ASA: порт VPN і статичний PAT для DMZ на одній публічній IP

Дві служби, одна публічна адреса й ім'я DNS, яке нібито резервує порт. Не резервує. Перш ніж опублікувати сервер DMZ поряд із записом VPN на ASA, запишіть кортежі записів і перевірте їх по порядку; перше поле, що збігається з наявною службою, - це місце, де план зупиняється. Усе нижче припускає, що VPN завершується на самому пристрої, а не на внутрішньому сервері.

Запишіть п'ять полів, перш ніж писати команду

Для кожного публічного запису зафіксуйте родину адрес, публічну адресу, транспорт, публічний порт і власника. Власник - або локальна служба ASA, або трансляційний внутрішній сервер. Два записи можуть ділити адресу й при цьому бути різними кортежами, а два записи можуть виглядати по-різному на схемі й зіштовхуватися на пристрої.

Тримайте другий стовпець для реального порту - того, на якому внутрішній сервер справді слухає. Публічний порт і реальний порт - незалежні вибори, і в момент, коли ви зливаєте їх в один стовпець, ви втрачаєте можливість згодом прочитати власний переклад.

Читайте реальні та зіставлені позиції правильно

Почніть із кортежу, який у вас уже є, а не із сервера, який хочете додати. Ілюстративний поділ залишає схвалений запис VPN на публічному TCP 443 і публікує сервер DMZ HTTPS на публічному TCP 8443, поки цей сервер продовжує слухати на 443:

Public TCP 443  -> ASA VPN listener
Public TCP 8443 -> DMZ server TCP 443

У розгорнутій команді реальна служба й зіставлена служба стоять на фіксованих позиціях, і їх перестановка описує інше зіставлення, а не зламане. Це найпоширеніший спосіб, яким робочий переклад перетворюється на головоломку: конфігурація чинна, вона просто вказує в інше місце.

Посібник ASA 9.16 NAT від Cisco описує статичний PAT, використання адреси інтерфейсу та значення реального й зіставленого порту. Прочитайте розділ для тієї версії, яку ви справді запускаєте; команда, запам'ятована зі старішої платформи, не є повною поточною конфігурацією.

Рахуйте транспорт частиною резервування

TCP 443 і UDP 443 - різні кортежі, і ця різниця не дає вам UDP безплатно. У VPN можуть бути окремі слухачі TLS і DTLS, а інші налаштовані служби можуть уже тримати потрібний вам транспорт. Зведіть у таблицю фактичні слухачі й політику доступу, замість вважати вебсторінку всім записом VPN.

Друге ім'я хоста, що розв'язується в ту саму адресу, також не вирішує конфлікт на рівні транспорту. DNS - це зіставлення імені в адресу, а не брокер портів, і публікація сервера через PAT - не та сама операція, що переміщення слухача VPN на інший порт.

Якщо запис VPN справді має переїхати, чотири речі змінюються разом: профіль клієнта, публічний URL, фільтрація вище за потоком і кожен транспорт, який використовує розгортання. Зробіть їх в одному вікні, а не по одному. Тримайте окремий шлях керування до пристрою відкритим, перш ніж торкатися служби, через яку ви до нього дістаєтеся. Без другого шляху переїзд - це зміна, яку не можна скасувати ззовні.

Перевіряйте ззовні новими з'єднаннями

Дозвольте лише передбачений застосунок DMZ у межах чинної політики доступу, потім перевірте відповідний порядок трансляції, зворотний шлях сервера й ім'я хоста в сертифікаті. PAT змінює мережеве призначення; він не дає доступу до застосунку й не виправляє сертифікат, у якому названо інший хост.

Перевірте обидві служби новими з'єднаннями з авторизованого зовнішнього хоста: VPN має й далі встановлюватися, а запит DMZ має доходити до свого передбаченого слухача. Установлена сесія може зберігати попередній стан, тому вона нічого не доводить про зіставлення, яке ви змінили хвилину тому.

Замкніть цикл, оновивши реєстр записів тим, що ви розгорнули, включно з кожним слухачем, який ви виявили, а не створили. Наступна людина, яка опублікує службу на цій адресі, почне з вашої таблиці, і неправильний рядок там коштує дорожче, ніж неправильна команда тут.