ASA: port VPN a statický PAT pre DMZ na jednej verejnej IP

Dve služby, jedna verejná adresa a meno DNS, ktoré vyzerá, akoby si rezervovalo port. Nerezervuje. Skôr než publikujete server DMZ vedľa záznamu VPN na ASA, zapíšte si n-tice záznamov a skontrolujte ich v poradí; prvé pole, ktoré zodpovedá existujúcej službe, je miesto, kde sa plán zastaví. Všetko nižšie predpokladá, že VPN končí na samotnom zariadení, nie na vnútornom serveri.

Napíšte päť polí, kým napíšete príkaz

Pre každý verejný záznam zaznamenajte rodinu adries, verejnú adresu, transport, verejný port a vlastníka. Vlastník je buď služba lokálna na ASA, alebo preložený vnútorný server. Dva záznamy môžu zdieľať adresu a stále byť rôzne n-tice a dva záznamy môžu na diagrame vyzerať rôzne, pričom sa na zariadení zrážajú.

Držte druhý stĺpec pre skutočný port, ten, na ktorom vnútorný server naozaj počúva. Verejný port a skutočný port sú nezávislé voľby a vo chvíli, keď ich zlejete do jedného stĺpca, stratíte schopnosť neskôr prečítať vlastný preklad.

Čítajte skutočné a mapované pozície správne

Začnite od n-tice, ktorú už máte, nie od servera, ktorý chcete pridať. Ilustratívne rozdelenie ponecháva schválený záznam VPN na verejnom TCP 443 a publikuje server DMZ HTTPS na verejnom TCP 8443, pričom tento server ďalej počúva na 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

V nasadenom príkaze stoja skutočná služba a mapovaná služba na pevných pozíciách a ich zámena opisuje iné mapovanie, nie rozbité. To je najčastejší spôsob, akým sa funkčný preklad zmení na hádanku: konfigurácia je platná, len ukazuje inam.

Sprievodca ASA 9.16 NAT od Cisco dokumentuje statický PAT, použitie adresy rozhrania a význam skutočného verzus mapovaného portu. Prečítajte si časť pre verziu, ktorú skutočne prevádzkujete; príkaz zapamätaný zo staršej platformy nie je úplná aktuálna konfigurácia.

Počítajte transport ako súčasť rezervácie

TCP 443 a UDP 443 sú rôzne n-tice a tento rozdiel vám UDP nedá zadarmo. VPN môže mať samostatné listenery TLS a DTLS a iné nakonfigurované služby už môžu držať transport, ktorý chcete. Zapíšte efektívne listenery a prístupovú politiku, namiesto toho, aby ste predpokladali, že webová stránka je celý záznam VPN.

Druhé meno hostiteľa, ktoré sa prekladá na rovnakú adresu, tiež nerieši kolíziu na úrovni transportu. DNS je mapovanie mena na adresu, nie sprostredkovateľ portov, a publikovanie servera cez PAT nie je tá istá operácia ako presun listenera VPN na iný port.

Ak sa záznam VPN naozaj musí presunúť, menia sa naraz štyri veci: profil klienta, verejná URL, filtrovanie vyššie po ceste a každý transport, ktorý nasadenie používa. Urobte ich v jednom okne, nie jeden po druhom. Predtým, než sa dotknete služby, ktorou sa k zariadeniu dostávate, nechajte otvorenú samostatnú cestu správy. Bez druhej cesty je presun zmena, ktorú zvonku nevrátite.

Overujte zvonku čerstvými pripojeniami

Povoľte iba zamýšľanú aplikáciu DMZ podľa efektívnej prístupovej politiky, potom skontrolujte zodpovedajúce poradie prekladu, návratovú cestu servera a meno hostiteľa v certifikáte. PAT mení sieťové určenie; nedáva prístup k aplikácii a neopravuje certifikát, ktorý pomenúva iného hostiteľa.

Otestujte obe služby novými pripojeniami z autorizovaného vonkajšieho hostiteľa: VPN by sa mala stále nadviazať a požiadavka DMZ by mala doraziť k zamýšľanému listeneru. Nadviazaná relácia môže držať skorší stav, takže nič nedokazuje o mapovaní, ktoré ste zmenili pred minútou.

Uzavrite slučku aktualizáciou inventára záznamov tým, čo ste nasadili, vrátane každého listenera, ktorý ste objavili, a nie vytvorili. Ďalší človek, ktorý na tejto adrese publikuje službu, začne od vašej tabuľky, a nesprávny riadok tam stojí viac než nesprávny príkaz tu.