Cisco ASA 사이트 간 VPN 장애 조치

최근 국제 MPLS를 새로운 ASA 5510 및 사이트 간 VPN으로 교체했습니다. 그러나 우리가 이것을 배포 할 때 각 원격 위치에 중복성을 위해 2 개의 ISP가있는 문제가 발생했지만 두 인터페이스에서 VPN을 활성화하면 두 인터페이스 사이에서 VPN이 퍼지고 터널이 찢어지고 움직일 때 터널이 위아래로 움직입니다. ISP. 시스코는 현재 8 개월 동안이 작업을 해왔으며 여러 ISP를 보유한 안정적인 터널은 아직 없습니다.

원격 사무실 :

access-list RWS_TUNNEL remark Interesting traffic for IND-RWS tunnel
access-list RWS_TUNNEL extended permit ip object-group BNG_tunnel_NETS object-group CORP_tunnel_NETS
crypto map RWS_TUNNEL 1 match address RWS_TUNNEL
crypto map RWS_TUNNEL 1 set peer 216.xxx.102.2 
crypto map RWS_TUNNEL 1 set transform-set IND-RWS
tunnel-group 216.xxx.102.2 type ipsec-l2l
tunnel-group 216.xxx.102.2 ipsec-attributes
 pre-shared-key *****


route outside 0.0.0.0 0.0.0.0 216.xxx.206.1 1 track 2
route outside2 0.0.0.0 0.0.0.0 182.xxx.26.229 100
sla monitor 55
 type echo protocol ipIcmpEcho 63.251.61.142 interface outside
 num-packets 5
 timeout 1000
 frequency 10
sla monitor schedule 55 life forever start-time now
track 2 rtr 55 reachability

중앙 사무소 :

access-list BNG_TUNNEL remark Interesting traffic for IND-RWS tunnel
access-list BNG_TUNNEL extended permit ip object-group CORP_tunnel_NETS object-group BNG_tunnel_NETS 

route outside2 0.0.0.0 0.0.0.0 216.xxx.102.1
crypto map BNG_TUNNEL 1 match address BNG_TUNNEL
crypto map BNG_TUNNEL 1 set peer 182.xxx.26.230 216.xxx.206.4
crypto map BNG_TUNNEL 1 set transform-set L2L

tunnel-group 182.xxx.26.230 type ipsec-l2l
tunnel-group 182.xxx.26.230 ipsec-attributes
 pre-shared-key *****
tunnel-group 216.xxx.206.4 type ipsec-l2l
tunnel-group 216.xxx.206.4 ipsec-attributes
 pre-shared-key *****

내가 찾은 것은 ISAKMP가 외부 인터페이스 (원격 사무실) 모두에서 활성화되고 두 IP가 피어 (중앙 사무실)로 구성되면 VPN이 두 인터페이스에서 성공적으로 생성되지만 어느 시점에서 IP 사이에서 플 래핑이 시작된다는 것입니다. 이는 SLA 모니터링이 있거나없는 경우에 해당되므로 경로가 모두 정적 인 경우에도 여전히 동작이 발생합니다.

모든 통찰력을 부탁드립니다.

이런 이유로 정책 기반 VPN에서 사이트를 마이그레이션하고 있습니다. 장애 조치 동작과 관련하여 정책 기반 VPN이 너무 예측할 수 없습니다. 포인트 투 포인트 또는 DMVPN과 같은 경로 기반 IPsec 터널을 선호합니다. 안타깝게도 ASA 플랫폼은 여전히 ​​경로 기반 터널을 지원하지 않습니다.

DMVPN 솔루션을 사용하여 ASA간에 L2L (Lan-to-Lan) IPSec 터널을 통해 원격 사이트를 연결하는 것이 좋습니다. DMVPN 솔루션은 훨씬 쉽고 깨끗하며 스포크 간 통신도 가능합니다.

될 수 있습니다 :

CSCub92666

ASA : 스위치 오버시 이전 연결로 IPSEC VPN 터널 분리

증상 : ASA의 IPsec VPN 터널 장애 조치 구성에서 기본 링크에서 백업 링크로 장애 조치가 작동합니다. 그러나 백업에서 기본 링크 VPN 터널로의 두 번째 장애 조치 후 몇 분 안에 플 래핑이 시작되고 불안정하게 유지됩니다. 이전 남은 연결이 여전히 백업 isp를 가리키고 있기 때문에이 동작이 관찰됩니다.

위의 내용에 동의합니다. 간단한 VTI 기반 IPSEC 또는 DMVPN으로 이동하십시오. 터널 내외부에서 다른 라우팅 프로토콜 인스턴스를 실행해야합니다. 예, ASA를 ISR로 교체해야합니다.

두 ISP 모두 단일 본사 ASA로 돌아가고 있습니까? 두 개가 있으면 (적어도 구성을 사용할 수 있음)이 동작이 어떻게 발생하는지 알기가 어렵지만 동일한 ASA (또는 동일한 쌍)이면 관련 될 수 있습니다.

이 질문에 대한 후속 조치로 저는 1 년 이상 Cisco TAC와 협력 해 왔습니다. 그들은 마침내 이것이 ASA 플랫폼이 연결을 처리하는 방식의 버그임을 확인했습니다. 본질적으로 터널을 다른 인터페이스로 옮길 때 한 인터페이스에서 연결을 지우지 않았으며 연결 테이블의 항목이 두 인터페이스에서 모두 보이기 시작하면 제어에서 벗어날 것입니다.

두 개의 ISP가있는 방화벽에 IOS 버전 8.4.7을 배포했으며 실제로 제대로 작동하는 것 같습니다. 기본 인터페이스가 다운되면 페일 오버가 발생하고 해당 인터페이스가 다시 돌아와서 해당 인터페이스에 남아 있으면 페일 오버가 발생합니다. 우리는 볼 수 있습니다.