ASA: VPN-poort en statische DMZ-PAT op één publiek IP
Eén publiek adres, twee diensten. Inventariseer adres, transport en poort voor de VPN-listener en de DMZ-PAT voordat de een de vermelding van de ander opeist.
Twee diensten, één publiek adres en een DNS-naam die voelt alsof hij een poort reserveert. Dat doet hij niet. Voordat je op een ASA een DMZ-server naast de VPN-vermelding publiceert, schrijf je de vermeldings-tuples op en controleer je ze op volgorde; het eerste veld dat overeenkomt met een bestaande dienst is waar het plan stopt. Alles hieronder gaat ervan uit dat de VPN op het apparaat zelf eindigt, niet op een interne server.
Schrijf de vijf velden voordat je het commando schrijft
Noteer voor elke publieke vermelding de adresfamilie, het publieke adres, het transport, de publieke poort en de eigenaar. De eigenaar is een ASA-lokale dienst of een vertaalde interne server. Twee vermeldingen kunnen een adres delen en toch verschillende tuples zijn, en twee vermeldingen kunnen er in een diagram anders uitzien terwijl ze op het apparaat botsen.
Houd een tweede kolom voor de echte poort, degene waarop de interne server daadwerkelijk luistert. De publieke poort en de echte poort zijn onafhankelijke keuzes, en op het moment dat je ze in één kolom samenvat, verlies je het vermogen om je eigen vertaling later te lezen.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Lees de echte en de gemapte posities correct
Begin bij de tuple die je al hebt, niet bij de server die je wilt toevoegen. Een illustratieve splitsing houdt de goedgekeurde VPN-vermelding op publieke TCP 443 en publiceert een DMZ HTTPS-server op publieke TCP 8443 terwijl die server op 443 blijft luisteren:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443In het uitgerolde commando staan de echte dienst en de gemapte dienst op vaste posities, en ze omdraaien beschrijft een andere mapping dan een kapotte. Dat is de meest voorkomende manier waarop een werkende vertaling een puzzel wordt: de configuratie is geldig, hij wijst alleen ergens anders heen.
De ASA 9.16 NAT-gids van Cisco documenteert statische PAT, gebruik van interface-adressen en de betekenis van echte versus gemapte poort. Lees het hoofdstuk voor de release die je daadwerkelijk draait; een commando dat uit een ouder platform is onthouden, is geen volledige actuele configuratie.
Reken transport mee als deel van de reservering
TCP 443 en UDP 443 zijn verschillende tuples, en dat verschil geeft je de UDP niet gratis. Een VPN kan aparte TLS- en DTLS-listeners hebben, en andere geconfigureerde diensten kunnen het transport dat je wilt al vasthouden. Inventariseer de effectieve listeners en het toegangsbeleid in plaats van aan te nemen dat de webpagina de hele VPN-vermelding is.
Een tweede hostnaam die naar hetzelfde adres resolvet, lost ook geen botsing op transportniveau op. DNS is een naam-naar-adres-mapping, geen poortenmakelaar, en een server via PAT publiceren is niet dezelfde handeling als de VPN-listener naar een andere poort verplaatsen.
Als de VPN-vermelding echt moet verhuizen, veranderen vier dingen tegelijk: het cliëntprofiel, de publieke URL, de filtering stroomopwaarts en elk transport dat de uitrol gebruikt. Doe ze in één venster in plaats van één voor één. Houd een apart beheerpad naar het apparaat open voordat je de dienst aanraakt waarmee je het bereikt. Zonder een tweede pad is de verhuizing een wijziging die je van buitenaf niet kunt terugdraaien.
Verifieer van buitenaf met verse verbindingen
Sta onder het effectieve toegangsbeleid alleen de bedoelde DMZ-applicatie toe, controleer dan de bijbehorende vertaalvolgorde, het terugpad van de server en de hostnaam op het certificaat. PAT verandert de netwerkbestemming; het verleent geen applicatietoegang en repareert geen certificaat dat een andere host noemt.
Test beide diensten met nieuwe verbindingen vanaf een geautoriseerde externe host: de VPN zou nog steeds moeten opkomen, en het DMZ-verzoek zou zijn bedoelde listener moeten bereiken. Een bestaande sessie kan eerdere toestand behouden, dus bewijst niets over een mapping die je een minuut geleden hebt gewijzigd.
Sluit de lus door het vermeldingsinventaris bij te werken met wat je hebt uitgerold, inclusief elke listener die je hebt ontdekt in plaats van gemaakt. De volgende persoon die een dienst op dat adres publiceert, begint bij jouw tabel, en een verkeerde rij daar kost meer dan een verkeerd commando hier.