ASA: พอร์ต VPN และ PAT แบบคงที่ของ DMZ บน IP สาธารณะเดียว
ที่อยู่สาธารณะหนึ่ง ที่ บริการสองอย่าง ตรวจสอบที่อยู่ การขนส่ง และพอร์ตสำหรับตัวรับฟัง VPN และ PAT ของ DMZ ก่อนที่ฝ่ายหนึ่งจะยึดรายการของอีกฝ่าย
สองบริการ ที่อยู่สาธารณะหนึ่ง และชื่อ DNS ที่รู้สึกเหมือนจองพอร์ตไว้ มันไม่ได้ทำเช่นนั้น ก่อนที่คุณจะเผยแพร่เซิร์ฟเวอร์ DMZ ข้างรายการ VPN บน ASA ให้จดทูเพิลของรายการและตรวจสอบตามลำดับ; ฟิลด์แรกที่ตรงกับบริการที่มีอยู่คือจุดที่แผนหยุด ทุกอย่างด้านล่างถือว่า VPN สิ้นสุดที่อุปกรณ์เอง ไม่ใช่ที่เซิร์ฟเวอร์ภายใน
เขียนห้าฟิลด์ก่อนเขียนคำสั่ง
สำหรับทุกรายการสาธารณะ ให้บันทึกตระกูลที่อยู่ ที่อยู่สาธารณะ การขนส่ง พอร์ตสาธารณะ และเจ้าของ เจ้าของคือบริการภายในเครื่อง ASA หรือเซิร์ฟเวอร์ภายในที่แปลแล้ว สองรายการอาจใช้ที่อยู่ร่วมกันและยังเป็นทูเพิลต่างกัน และสองรายการอาจดูต่างกันในแผนภาพแต่ชนกันบนอุปกรณ์
เก็บคอลัมน์ที่สองสำหรับพอร์ตจริง พอร์ตที่เซิร์ฟเวอร์ภายในฟังจริง ๆ พอร์ตสาธารณะและพอร์ตจริงเป็นการเลือกที่เป็นอิสระ และในวินาทีที่คุณรวมทั้งสองเป็นคอลัมน์เดียว คุณจะสูญเสียความสามารถในการอ่านการแปลของคุณเองในภายหลัง
| Public entry | Owner | Real side |
|---|---|---|
| TCP 443 on the outside address | ASA VPN listener | Appliance-local, no translation |
| TCP 8443 on the outside address | Static PAT | DMZ server TCP 443 |
| UDP 443 on the outside address | Check the effective listeners | Possibly the VPN data path |
อ่านตำแหน่งจริงและตำแหน่งที่แมปอย่างถูกต้อง
เริ่มจากทูเพิลที่คุณมีอยู่แล้ว ไม่ใช่จากเซิร์ฟเวอร์ที่คุณต้องการเพิ่ม การแบ่งเพื่อเป็นตัวอย่างเก็บรายการ VPN ที่อนุมัติไว้บน TCP 443 สาธารณะ และเผยแพร่เซิร์ฟเวอร์ DMZ HTTPS บน TCP 8443 สาธารณะ ขณะที่เซิร์ฟเวอร์นั้นยังฟังบน 443:
Public TCP 443 -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443ในคำสั่งที่ปรับใช้ บริการจริงและบริการที่แมปอยู่ในตำแหน่งคงที่ และการสลับทั้งสองอธิบายการแมปอื่น ไม่ใช่การแมปที่เสีย การแปลที่ทำงานได้กลายเป็นปริศนาด้วยวิธีนี้บ่อยที่สุด: การกำหนดค่าถูกต้อง มันเพียงชี้ไปที่อื่น
คู่มือ NAT ของ ASA 9.16 จาก Cisco อธิบาย PAT แบบคงที่ การใช้ที่อยู่ของอินเทอร์เฟซ และความหมายของพอร์ตจริงเทียบกับพอร์ตที่แมป อ่านส่วนของรุ่นที่คุณใช้งานจริง คำสั่งที่จำมาจากแพลตฟอร์มเก่าไม่ใช่การกำหนดค่าปัจจุบันที่สมบูรณ์
นับการขนส่งเป็นส่วนหนึ่งของการจอง
TCP 443 และ UDP 443 เป็นทูเพิลต่างกัน และความต่างนั้นไม่ได้ให้ UDP แก่คุณฟรี VPN อาจมีตัวรับฟัง TLS และ DTLS แยกกัน และบริการอื่นที่กำหนดค่าไว้อาจถือการขนส่งที่คุณต้องการอยู่แล้ว ตรวจสอบตัวรับฟังที่มีผลและนโยบายการเข้าถึง แทนที่จะถือว่าเว็บเพจคือรายการ VPN ทั้งหมด
ชื่อโฮสต์ที่สองที่แก้ไขไปยังที่อยู่เดียวกันก็ไม่แก้การชนกันในระดับการขนส่ง DNS คือการแมปชื่อเป็นที่อยู่ ไม่ใช่ตัวกลางพอร์ต และการเผยแพร่เซิร์ฟเวอร์ผ่าน PAT ไม่ใช่การดำเนินการเดียวกับการย้ายตัวรับฟัง VPN ไปยังพอร์ตอื่น
หากรายการ VPN ต้องย้ายจริง ๆ สี่สิ่งจะเปลี่ยนพร้อมกัน: โปรไฟล์ไคลเอนต์ URL สาธารณะ การกรองต้นน้ำ และการขนส่งทุกอย่างที่การปรับใช้ใช้ ทำในหน้าต่างเดียวแทนที่จะทำทีละอย่าง เก็บเส้นทางการจัดการแยกไปยังอุปกรณ์ให้เปิดอยู่ก่อนที่คุณจะแตะบริการที่คุณใช้เข้าถึงมัน หากไม่มีเส้นทางที่สอง การย้ายคือการเปลี่ยนแปลงที่คุณย้อนกลับจากภายนอกไม่ได้
ตรวจสอบจากภายนอกด้วยการเชื่อมต่อใหม่
อนุญาตเฉพาะแอปพลิเคชัน DMZ ที่ต้องการภายใต้นโยบายการเข้าถึงที่มีผล จากนั้นตรวจสอบลำดับการแปลที่ตรงกัน เส้นทางกลับของเซิร์ฟเวอร์ และชื่อโฮสต์บนใบรับรอง PAT เปลี่ยนปลายทางเครือข่าย มันไม่ได้ให้สิทธิ์เข้าถึงแอปพลิเคชันและไม่ได้ซ่อมใบรับรองที่ระบุโฮสต์อื่น
ทดสอบทั้งสองบริการด้วยการเชื่อมต่อใหม่จากโฮสต์ภายนอกที่ได้รับอนุญาต: VPN ควรยังคงสร้างการเชื่อมต่อได้ และคำขอ DMZ ควรไปถึงตัวรับฟังที่ต้องการ เซสชันที่สร้างไว้แล้วอาจคงสถานะเดิมไว้ จึงไม่ได้พิสูจน์อะไรเกี่ยวกับการแมปที่คุณเปลี่ยนเมื่อนาทีที่แล้ว
ปิดวงจรโดยอัปเดตรายการสินค้าคงคลังด้วยสิ่งที่คุณปรับใช้ รวมถึงตัวรับฟังใด ๆ ที่คุณค้นพบแทนที่จะสร้าง บุคคลถัดไปที่เผยแพร่บริการบนที่อยู่นั้นจะเริ่มจากตารางของคุณ และแถวที่ผิดตรงนั้นมีราคาแพงกว่าคำสั่งที่ผิดตรงนี้