ASA: VPN порта и статичен DMZ PAT на една јавна IP

Две служби, една јавна адреса и DNS име што изгледа како да резервира порта. Не резервира. Пред да објавите DMZ сервер покрај VPN записот на ASA, запишете ги торките на записот и проверете ги по ред; првото поле што се совпаѓа со постоечка служба е местото каде планот застанува. Сè подолу претпоставува дека VPN завршува на самиот уред, а не на внатрешен сервер.

Запишете ги петте полиња пред да ја напишете командата

За секој јавен запис запишете ја фамилијата на адреси, јавната адреса, транспортот, јавната порта и сопственикот. Сопственикот е или локална ASA служба или преведен внатрешен сервер. Два записи можат да делат адреса и сепак да бидат различни торки, а два записи можат на дијаграм да изгледаат различно додека се судираат на уредот.

Држете втора колона за вистинската порта, онаа на која внатрешниот сервер навистина слуша. Јавната порта и вистинската порта се независни избори, и во моментот кога ќе ги споите во една колона ја губите способноста подоцна да го прочитате сопствениот превод.

Читајте ги вистинските и мапираните позиции правилно

Започнете од торката што веќе ја имате, а не од серверот што сакате да го додадете. Илустративната поделба го задржува одобрениот VPN запис на јавниот TCP 443 и објавува DMZ HTTPS сервер на јавниот TCP 8443, додека тој сервер продолжува да слуша на 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Во распоредената команда вистинската служба и мапираната служба стојат на фиксни позиции, а нивната замена опишува друго мапирање, а не расипано. Ова е најчестиот начин на кој работен превод се претвора во загатка: конфигурацијата е валидна, таа само покажува на друго место.

Cisco ASA 9.16 NAT водич документира статичен PAT, употреба на адреса на интерфејс и значењата на вистинската наспроти мапираната порта. Прочитајте го делот за изданието што навистина го извршувате; команда запомнета од постара платформа не е целосна тековна конфигурација.

Сметајте го транспортот како дел од резервацијата

TCP 443 и UDP 443 се различни торки и таа разлика не ви го дава UDP бесплатно. VPN може да има одделни TLS и DTLS слушатели, а други конфигурирани служби може веќе да го држат транспортот што го сакате. Направете попис на ефективните слушатели и политиката за пристап наместо да претпоставите дека веб-страницата е целиот VPN запис.

Второто име на домаќин што се разрешува на истата адреса исто така не решава судир на ниво на транспорт. DNS е мапирање од име во адреса, а не брокер на порти, и објавувањето сервер преку PAT не е истата операција како преместување на VPN слушателот на друга порта.

Ако VPN записот навистина мора да се премести, четири работи се менуваат заедно: профилот на клиентот, јавниот URL, филтрирањето во горниот тек и секој транспорт што го користи распоредувањето. Направете ги во еден прозорец наместо едно по едно. Држете отворен одделен управувачки пат до уредот пред да ја допрете службата што ја користите за да стигнете до него. Без втор пат, преместувањето е промена од која не можете да се вратите однадвор.

Проверете однадвор со свежи врски

Дозволете само предвидената DMZ апликација под ефективната политика за пристап, потоа проверете го соодветниот редослед на превод, повратниот пат на серверот и името на домаќин на сертификатот. PAT ја менува мрежната дестинација; тој не дава пристап до апликацијата и не поправа сертификат што именува друг домаќин.

Тестирајте ги двете служби со нови врски од овластен надворешен домаќин: VPN треба сè уште да се воспостави, а DMZ барањето треба да стигне до својот предвиден слушател. Воспоставена сесија може да задржи претходна состојба, па не докажува ништо за мапирање што сте го смениле пред една минута.

Затворете јамката со ажурирање на пописот на записи со она што сте го распоредиле, вклучително секој слушател што сте го откриле наместо создале. Следниот човек што ќе објави служба на таа адреса ќе започне од вашата табела, а погрешен ред таму чини повеќе од погрешна команда овде.