ASA: porti VPN dhe PAT statik i DMZ në një IP publike
Një adresë publike, dy shërbime. Inventarizoni adresën, transportin dhe portin për dëgjuesin VPN dhe PAT-në e DMZ para se njëri të marrë hyrjen e tjetrit.
Dy shërbime, një adresë publike dhe një emër DNS që duket sikur rezervon një port. Nuk e bën. Para se të publikoni një server DMZ pranë hyrjes VPN në një ASA, shkruani tuplat e hyrjes dhe kontrollojini me radhë; fusha e parë që përputhet me një shërbim ekzistues është vendi ku plani ndalon. Gjithçka më poshtë supozon që VPN përfundon në vetë pajisjen, jo në një server të brendshëm.
Shkruani pesë fushat para se të shkruani komandën
Për çdo hyrje publike, regjistroni familjen e adresave, adresën publike, transportin, portin publik dhe pronarin. Pronari është ose një shërbim lokal i ASA-s ose një server i brendshëm i përkthyer. Dy hyrje mund të ndajnë një adresë dhe të jenë ende tuple të ndryshme, dhe dy hyrje mund të duken ndryshe në një diagram ndërsa përplasen në pajisje.
Mbani një kolonë të dytë për portin e vërtetë, atë ku serveri i brendshëm dëgjon vërtet. Porti publik dhe porti i vërtetë janë zgjedhje të pavarura, dhe në momentin që i bashkoni në një kolonë të vetme humbni aftësinë për të lexuar përkthimin tuaj më vonë.
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
Lexoni saktë pozicionet reale dhe të hartëzuara
Filloni nga tuple që keni tashmë, jo nga serveri që dëshironi të shtoni. Një ndarje ilustruese mban hyrjen VPN të miratuar në TCP 443 publik dhe publikon një server DMZ HTTPS në TCP 8443 publik ndërsa ai server vazhdon të dëgjojë në 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443Në komandën e vendosur, shërbimi real dhe shërbimi i hartëzuar qëndrojnë në pozicione fikse, dhe zëvendësimi i tyre përshkruan një hartëzim tjetër, jo një të prishur. Ky është mënyra më e zakonshme se si një përkthim funksional bëhet enigmë: konfigurimi është i vlefshëm, thjesht tregon diku tjetër.
Udhëzuesi NAT i ASA 9.16 i Cisco dokumenton PAT statik, përdorimin e adresës së ndërfaqes dhe kuptimet e portit real kundrejt atij të hartëzuar. Lexoni seksionin për versionin që ekzekutoni vërtet; një komandë e mbajtur mend nga një platformë më e vjetër nuk është një konfigurim i plotë aktual.
Numëroni transportin si pjesë të rezervimit
TCP 443 dhe UDP 443 janë tuple të ndryshme, dhe ai ndryshim nuk ju jep UDP-në falas. Një VPN mund të ketë dëgjues të veçantë TLS dhe DTLS, dhe shërbime të tjera të konfiguruara mund të mbajnë tashmë transportin që dëshironi. Inventarizoni dëgjuesit efektivë dhe politikën e aksesit në vend që të supozoni se faqja e internetit është e gjithë hyrja VPN.
Një emër i dytë hosti që zgjidhet në të njëjtën adresë gjithashtu nuk zgjidh një përplasje në nivel transporti. DNS është një hartëzim emri-në-adresë, jo një ndërmjetës portesh, dhe publikimi i një serveri përmes PAT nuk është i njëjti veprim si zhvendosja e dëgjuesit VPN në një port tjetër.
Nëse hyrja VPN vërtet duhet të zhvendoset, katër gjëra ndryshojnë së bashku: profili i klientit, URL-ja publike, filtrimi në rrjedhën e sipërme dhe çdo transport që përdor vendosja. Bëjini në një dritare të vetme në vend që një nga një. Mbani të hapur një rrugë të veçantë administrimi drejt pajisjes para se të prekni shërbimin që përdorni për ta arritur. Pa një rrugë të dytë, zhvendosja është një ndryshim nga i cili nuk mund të tërhiqeni nga jashtë.
Verifikoni nga jashtë me lidhje të reja
Lejoni vetëm aplikacionin DMZ të synuar sipas politikës efektive të aksesit, pastaj kontrolloni rendin përkatës të përkthimit, rrugën e kthimit të serverit dhe emrin e hostit në certifikatë. PAT ndryshon destinacionin e rrjetit; nuk jep akses aplikacioni dhe nuk rregullon një certifikatë që emërton një host tjetër.
Testoni të dy shërbimet me lidhje të reja nga një host i jashtëm i autorizuar: VPN duhet të vazhdojë të vendoset, dhe kërkesa DMZ duhet të arrijë dëgjuesin e synuar. Një sesion i vendosur mund të mbajë gjendjen e mëparshme, prandaj nuk provon asgjë për një hartëzim që ndryshuat një minutë më parë.
Mbyllni ciklin duke përditësuar inventarin e hyrjeve me atë që vendosët, duke përfshirë çdo dëgjues që zbuluat dhe nuk krijoni. Personi i ardhshëm që publikon një shërbim në atë adresë do të fillojë nga tabela juaj, dhe një rresht i gabuar atje kushton më shumë sesa një komandë e gabuar këtu.