ASA: port ng VPN at static na PAT ng DMZ sa isang pampublikong IP

Dalawang serbisyo, isang pampublikong address, at isang pangalan ng DNS na parang nagrereserba ng port. Hindi ito ganoon. Bago ka maglathala ng DMZ server sa tabi ng entry ng VPN sa isang ASA, isulat ang mga tuple ng entry at suriin ang mga ito sa pagkakasunod-sunod; ang unang field na tumutugma sa isang umiiral na serbisyo ang lugar kung saan humihinto ang plano. Ipinapalagay ng lahat sa ibaba na ang VPN ay nagtatapos sa mismong appliance, hindi sa isang panloob na server.

Isulat ang limang field bago isulat ang utos

Para sa bawat pampublikong entry, itala ang pamilya ng address, ang pampublikong address, ang transport, ang pampublikong port at ang may-ari. Ang may-ari ay alinman sa serbisyong lokal sa ASA o isang isinaling panloob na server. Maaaring magbahagi ng address ang dalawang entry at iba pa rin ang tuple, at maaaring magmukhang magkaiba ang dalawang entry sa diagram habang nagbabanggaan sa appliance.

Magtabi ng pangalawang hanay para sa tunay na port, ang pinakikinggan talaga ng panloob na server. Ang pampublikong port at ang tunay na port ay magkahiwalay na pagpili, at sa sandaling pagsamahin mo ang mga ito sa isang hanay, nawawala ang kakayahang basahin ang sarili mong salin mamaya.

Basahin nang tama ang tunay at ang nakamapa na mga posisyon

Magsimula sa tuple na mayroon ka na, hindi sa server na gusto mong idagdag. Ang isang ilustratibong paghahati ay nagpapanatili ng aprubadong entry ng VPN sa pampublikong TCP 443 at naglalathala ng DMZ HTTPS server sa pampublikong TCP 8443 habang ang server na iyon ay patuloy na nakikinig sa 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Sa naka-deploy na utos, ang tunay na serbisyo at ang nakamapa na serbisyo ay nasa fixed na posisyon, at ang pagbaliktad sa kanila ay naglalarawan ng ibang mapping, hindi isang sirang. Ito ang pinakakaraniwang paraan na ang gumaganang salin ay nagiging palaisipan: wasto ang configuration, itinuturo lamang nito ang ibang lugar.

Ang gabay sa NAT ng ASA 9.16 mula sa Cisco ay nagdodokumento ng static na PAT, paggamit ng address ng interface at mga kahulugan ng tunay kumpara sa nakamapa na port. Basahin ang seksyon para sa release na talagang pinapatakbo mo; ang utos na naalala mula sa mas lumang platform ay hindi kumpletong kasalukuyang configuration.

Bilangin ang transport bilang bahagi ng reserbasyon

Ang TCP 443 at UDP 443 ay magkaibang tuple, at ang pagkakaibang iyon ay hindi nagbibigay sa iyo ng UDP nang libre. Ang isang VPN ay maaaring may hiwalay na TLS at DTLS na tagapakinig, at ang ibang naka-configure na serbisyo ay maaaring may hawak na ng transport na gusto mo. Iimbentaryo ang mga epektibong tagapakinig at ang patakaran sa access sa halip na ipagpalagay na ang web page ay ang buong entry ng VPN.

Ang pangalawang hostname na nagre-resolve sa parehong address ay hindi rin lumulutas ng banggaan sa antas ng transport. Ang DNS ay mapping ng pangalan sa address, hindi broker ng port, at ang paglathala ng server sa pamamagitan ng PAT ay hindi parehong operasyon sa paglipat ng tagapakinig ng VPN sa ibang port.

Kung ang entry ng VPN ay talagang kailangang lumipat, apat na bagay ang nagbabago nang sabay: ang profile ng kliyente, ang pampublikong URL, ang pagsasala sa upstream at bawat transport na ginagamit ng deployment. Gawin ang mga ito sa isang window sa halip na isa-isa. Panatilihing bukas ang hiwalay na landas ng pamamahala patungo sa appliance bago mo hawakan ang serbisyong ginagamit mo upang maabot ito. Kung walang pangalawang landas, ang paglipat ay isang pagbabagong hindi mo maibabalik mula sa labas.

I-verify mula sa labas gamit ang mga bagong koneksyon

Pahintulutan lamang ang inilaan na aplikasyon ng DMZ sa ilalim ng epektibong patakaran sa access, pagkatapos suriin ang tumutugmang pagkakasunod-sunod ng salin, ang daan ng pagbabalik ng server at ang hostname sa sertipiko. Binabago ng PAT ang destinasyon ng network; hindi ito nagbibigay ng access sa aplikasyon at hindi nito inaayos ang sertipikong may ibang host.

Subukan ang dalawang serbisyo gamit ang mga bagong koneksyon mula sa awtorisadong panlabas na host: dapat pa ring mag-establis ang VPN, at dapat maabot ng kahilingan ng DMZ ang inilaang tagapakinig. Ang naitatag na session ay maaaring magpanatili ng dating estado, kaya wala itong pinapatunayan tungkol sa mapping na binago mo isang minuto ang nakalipas.

Isara ang loop sa pamamagitan ng pag-update ng imbentaryo ng entry gamit ang na-deploy mo, kasama ang anumang tagapakinig na natuklasan mo sa halip na nilikha. Ang susunod na taong maglalathala ng serbisyo sa address na iyon ay magsisimula sa iyong talahanayan, at ang maling hilera doon ay mas mahal kaysa sa maling utos dito.