāpēc tā neko nepierāda par kartējumu, ko mainījāt pirms minūtes.

Noslēdziet ciklu, atjauninot ierakstu uzskaiti ar to, ko izvietojāt, ieskaitot katru klausītāju, ko atklājāt, nevis izveidojāt. Nākamais cilvēks, kas publicēs pakalpojumu šajā adresē, sāks no jūsu tabulas, un nepareiza rinda tur maksā vairāk nekā nepareiza komanda šeit.