การวางแผนการตั้งค่าบิตของสายพานและเหล็กดัด
พื้นหลัง:
เรามีลิงค์ VPN ระหว่างไซต์ถึงศูนย์ข้อมูลระยะไกลของเราที่ประสบความสำเร็จ
เครือข่าย 'ป้องกัน' ระยะไกลยังเป็นช่วงเครือข่าย IP ที่เปิดขึ้นผ่านไฟร์วอลล์เมื่ออินเทอร์เน็ตหันเข้าหาปลายทาง
ดังนั้น : เราใช้ VPN เพื่อให้เราสามารถเข้าถึงจุดปลายที่ไม่เป็นสาธารณะได้
คำชี้แจงปัญหา :
หากการเชื่อมโยง VPN ขัดข้อง ASA จะลดทราฟฟิกแม้ว่าจุดปลายอินเทอร์เน็ตจะยังคงสามารถใช้งานได้ผ่านไฟร์วอลล์ระยะไกล
คำถาม :
ฉันจะกำหนดค่า VPN เพื่อ 'ส่ง' ปริมาณการใช้งานเป็นปริมาณการใช้ขาออกปกติได้อย่างไรเมื่อ VPN ไม่ทำงาน
นี่คือเซ็กเมนต์ที่เกี่ยวข้องของการกำหนดค่า
crypto map vpn-crypto-map 20 match address remdc-vpn-acl
crypto map vpn-crypto-map 20 set peer a.b.c.d
crypto map vpn-crypto-map 20 set transform-set remdc-ipsec-proposal-set
crypto map vpn-crypto-map interface outside
ACL สำหรับทราฟฟิกที่ตรงกันนั้นดั้งเดิมมาก: มันระบุเครือข่ายสองเครือข่ายส่วนตัวและระยะไกลซึ่งแสดงเป็นวัตถุเครือข่าย
access-list remdc-vpn-acl extended permit ip object <private> object <remote> log
และแผนภาพดึกดำบรรพ์
INTERNET
x
x
REM DC 203.000.113.000/24 xx HQ 192.168.001.000/24
x
+---------------+ x +-----------+
| REMOTE DC | xx | |
| ASA e xxx | ASA 5505 |
+----------+ | xx | +-----------------+
^ | e<-------------------------------------+ |
| | | xxxx | |
| | e xxxx | ~ |
| | | xx | | |
| | | xx +----vpn----+
| | | x |
\-------vpn-------------vpn--------------------------------------/
| | xxx
+---------------+ xx
xxx
xx
xxxx
e = public Internet x
server endpoint
ขอบคุณ
ปล้น
อัพเดท 01
ACL ที่แม่นยำยิ่งขึ้นได้ถูกกล่าวถึงในความคิดเห็นด้านล่าง (ด้วยความขอบคุณ)
ฉันสามารถมองเห็นสอง ACLS (A) ซึ่งอนุญาตให้ ALL ไปยังเครือข่ายระยะไกลและปฏิเสธจุดปลายทางที่มีอยู่แล้วบนอินเทอร์เน็ต และ (B) ซึ่งเปิดขึ้นเพียงการจัดการ / เครื่องมือตามที่ต้องการ
ปัญหาของ (B) คือการแสดงจุดสิ้นสุดเช่น WMI & Windows RPC ทำไม่ได้โดยไม่ต้องปรับแต่งเซิร์ฟเวอร์มาตรฐาน)
ดังนั้นอาจจะ (ก) เป็นวิธีที่ดีที่สุดที่จะกลายเป็นความผกผันของระยะไกลไฟร์วอลล์การตั้งค่า
อัพเดท 02
Mike ขอให้ดูการกำหนดค่า iOS ของ ASA ให้มากขึ้น
สิ่งต่อไปนี้สำหรับ HQ ASA ซึ่งอยู่ที่ไซต์ HQ DC หนึ่งรีโมตอยู่ภายใต้การควบคุมของผู้ให้บริการศูนย์ข้อมูลดังนั้นฉันจึงไม่สามารถให้ความเห็นเกี่ยวกับวิธีการกำหนดค่าได้อย่างแม่นยำ
มีไม่มากที่จะแสดง: มีเส้นทางเริ่มต้นหนึ่งเส้นทางไปยังเกตเวย์อินเทอร์เน็ตและไม่มีเส้นทางเฉพาะอื่น ๆ
route outside 0.0.0.0 0.0.0.0 HQInetGateway 1
การเชื่อมต่อนั้นธรรมดามาก เฉพาะการกำหนดค่า IPv4 พื้นฐานและ vlans เพื่อแบ่งกลุ่มออกเป็น 1 อินเตอร์เฟสภายนอกและ 1 อินเทอร์เฟซภายใน
interface Vlan1
nameif inside
security-level 100
ip address 10.30.2.5 255.255.255.0
!
interface Vlan2
nameif outside
security-level 0
ip address 194.28.139.162 255.255.255.0
!
ไชโยร็อบ