ASA: VPN порт и статички PAT за DMZ на једној јавној IP адреси

Две услуге, једна јавна адреса и DNS име које изгледа као да резервише порт. Не резервише. Пре него што објавите DMZ сервер поред VPN записа на ASA, запишите торке записа и проверите их по реду; прво поље које се поклапа са постојећом услугом је место где план стаје. Све испод претпоставља да се VPN завршава на самом уређају, а не на унутрашњем серверу.

Запишите пет поља пре него што будете написали команду

За сваки јавни запис забележите фамилију адреса, јавну адресу, транспорт, јавни порт и власника. Власник је или локална ASA услуга или преведени унутрашњи сервер. Два записа могу да деле адресу и даље да буду различите торке, а два записа могу да изгледају различито на дијаграму док се сударају на уређају.

Држите другу колону за стварни порт, онај на ком унутрашњи сервер заиста слуша. Јавни порт и стварни порт су независни избори, и у тренутку када их спојите у једну колону губите могућност да касније прочитате сопствени превод.

Читајте стварне и мапиране позиције исправно

Почните од торке коју већ имате, а не од сервера који желите да додате. Илустративна подела задржава одобрени VPN запис на јавном TCP 443 и објављује DMZ HTTPS сервер на јавном TCP 8443, док тај сервер наставља да слуша на 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

У распоређеној команди стварна услуга и мапирана услуга стоје на фиксним позицијама, а њихова замена описује друго мапирање, а не покварено. То је најчешћи начин на који радни превод постане загонетка: конфигурација је важећа, само показује негде другде.

Cisco ASA 9.16 NAT водич документује статички PAT, коришћење адресе интерфејса и значења стварног наспрам мапираног порта. Прочитајте одељак за издање које заиста покрећете; команда запамћена са старије платформе није потпуна тренутна конфигурација.

Рачунајте транспорт као део резервације

TCP 443 и UDP 443 су различите торке и та разлика вам не даје UDP бесплатно. VPN може имати одвојене TLS и DTLS слушаоце, а друге конфигурисане услуге могу већ да држе транспорт који желите. Пописом обухватите ефективне слушаоце и политику приступа уместо да претпоставите да је веб страница цео VPN запис.

Друго име домаћина које се разрешава на исту адресу такође не решава судар на нивоу транспорта. DNS је мапирање имена у адресу, а не брокер портова, и објављивање сервера преко PAT није иста операција као премештање VPN слушаоца на други порт.

Ако VPN запис заиста мора да се премести, четири ствари се мењају заједно: профил клијента, јавни URL, филтрирање узводно и сваки транспорт који распоређивање користи. Урадите их у једном прозору, а не једну по једну. Држите одвојену путању за управљање ка уређају отвореном пре него што дотакнете услугу преко које до њега стижете. Без друге путање, премештање је измена из које не можете да се вратите споља.

Проверите споља са свежим везама

Дозволите само предвиђену DMZ апликацију под ефективном политиком приступа, затим проверите одговарајући редослед превода, повратну путању сервера и име домаћина на сертификату. PAT мења мрежно одредиште; не даје приступ апликацији и не поправља сертификат који именује други домаћин.

Тестирајте обе услуге новим везама са овлашћеног спољног домаћина: VPN би требало да се и даље успостави, а DMZ захтев би требало да стигне до предвиђеног слушаоца. Успостављена сесија може да задржи раније стање, па не доказује ништа о мапирању које сте променили пре минут.

Затворите петљу тако што ћете попис записа ажурирати оним што сте распоредили, укључујући сваког слушаоца који сте открили, а не створили. Следећа особа која објави услугу на тој адреси почеће од ваше табеле, а погрешан ред тамо кошта више од погрешне команде овде.