ASA: VPN port i statički PAT za DMZ na jednoj javnoj IP adresi

Dvije usluge, jedna javna adresa i DNS ime koje izgleda kao da rezerviše port. Ne rezerviše. Prije nego što objavite DMZ server pored VPN zapisa na ASA uređaju, zapišite torke zapisa i provjerite ih po redu; prvo polje koje se poklapa s postojećom uslugom je mjesto na kojem plan staje. Sve ispod pretpostavlja da VPN završava na samom uređaju, a ne na unutrašnjem serveru.

Zapišite pet polja prije nego što napišete naredbu

Za svaki javni zapis zabilježite porodicu adresa, javnu adresu, transport, javni port i vlasnika. Vlasnik je ili usluga lokalna na ASA uređaju ili prevedeni unutrašnji server. Dva zapisa mogu dijeliti adresu i dalje biti različite torke, a dva zapisa mogu na dijagramu izgledati različito dok se na uređaju sudaraju.

Držite drugu kolonu za stvarni port, onaj na kojem unutrašnji server zaista sluša. Javni port i stvarni port su nezavisni izbori, a u trenutku kada ih spojite u jednu kolonu gubite mogućnost da kasnije pročitate vlastiti prevod.

Čitajte stvarne i mapirane pozicije ispravno

Pođite od torke koju već imate, a ne od servera koji želite dodati. Ilustrativna podjela zadržava odobreni VPN zapis na javnom TCP 443 i objavljuje DMZ HTTPS server na javnom TCP 8443, dok taj server nastavlja slušati na 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

U raspoređenoj komandi stvarna usluga i mapirana usluga stoje na fiksnim pozicijama, a njihovo zamjenjivanje opisuje drugo mapiranje, a ne pokvareno. To je najčešći način na koji radni prevod postane zagonetka: konfiguracija je valjana, samo pokazuje negdje drugdje.

Ciscov vodič za ASA 9.16 NAT dokumentuje statički PAT, korištenje adrese interfejsa i značenja stvarnog naspram mapiranog porta. Pročitajte odjeljak za izdanje koje zaista pokrećete; naredba zapamćena sa starije platforme nije potpuna trenutna konfiguracija.

Računajte transport kao dio rezervacije

TCP 443 i UDP 443 su različite torke i ta razlika vam ne daje UDP besplatno. VPN može imati odvojene TLS i DTLS prijemnike, a druge konfigurisane usluge mogu već držati transport koji želite. Popišite efektivne prijemnike i politiku pristupa umjesto da pretpostavite da je web stranica cijeli VPN zapis.

Drugo ime hosta koje se razrješava na istu adresu također ne rješava sudar na nivou transporta. DNS je mapiranje imena u adresu, a ne broker portova, i objavljivanje servera kroz PAT nije ista operacija kao premještanje VPN prijemnika na drugi port.

Ako VPN zapis zaista mora da se premjesti, četiri stvari se mijenjaju zajedno: profil klijenta, javni URL, filtriranje uzvodno i svaki transport koji raspoređivanje koristi. Učinite ih u jednom prozoru umjesto jednu po jednu. Držite odvojenu putanju za upravljanje prema uređaju otvorenom prije nego što dodirnete uslugu koju koristite da do njega dođete. Bez druge putanje, premještanje je promjena iz koje se ne možete vratiti spolja.

Provjerite spolja sa svježim vezama

Dozvolite samo predviđenu DMZ aplikaciju pod efektivnom politikom pristupa, zatim provjerite odgovarajući redoslijed prevođenja, povratnu putanju servera i ime hosta na certifikatu. PAT mijenja mrežno odredište; ne daje pristup aplikaciji i ne popravlja certifikat koji imenuje drugi host.

Testirajte obje usluge novim vezama sa ovlaštenog vanjskog hosta: VPN bi trebao da se i dalje uspostavi, a DMZ zahtjev bi trebao da stigne do predviđenog prijemnika. Uspostavljena sesija može zadržati ranije stanje, pa ne dokazuje ništa o mapiranju koje ste promijenili prije minute.

Zatvorite petlju tako što ćete ažurirati inventar zapisa onim što ste rasporedili, uključujući svaki prijemnik koji ste otkrili, a ne stvorili. Sljedeća osoba koja objavi uslugu na toj adresi počeće od vaše tablice, a pogrešan red tamo košta više od pogrešne naredbe ovdje.