ASA: Port VPN dan PAT Statik DMZ pada Satu IP Awam

Dua perkhidmatan, satu alamat awam, dan satu nama DNS yang terasa seperti menempah port. Ia tidak. Sebelum menerbitkan pelayan DMZ di sebelah catatan VPN pada ASA, tuliskan tuple catatan dan semaknya mengikut urutan; medan pertama yang sepadan dengan perkhidmatan sedia ada ialah tempat rancangan berhenti. Semua di bawah menganggap VPN berakhir pada perkakas itu sendiri, bukan pada pelayan dalaman.

Tulis lima medan sebelum menulis arahan

Untuk setiap catatan awam, catat keluarga alamat, alamat awam, pengangkutan, port awam dan pemilik. Pemilik ialah sama ada perkhidmatan tempatan ASA atau pelayan dalaman yang diterjemah. Dua catatan boleh berkongsi alamat dan masih menjadi tuple berbeza, dan dua catatan boleh kelihatan berbeza pada rajah sambil berlanggar pada perkakas.

Simpan lajur kedua untuk port sebenar, yang benar-benar didengar oleh pelayan dalaman. Port awam dan port sebenar ialah pilihan bebas, dan sebaik sahaja anda menggabungkannya ke dalam satu lajur, anda kehilangan keupayaan membaca terjemahan anda sendiri kemudian.

Baca kedudukan sebenar dan dipetakan dengan betul

Mulakan daripada tuple yang sudah anda miliki, bukan daripada pelayan yang ingin anda tambah. Pembahagian ilustratif mengekalkan catatan VPN yang diluluskan pada TCP 443 awam dan menerbitkan pelayan DMZ HTTPS pada TCP 8443 awam sementara pelayan itu terus mendengar pada 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Dalam arahan yang digunakan, perkhidmatan sebenar dan perkhidmatan dipetakan berada pada kedudukan tetap, dan menukarkannya menerangkan pemetaan yang berbeza, bukan yang rosak. Inilah cara paling biasa terjemahan yang berfungsi menjadi teka-teki: konfigurasinya sah, ia hanya menunjuk ke tempat lain.

Panduan NAT ASA 9.16 daripada Cisco mendokumenkan PAT statik, penggunaan alamat antara muka dan maksud port sebenar berbanding port dipetakan. Bacalah bahagian untuk keluaran yang benar-benar anda jalankan; arahan yang diingati daripada platform lama bukan konfigurasi semasa yang lengkap.

Kira pengangkutan sebagai sebahagian daripada tempahan

TCP 443 dan UDP 443 ialah tuple berbeza, dan perbezaan itu tidak memberi anda UDP secara percuma. VPN mungkin mempunyai pendengar TLS dan DTLS berasingan, dan perkhidmatan lain yang dikonfigurasikan mungkin sudah memegang pengangkutan yang anda mahu. Inventori pendengar berkesan dan dasar akses daripada menganggap halaman web ialah keseluruhan catatan VPN.

Nama hos kedua yang menyelesaikan ke alamat yang sama juga tidak menyelesaikan perlanggaran peringkat pengangkutan. DNS ialah pemetaan nama ke alamat, bukan broker port, dan menerbitkan pelayan melalui PAT bukan operasi yang sama seperti memindahkan pendengar VPN ke port lain.

Jika catatan VPN benar-benar perlu berpindah, empat perkara berubah bersama: profil klien, URL awam, penapisan huluan dan setiap pengangkutan yang digunakan oleh penggunaan. Lakukan dalam satu tetingkap, bukan satu demi satu. Kekalkan laluan pengurusan berasingan ke perkakas terbuka sebelum anda menyentuh perkhidmatan yang anda gunakan untuk mencapainya. Tanpa laluan kedua, pemindahan ialah perubahan yang tidak boleh anda batalkan dari luar.

Sahkan dari luar dengan sambungan baharu

Benarkan hanya aplikasi DMZ yang dimaksudkan di bawah dasar akses berkesan, kemudian semak susunan terjemahan yang sepadan, laluan balik pelayan dan nama hos pada sijil. PAT mengubah destinasi rangkaian; ia tidak memberikan akses aplikasi dan tidak membaiki sijil yang menamakan hos lain.

Uji kedua-dua perkhidmatan dengan sambungan baharu daripada hos luar yang dibenarkan: VPN sepatutnya masih terbentuk, dan permintaan DMZ sepatutnya sampai ke pendengar yang dimaksudkan. Sesi yang sudah terbentuk boleh menyimpan keadaan terdahulu, jadi ia tidak membuktikan apa-apa tentang pemetaan yang anda ubah seminit lalu.

Tutup gelung dengan mengemas kini inventori catatan dengan apa yang anda gunakan, termasuk setiap pendengar yang anda temui dan bukan cipta. Orang seterusnya yang menerbitkan perkhidmatan pada alamat itu akan bermula daripada jadual anda, dan baris yang salah di sana lebih mahal daripada arahan yang salah di sini.