Cisco IPSec 사이트 간 VPN. VPN이 다운 된 경우 트래픽 허용


9

'벨트 및 버팀대'구성 계획의 비트.

배경:

원격 데이터 센터에 대한 사이트 간 VPN 링크가 성공적으로 완료되었습니다.

원격 '보호 된'네트워크는 방화벽을 통해 인터넷을 향한 엔드 포인트로 열리는 IP 네트워크 범위이기도합니다.

따라서 : 우리는 VPN을 사용하여 비공개 엔드 포인트에 액세스 할 수 있습니다.

문제 설명 :

VPN 링크가 작동 중지되면 ASA는 인터넷 엔드 포인트가 원격 방화벽을 통해 여전히 사용 가능하더라도 트래픽을 삭제합니다.

질문 :

VPN이 다운되었을 때 트래픽을 일반 발신 트래픽으로 '통과'하도록 VPN을 구성하는 방법

구성의 관련 세그먼트는 다음과 같습니다.

crypto map vpn-crypto-map 20 match address remdc-vpn-acl
crypto map vpn-crypto-map 20 set peer a.b.c.d 
crypto map vpn-crypto-map 20 set transform-set remdc-ipsec-proposal-set
crypto map vpn-crypto-map interface outside

트래픽 일치를위한 ACL은 매우 원시적입니다. 개인 및 원격의 두 네트워크를 네트워크 개체로 표시합니다.

access-list remdc-vpn-acl extended permit ip object <private> object <remote> log 

그리고 원시 다이어그램.

                                     INTERNET
                                                x
                                                x
REM DC 203.000.113.000/24                      xx                       HQ 192.168.001.000/24
                                               x
           +---------------+                  x               +-----------+
           | REMOTE DC     |                 xx               |           |
           | ASA           e               xxx                | ASA 5505  |
+----------+               |              xx                  |           +-----------------+
   ^       |               e<-------------------------------------+       |
   |       |               |              xxxx                |           |
   |       |               e                 xxxx             |     ~     |
   |       |               |                    xx            |     |     |
   |       |               |                     xx           +----vpn----+
   |       |               |                      x                 |
   \-------vpn-------------vpn--------------------------------------/
           |               |                   xxx
           +---------------+                  xx
                                           xxx
                                          xx
                                       xxxx
    e = public Internet                x
        server endpoint

감사

업데이트 01

보다 정확한 ACL은 아래 의견에서 논의되었습니다 (감사합니다)

두 개의 ACL을 구상 할 수 있습니다. (A) 모든 원격 네트워크에 허용하고 인터넷을 통해 이미 사용 가능한 끝점을 거부합니다. 그리고 (B) 필요에 따라 관리 / 계기 장을 연다.

(B)의 문제는 WMI 및 Windows RPC와 같은 엔드 포인트를 표현하는 것이 표준 서버 conf를 조정하지 않으면 비실용적입니다)

따라서 아마도 (A)가 원격 방화벽 구성 과 반대되는 가장 좋은 방법 일 것 입니다.

업데이트 02

Mike는 ASA의 ios 구성에 대한 추가 정보를 요청했습니다.

다음은 본사 사이트에있는 본사 ASA에 대한 것입니다. 원격 DC 하나는 데이터 센터 공급자의 통제하에 있으므로 어떻게 구성 할 수 있는지에 대해서는 정확하게 언급 할 수 없습니다.

인터넷 게이트웨이에 대한 기본 경로는 하나 뿐이며 다른 특정 경로는 없습니다.

route outside 0.0.0.0 0.0.0.0 HQInetGateway 1

인터페이스는 매우 기본적입니다. 기본 IPv4 구성 및 VLAN 만 그룹을 외부 인터페이스 1 개와 내부 인터페이스 1 개로 그룹화합니다.

interface Vlan1
 nameif inside
 security-level 100
 ip address 10.30.2.5 255.255.255.0
!
interface Vlan2
 nameif outside
 security-level 0
 ip address 194.28.139.162 255.255.255.0
!

건배, 롭


VPN이 다운되었을 때 개인 주소에 액세스 하려는지 확실하지 않습니다.
radtrentasei

연결 다이어그램을 제공 할 수 있습니까? 우리가 제공하는 솔루션은 특정 레이아웃 및 장비에 따라 달라질 수 있습니다.
Brett Lykins

소위 "보호 된"네트워크는 실제로 퍼블릭 IP 세그먼트입니다. 방화벽이지만 NAT가 아닙니다. VPN이 작동 중지 된 경우에도 공용 엔드 포인트에 여전히 액세스 할 수 있어야합니다.
Rob Shepherd

1
보다 정확한 ACL이 아마도 가장 좋은 방법 일 것입니다. VPN 내부에 GRE 터널을 만들 수도 있지만 더 많은 하드웨어가 필요합니다. ACL에 대한 자세한 내용을 게시하면 도움이 될 수 있습니다. 무고한 사람들을 보호하기 위해 처음 두 자리를 바꿀까요?
Ron Trunk

1
Rob, ASA 구성에 대해 더 알려줄 수 있습니까? 특히 라우팅 / 인터페이스 구성은 다음과 같이 유용합니다.
Mike Pennington

답변:


2

나는 이것이 실용적이지 않다는 의견을 가지고있다. 적어도 우리의 특정 시나리오에서는.

"터널로의 트래픽"이 HQ와 RemoteDC 사이의 ACL에 의해 선택되고 (따라서 원하는대로 복잡하게 만들 수 있음), 반대의 "경로"(따라서 말하면)로 인해이 체계가 더욱 복잡해집니다. 원격 쪽의 VPN 집중 장치는 전체 HQ 네트워크를 보호 된 네트워크로 선택합니다.

결과는 균형이 맞지 않으며 정방향 및 역방향 xlates가 일치하지 않는 것 같습니다. NAT가 어느 시점에서 재생 중이므로 트래픽이 실패하게하는 정방향 및 역방향 경로와 유사합니다.

본질적으로 이것은 "너무 높은 기술적 위험"으로 폐기되고 있으며 솔루션이되기 전에 훨씬 더 많은 평가와 원격 엔드에 대한 더 많은 제어가 필요합니다.

이것을 살펴 보신 모든 분들께 감사드립니다.


후속 감사합니다 ... ipsec을 통한 동적 라우팅 프로토콜을 갖춘 솔루션을 찾을 수 있기를 바랍니다. 나는이 솔루션에 대한 직접적인 경험이 없다고 고백해야합니다.
Mike Pennington

0

각 ASA 내부에 라우터가 있거나 라우터를 설치할 수있는 경우 암호화 된 GRE 터널을 생성하고 라우팅 또는 부동 정적을 사용하여 인터넷에 장애를 일으킬 수 있습니다.

당사 사이트를 사용함과 동시에 당사의 쿠키 정책개인정보 보호정책을 읽고 이해하였음을 인정하는 것으로 간주합니다.
Licensed under cc by-sa 3.0 with attribution required.