Перейти к содержимому
Калькуляторы

ASA доступ в интернет через VPN

Добрый день всем! Подскажите пожалуйста,есть ASA с настроенным Ipsec. Туппель поднимается,клиенты снаружи пингуют внутренню сеть за VPN шлюзом,но в интренет выйти не могут,все внешние IP недоступны. Я думаю что надо дописывать ACL, но как правльно написать не знаю. И еще проблема,почему то не резолвятся внутрение имена внутренних ПК.Подскажеите пожалуйста.

running-config_F.cfg.txt

Изменено пользователем DenP

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
21 minutes ago, zhenya` said:

nat правило нужно.

А может у вас есть пример,япытался но что то не идут пинги,чего то не понимаю?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
47 minutes ago, zhenya` said:

nat правило нужно.

Спасибо разобрался заработало.А по поводу того что не резолвятся имена ПК можете подсказать куда копать?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
18 minutes ago, zhenya` said:

192.168.1.2 что-то видимо на этой узле не так.

ок,посмотрю,спасибо за отзывчивость!

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

@DenP а можно, для истории, прикрепить работающий с НАТом конфиг

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
13 hours ago, guеst said:

@DenP а можно, для истории, прикрепить работающий с НАТом конфиг

да,на выходных выложу

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
On 06.09.2018 at 2:48 PM, zhenya` said:

nat правило нужно.

Проверил как мое правило работает,в итоге не очень,при перезагрузки ASA либо впн разваливается либо нат. Подскажите пожалуйста как правило настроить ASA?

Изменено пользователем DenP

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Надо из NAT исключать адреса самого VPN - тот пул, что отдается клиентам. Правила NAT отрабатывают ДО политик VPN, и если просто включить NAT, да еще и на том же интерфейсе. на который пакеты VPN прилетают, то пакеты в сторону клиентов VPN будут прекрасно заворачиваться в NAT и до клиентов не долетать. Я уже плохо помню, На ISR делается ACL и правило policy, на ASA раньше был спецхинт route-lookup в правил NAT, который заставлял роутер сперва смотреть назначение пакета, а уж потом решать, NATить его, или нет. 

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
5 hours ago, jffulcrum said:

Надо из NAT исключать адреса самого VPN - тот пул, что отдается клиентам. Правила NAT отрабатывают ДО политик VPN, и если просто включить NAT, да еще и на том же интерфейсе. на который пакеты VPN прилетают, то пакеты в сторону клиентов VPN будут прекрасно заворачиваться в NAT и до клиентов не долетать. Я уже плохо помню, На ISR делается ACL и правило policy, на ASA раньше был спецхинт route-lookup в правил NAT, который заставлял роутер сперва смотреть назначение пакета, а уж потом решать, NATить его, или нет. 

Дело в том,что в группе НАТ "object-group network nat1" пула адресов ВПН нет.  route-lookup на правиле НАТ не дает прописать

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
On 08.09.2018 at 1:20 PM, jffulcrum said:

Надо из NAT исключать адреса самого VPN - тот пул, что отдается клиентам. Правила NAT отрабатывают ДО политик VPN, и если просто включить NAT, да еще и на том же интерфейсе. на который пакеты VPN прилетают, то пакеты в сторону клиентов VPN будут прекрасно заворачиваться в NAT и до клиентов не долетать. Я уже плохо помню, На ISR делается ACL и правило policy, на ASA раньше был спецхинт route-lookup в правил NAT, который заставлял роутер сперва смотреть назначение пакета, а уж потом решать, NATить его, или нет. 

вроде опять заработало,впн не рушится,пинги есть. Конфиг во вложении.Спасибо!

ipsec.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Войти

Уже зарегистрированы? Войдите здесь.

Войти сейчас