ASA: port VPN și PAT static DMZ pe un singur IP public
O adresă publică, două servicii. Inventariați adresa, transportul și portul pentru listenerul VPN și PAT-ul DMZ înainte ca unul să revendice intrarea celuilalt.
Două servicii, o adresă publică și un nume DNS care pare să rezerve un port. Nu o face. Înainte de a publica un server DMZ lângă intrarea VPN pe un ASA, notați tuplurile de intrare și verificați-le în ordine; primul câmp care se potrivește cu un serviciu existent este locul unde planul se oprește. Tot ce urmează presupune că VPN-ul se termină pe aparatul însuși, nu pe un server intern.
Scrieți cele cinci câmpuri înainte de a scrie comanda
Pentru fiecare intrare publică, înregistrați familia de adrese, adresa publică, transportul, portul public și proprietarul. Proprietarul este fie un serviciu local la ASA, fie un server intern tradus. Două intrări pot împărtăși o adresă și totuși să fie tupluri diferite, iar două intrări pot arăta diferit într-o diagramă în timp ce se ciocnesc pe aparat.
Păstrați o a doua coloană pentru portul real, cel pe care serverul intern chiar ascultă. Portul public și portul real sunt alegeri independente, iar în momentul în care le uniți într-o singură coloană pierdeți capacitatea de a reciti propria traducere mai târziu.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Citiți corect pozițiile reale și mapate
Porniți de la tuplul pe care îl aveți deja, nu de la serverul pe care vreți să îl adăugați. O împărțire ilustrativă păstrează intrarea VPN aprobată pe TCP 443 public și publică un server DMZ HTTPS pe TCP 8443 public în timp ce acel server continuă să asculte pe 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443În comanda implementată, serviciul real și serviciul mapat stau în poziții fixe, iar inversarea lor descrie o altă mapare, nu una defectă. Acesta este cel mai obișnuit mod în care o traducere funcțională devine un puzzle: configurația este validă, pur și simplu indică în altă parte.
Ghidul NAT ASA 9.16 de la Cisco documentează PAT-ul static, utilizarea adresei de interfață și semnificațiile portului real față de cel mapat. Citiți secțiunea pentru versiunea pe care o rulați efectiv; o comandă reținută de pe o platformă mai veche nu este o configurație actuală completă.
Socotiți transportul ca parte a rezervării
TCP 443 și UDP 443 sunt tupluri diferite, iar diferența aceea nu vă oferă UDP-ul gratis. Un VPN poate avea listeneri TLS și DTLS separați, iar alte servicii configurate pot deține deja transportul pe care îl doriți. Inventariați listenerii efectivi și politica de acces în loc să presupuneți că pagina web este întreaga intrare VPN.
Un al doilea nume de gazdă care se rezolvă la aceeași adresă nu rezolvă nici o coliziune la nivel de transport. DNS este o mapare nume-la-adresă, nu un broker de porturi, iar publicarea unui server prin PAT nu este aceeași operațiune cu mutarea listenerului VPN pe alt port.
Dacă intrarea VPN chiar trebuie să se mute, patru lucruri se schimbă împreună: profilul clientului, URL-ul public, filtrarea din amonte și fiecare transport pe care îl folosește implementarea. Faceți-le într-o singură fereastră, nu pe rând. Țineți deschisă o cale de administrare separată către aparat înainte de a atinge serviciul prin care ajungeți la el. Fără o a doua cale, mutarea este o schimbare din care nu vă puteți retrage din exterior.
Verificați din exterior cu conexiuni noi
Permiteți doar aplicația DMZ dorită sub politica de acces efectivă, apoi verificați ordinea de traducere corespunzătoare, calea de retur a serverului și numele de gazdă din certificat. PAT schimbă destinația de rețea; nu acordă acces la aplicație și nu repară un certificat care numește altă gazdă.
Testați ambele servicii cu conexiuni noi de la o gazdă externă autorizată: VPN-ul ar trebui să se stabilească în continuare, iar cererea DMZ ar trebui să ajungă la listenerul dorit. O sesiune stabilită poate păstra starea anterioară, așa că nu dovedește nimic despre o mapare pe care ați schimbat-o acum un minut.
Închideți bucla actualizând inventarul intrărilor cu ce ați implementat, inclusiv orice listener pe care l-ați descoperit, nu creat. Următoarea persoană care publică un serviciu pe acea adresă va porni de la tabelul dumneavoastră, iar un rând greșit acolo costă mai mult decât o comandă greșită aici.