ASA: vrata VPN in statični PAT za DMZ na enem javnem IP

Dve storitvi, en javni naslov in ime DNS, ki se zdi, da si rezervira vrata. Ne. Preden na ASA objavite strežnik DMZ ob vnosu VPN, zapišite n-terice vnosov in jih preverite po vrsti; prvo polje, ki se ujema z obstoječo storitvijo, je mesto, kjer se načrt ustavi. Vse spodaj predpostavlja, da se VPN zaključi na sami napravi, ne na notranjem strežniku.

Zapišite pet polj, preden napišete ukaz

Za vsak javni vnos zabeležite družino naslovov, javni naslov, transport, javna vrata in lastnika. Lastnik je bodisi lokalna storitev ASA bodisi preveden notranji strežnik. Dva vnosa si lahko delita naslov in sta še vedno različni n-terici, dva vnosa pa sta lahko na diagramu videti različna, medtem ko trčita na napravi.

Držite drugi stolpec za dejanska vrata, tista, na katerih notranji strežnik v resnici posluša. Javna vrata in dejanska vrata so neodvisne izbire, in v trenutku, ko ju združite v en stolpec, izgubite zmožnost, da pozneje preberete svoj lastni prevod.

Berite dejanske in preslikane položaje pravilno

Začnite pri n-terici, ki jo že imate, ne pri strežniku, ki ga želite dodati. Ilustrativna razdelitev ohrani odobreni vnos VPN na javnih TCP 443 in objavi strežnik DMZ HTTPS na javnih TCP 8443, medtem ko ta strežnik še naprej posluša na 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

V nameščenem ukazu stojita dejanska storitev in preslikana storitev na stalnih položajih, njuna zamenjava pa opisuje drugo preslikavo, ne pokvarjene. To je najpogostejši način, kako delujoč prevod postane uganka: konfiguracija je veljavna, le kaže drugam.

Vodnik NAT ASA 9.16 podjetja Cisco dokumentira statični PAT, uporabo naslova vmesnika in pomen dejanskih vrat proti preslikanim. Preberite razdelek za različico, ki jo resnično izvajate; ukaz, ki si ga zapomnite s starejše platforme, ni popolna trenutna konfiguracija.

Štejte transport kot del rezervacije

TCP 443 in UDP 443 sta različni n-terici in ta razlika vam ne da UDP zastonj. VPN ima lahko ločene poslušalce TLS in DTLS, druge konfigurirane storitve pa lahko že držijo transport, ki ga želite. Popišite učinkovite poslušalce in politiko dostopa, namesto da bi domnevali, da je spletna stran celoten vnos VPN.

Drugo ime gostitelja, ki se razreši na isti naslov, prav tako ne reši trka na ravni transporta. DNS je preslikava imena v naslov, ne posrednik vrat, in objava strežnika prek PAT ni ista operacija kot premik poslušalca VPN na druga vrata.

Če se mora vnos VPN resnično premakniti, se hkrati spremenijo štiri stvari: profil odjemalca, javni URL, filtriranje navzgor po poti in vsak transport, ki ga uporablja uvedba. Naredite jih v enem oknu, ne eno za drugo. Preden se dotaknete storitve, s katero dosežete napravo, pustite odprto ločeno pot upravljanja. Brez druge poti je premik sprememba, ki je od zunaj ne morete preklicati.

Preverite od zunaj s svežimi povezavami

Dovolite samo predvideno aplikacijo DMZ v skladu z učinkovito politiko dostopa, nato preverite ustrezni vrstni red prevajanja, povratno pot strežnika in ime gostitelja na potrdilu. PAT spremeni omrežni cilj; ne dodeli dostopa do aplikacije in ne popravi potrdila, ki navaja drugega gostitelja.

Preizkusite obe storitvi z novimi povezavami s pooblaščenega zunanjega gostitelja: VPN bi se moral še vedno vzpostaviti, zahteva DMZ pa bi morala doseči predvidenega poslušalca. Vzpostavljena seja lahko ohrani prejšnje stanje, zato ne dokazuje nič o preslikavi, ki ste jo spremenili pred minuto.

Zaprite zanko tako, da popis vnosov posodobite s tem, kar ste uvedli, vključno z vsakim poslušalcem, ki ste ga odkrili in ne ustvarili. Naslednja oseba, ki bo na tem naslovu objavila storitev, bo začela pri vaši tabeli, in napačna vrstica tam stane več kot napačen ukaz tukaj.