Публичный диапазон IP-адресов Cisco ASA
Мы пытаемся использовать Cisco ASA в качестве VPN, а также перенаправлять трафик на два сервера.
Наш провайдер предоставил нам ряд IP-адресов, которые являются последовательными. 154.223.252.146-149 GW по умолчанию 154.223.252.145, мы используем маску сети 255.255.255.240
У нас есть первый из них, 154.223.252.146, назначенный внешнему интерфейсу нашего ASA, и он успешно размещает наш VPN-сервис. Работает отлично.
Следующая и последняя цель состоит в том, чтобы 154.223.252.147 пересылать трафик https 10.1.90.40 и 154.223.252.148 пересылать трафик https 10.1.94.40.
Наш текущий блокировщик - наша неспособность заставить внешний интерфейс ASA ответить на эти IP-адреса.
Мы смогли использовать 154.223.252.146 для правильной пересылки трафика https. Итак, мы знаем, что работает.
Я подключил свой ноутбук к коммутатору от нашего интернет-провайдера и успешно вручную назначил 154.223.252.147 и 154.223.252.148 со значением gw по умолчанию 154.223.252.145 и был успешно подключен. Итак, мы знаем, что IP есть и доступны, нам просто нужно убедить ASA ответить на них и использовать их для пересылки https.
Мы пробовали подключать кабели от коммутатора к другим интерфейсам брандмауэра. Это не удалось, потому что маска сети перекрывается с нашим первым внешним интерфейсом 154.223.252.146 255.255.255.240, Cisco это ненавидит и не позволяет.
Мы прочитали документацию и узнали, что можно назначить диапазон IP-адресов интерфейсу ouside, определив vlan. Мы не знаем, как успешно это сделать, и наши попытки провалились.
Каков наилучший способ выполнить эту конфигурацию с Cisco ASA?
2 ответа
Вам не нужно назначать несколько IP-адресов из одного диапазона более чем одному интерфейсу. Это не работает с Cisco. Вместо этого попробуйте статический NAT «один к одному» для вашего веб-сервера и завершите трафик VPN на IP-адресе, назначенном интерфейсу.
Посмотрите это видео для NAT один в один:
У Cisco есть активная технология сканирования, которая была включена на этом ASA. Мы смогли диагностировать это по прерывистому плохому поведению. После достаточно продолжительного устранения неполадок мы поняли, что некоторые действия не могут соответствовать изменениям, которые мы вносим. Поэтому мы начали искать вещи, которые брандмауэр будет пытаться делать сам по себе. Это помогло нам сузить его. Отключение активного сканирования позволило работать нашим внешним конфигурациям vlan. Теперь перейдем к ужесточению конфигов.