ASA: tek bir genel IP üzerinde VPN portu ve DMZ statik PAT

İki hizmet, tek bir genel adres ve port ayırıyormuş gibi görünen bir DNS adı. Ayırmıyor. ASA üzerinde VPN girişinin yanında bir DMZ sunucusu yayımlamadan önce giriş demetlerini yazın ve sırayla denetleyin; mevcut bir hizmetle eşleşen ilk alan, planın durduğu yerdir. Aşağıdakilerin tümü VPN'in iç sunucuda değil, cihazın kendisinde sonlandığını varsayar.

Komutu yazmadan önce beş alanı yazın

Her genel giriş için adres ailesini, genel adresi, taşımayı, genel portu ve sahibini kaydedin. Sahibi ya ASA yerel bir hizmet ya da çevrilmiş bir iç sunucudur. İki giriş bir adresi paylaşıp yine de farklı demetler olabilir ve iki giriş bir şemada farklı görünürken cihazda çakışabilir.

Gerçek port için ikinci bir sütun tutun; iç sunucunun gerçekten dinlediği port. Genel port ile gerçek port bağımsız seçimlerdir ve ikisini tek sütunda birleştirdiğiniz anda kendi çevirinizi sonradan okuma yeteneğini kaybedersiniz.

Gerçek ve eşlenmiş konumları doğru okuyun

Eklemek istediğiniz sunucudan değil, elinizde zaten olan demetten başlayın. Örnek bir bölünme, onaylanmış VPN girişini genel TCP 443 üzerinde tutar ve genel TCP 8443 üzerinde bir DMZ HTTPS sunucusu yayımlar, o sunucu 443 üzerinde dinlemeye devam eder:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

Dağıtılmış komutta gerçek hizmet ile eşlenmiş hizmet sabit konumlarda durur ve bunları tersine çevirmek bozuk değil, farklı bir eşleme anlatır. Çalışan bir çevirinin bulmacaya dönüşmesinin en yaygın yolu budur: yapılandırma geçerlidir, yalnızca başka bir yeri işaret eder.

Cisco ASA 9.16 NAT kılavuzu statik PAT'ı, arayüz adresinin kullanımını ve gerçek ile eşlenmiş port anlamlarını belgeler. Gerçekten çalıştırdığınız sürümün bölümünü okuyun; daha eski bir platformdan hatırlanan komut eksiksiz bir güncel yapılandırma değildir.

Taşımayı rezervasyonun parçası olarak sayın

TCP 443 ve UDP 443 farklı demetlerdir ve bu fark size UDP'yi bedava vermez. Bir VPN'in ayrı TLS ve DTLS dinleyicileri olabilir ve diğer yapılandırılmış hizmetler istediğiniz taşımayı zaten tutuyor olabilir. Web sayfasının tüm VPN girişi olduğunu varsaymak yerine etkin dinleyicileri ve erişim ilkesini envanterleyin.

Aynı adrese çözümlenen ikinci bir ana bilgisayar adı da taşıma düzeyindeki çakışmayı çözmez. DNS bir ad-adres eşlemesidir, port simsarı değildir ve bir sunucuyu PAT üzerinden yayımlamak, VPN dinleyicisini başka bir porta taşımakla aynı işlem değildir.

VPN girişi gerçekten taşınmak zorundaysa dört şey birlikte değişir: istemci profili, genel URL, yukarı akış filtrelemesi ve dağıtımın kullandığı her taşıma. Bunları tek tek değil, tek pencerede yapın. Ona ulaşmak için kullandığınız hizmete dokunmadan önce cihaza giden ayrı bir yönetim yolunu açık tutun. İkinci bir yol olmadan taşıma, dışarıdan geri alamayacağınız bir değişikliktir.

Dışarıdan yeni bağlantılarla doğrulayın

Etkin erişim ilkesi altında yalnızca amaçlanan DMZ uygulamasına izin verin, ardından eşleşen çeviri sırasını, sunucunun dönüş yolunu ve sertifikadaki ana bilgisayar adını denetleyin. PAT ağ hedefini değiştirir; uygulama erişimi vermez ve başka bir ana bilgisayarı adlandıran sertifikayı onarmaz.

Her iki hizmeti yetkili bir dış ana bilgisayardan yeni bağlantılarla test edin: VPN hâlâ kurulmalı ve DMZ isteği amaçlanan dinleyicisine ulaşmalıdır. Kurulmuş bir oturum önceki durumu koruyabilir, bu yüzden bir dakika önce değiştirdiğiniz eşleme hakkında hiçbir şey kanıtlamaz.

Döngüyü, dağıttığınız şeyle giriş envanterini güncelleyerek kapatın; oluşturmadığınız, keşfettiğiniz her dinleyici dâhil. O adreste bir sonraki hizmeti yayımlayacak kişi sizin tablonuzdan başlayacak ve oradaki yanlış satır buradaki yanlış komuttan daha pahalıdır.