Biraz 'kemer ve diş teli' yapılandırma planlaması.
Arka fon:
Uzak veri merkezimize başarılı bir siteden siteye VPN bağlantımız var.
Uzak 'korumalı' ağ ayrıca güvenlik duvarı üzerinden Internet'e bakan uç noktalar olarak açılan IP ağ aralığıdır.
Böylece : VPN kullanıyoruz, böylece halka açık olmayan uç noktalara erişebiliyoruz.
Sorun Bildirimi :
VPN bağlantısı kesilirse, Internet uç noktaları uzak güvenlik duvarı üzerinden kullanılabilir olsa bile ASA trafiği düşürür.
Soru :
VPN kapalıyken VPN'yi trafiği normal giden trafik olarak 'geçirecek' şekilde nasıl yapılandırabilirim.
Yapılandırmanın ilgili bölümleri.
crypto map vpn-crypto-map 20 match address remdc-vpn-acl
crypto map vpn-crypto-map 20 set peer a.b.c.d
crypto map vpn-crypto-map 20 set transform-set remdc-ipsec-proposal-set
crypto map vpn-crypto-map interface outside
Trafiği eşleştirmek için ACL çok ilkeldir: özel ve uzak iki ağ nesnesini ağ nesneleri olarak ifade eder.
access-list remdc-vpn-acl extended permit ip object <private> object <remote> log
Ve ilkel bir diyagram.
INTERNET
x
x
REM DC 203.000.113.000/24 xx HQ 192.168.001.000/24
x
+---------------+ x +-----------+
| REMOTE DC | xx | |
| ASA e xxx | ASA 5505 |
+----------+ | xx | +-----------------+
^ | e<-------------------------------------+ |
| | | xxxx | |
| | e xxxx | ~ |
| | | xx | | |
| | | xx +----vpn----+
| | | x |
\-------vpn-------------vpn--------------------------------------/
| | xxx
+---------------+ xx
xxx
xx
xxxx
e = public Internet x
server endpoint
Teşekkürler
soymak
01 Güncellemesi
Aşağıdaki yorumlarda daha kesin bir EKL tartışılmıştır (teşekkürler)
İki ACLS öngörebilirim. (A) TÜM uzak ağa izin verir ve daha sonra Internet üzerinden zaten mevcut olan uç noktaları reddeder. ve (B) sadece gerektiğinde yönetimi / enstrümanı açar.
(B) ile ilgili sorun, WMI ve Windows RPC gibi uç noktaların ifade edilmesinin standart sunucu konfisi düzeltilmeden pratik olmamasıdır)
Yani, belki (A) uzak güvenlik duvarı yapılandırmasının tersi olan en iyi yaklaşımdır .
Güncelleme 02
Mike, ASA'nın daha fazla ios yapılandırmasını görmek istedi.
Aşağıdakiler, HQ sahasında bulunan HQ ASA içindir. Uzak DC olanı veri merkezi sağlayıcısının kontrolü altındadır ve bu yüzden bunun nasıl yapılandırılabileceği hakkında yorum yapamam.
Gösterilecek pek bir şey yok: İnternet ağ geçidine giden bir varsayılan yol vardır ve başka hiçbir spesifik yol yoktur.
route outside 0.0.0.0 0.0.0.0 HQInetGateway 1
Arayüzler çok basit. Sadece temel IPv4 yapılandırması ve grubu 1 dış arabirime ve 1 iç arabirime bölmek için vlans.
interface Vlan1
nameif inside
security-level 100
ip address 10.30.2.5 255.255.255.0
!
interface Vlan2
nameif outside
security-level 0
ip address 194.28.139.162 255.255.255.0
!
Şerefe, Rob