ASA: port VPN u PAT statiku tad-DMZ fuq IP pubblika waħda

Żewġ servizzi, indirizz pubbliku wieħed, u isem DNS li jaħseb li qed jirriżerva port. Ma jagħmilx hekk. Qabel ma tippubblika server DMZ ħdejn id-dħul tal-VPN fuq ASA, ikteb it-tuples tad-dħul u iċċekkjahom fl-ordni; l-ewwel qasam li jaqbel ma' servizz eżistenti huwa l-post fejn il-pjan jieqaf. Kollox hawn taħt jassumi li l-VPN jispiċċa fuq l-apparat innifsu, mhux fuq server intern.

Ikteb il-ħames oqsma qabel ma tikteb il-kmand

Għal kull dħul pubbliku, irreġistra l-familja tal-indirizzi, l-indirizz pubbliku, it-trasport, il-port pubbliku u s-sid. Is-sid huwa jew servizz lokali tal-ASA jew server intern tradott. Żewġ dħuliet jistgħu jaqsmu indirizz u xorta jkunu tuples differenti, u żewġ dħuliet jistgħu jidhru differenti fi dijagramma waqt li jħabbtu fuq l-apparat.

Żomm it-tieni kolonna għall-port reali, dak li s-server intern fil-fatt jisma' fuqu. Il-port pubbliku u l-port reali huma għażliet indipendenti, u fil-mument li tgħaqqadhom f'kolonna waħda titlef il-kapaċità li taqra t-traduzzjoni tiegħek stess aktar tard.

Aqra l-pożizzjonijiet reali u mappjati b'mod korrett

Ibda mit-tuple li diġà għandek, mhux mis-server li trid iżżid. Qasma illustrattiva żżomm id-dħul tal-VPN approvat fuq TCP 443 pubbliku u tippubblika server DMZ HTTPS fuq TCP 8443 pubbliku waqt li dak is-server ikompli jisma' fuq 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Fil-kmand implimentat, is-servizz reali u s-servizz mappjat joqogħdu f'pożizzjonijiet fissi, u li tinqilbihom jiddeskrivi mappatura differenti, mhux waħda miksura. Dan huwa l-aktar mod komuni kif traduzzjoni li taħdem issir tisliba: il-konfigurazzjoni hija valida, sempliċement tindika band'oħra.

Il-gwida NAT tal-ASA 9.16 ta' Cisco tiddokumenta l-PAT statiku, l-użu tal-indirizz tal-interface u t-tifsiriet tal-port real kontra dak mappjat. Aqra t-taqsima għall-verżjoni li fil-fatt tmexxi; kmand imfakkar minn pjattaforma eqdem mhuwiex konfigurazzjoni attwali kompleta.

Għodd it-trasport bħala parti mir-riservazzjoni

TCP 443 u UDP 443 huma tuples differenti, u dik id-differenza ma tagħtik l-UDP b'xejn. VPN jista' jkollu semmiegħa TLS u DTLS separati, u servizzi oħra konfigurati jaf diġà jżommu t-trasport li trid. Inventarja s-semmiegħa effettivi u l-politika tal-aċċess minflok ma tassumi li l-paġna web hija d-dħul kollu tal-VPN.

It-tieni isem tal-host li jissolva għall-istess indirizz lanqas ma jsolvi ħabta fil-livell tat-trasport. DNS hija mappatura minn isem għal indirizz, mhux sensar tal-portijiet, u li tippubblika server permezz ta' PAT mhix l-istess operazzjoni bħall-moviment tas-semmiegħa tal-VPN għal port ieħor.

Jekk id-dħul tal-VPN verament irid jiċċaqlaq, erba' affarijiet jinbidlu flimkien: il-profil tal-klijent, l-URL pubbliku, il-filtrazzjoni 'l fuq u kull trasport li juża l-implimentazzjoni. Agħmilhom fi tieqa waħda minflok waħda waħda. Żomm mogħdija separata ta' ġestjoni lejn l-apparat miftuħa qabel ma tmiss is-servizz li tuża biex tasal għalih. Mingħajr it-tieni mogħdija, il-moviment huwa bidla li ma tistax tirranġa minn barra.

Ivverifika minn barra b'konnessjonijiet friski

Ħalli biss l-applikazzjoni DMZ intiża taħt il-politika effettiva tal-aċċess, imbagħad iċċekkja l-ordni tat-traduzzjoni li taqbel, il-mogħdija lura tas-server u l-isem tal-host fuq iċ-ċertifikat. PAT jibdel id-destinazzjoni tan-netwerk; ma jagħtix aċċess għall-applikazzjoni u ma jsewwix ċertifikat li jsemmi host ieħor.

Ittestja ż-żewġ servizzi bi konnessjonijiet ġodda minn host estern awtorizzat: il-VPN għandu xorta jistabbilixxi ruħu, u t-talba DMZ għandha tasal għas-semmiegħa intiż tagħha. Sessjoni stabbilita tista' żżomm stat preċedenti, għalhekk ma tipprova xejn dwar mappatura li biddilt minuta ilu.

Agħlaq iċ-ċirku billi taġġorna l-inventarju tad-dħul b'dak li implimentajt, inkluż kull semmiegħa li skoprejt minflok ħloqt. Il-persuna li jmiss li tippubblika servizz fuq dak l-indirizz tibda mit-tabella tiegħek, u ringiela ħażina hemmhekk tiswa aktar minn kmand ħażin hawn.