[dell6400note]: Hỏi về LAB VPN ASA + NAT

@ROOT: Mình đang làm bài Lab liên quan đến VPN client, còn vướng đoạn NAT các port để cho phép VPN client kết nối qua WAN1, và POOL VPN có thể kết nối tới VLAN_SRV như topo dưới đây, bạn chỉ giúp mình nhé:

I. TỔNG QUAN:
1. Mô hình:



2. Yêu cầu:
Mạng INSIDE:
VLAN_CLIENT; VLAN_APP kết nối dc INTERNET, chỉ telnet được SRV1 vùng DMZ.
VLAN_SRV: không kết nối INTERNET, chỉ giao tiếp với port 80 của SRV2, port 3389 của SRV1 trên vùng DMZ.

Mạng DMZ:
Kết nối được INTERNET và public các port 23 tại SRV1; port 1158 tại SRV2 qua WAN1

Mạng OUTSIDE:
Mở VPN client
Nat mạng INSIDE ra INTERNET
Forward các port 23 của SRV1, 1158 của SRV2

WAN1:
Đường chính ra INTERNET
Cho phép VPN client kết nối

WAN2:
Đường dự phòng ra INTERNET
Nat port public ra INTERNET

REMOTE:
Kết nối được các port của DMZ đã public
Kết nối VPN client có thể truy cập VLAN_SRV

II. TRIỂN KHAI:
1. WAN1:
interface FastEthernet0/0
description Connect to INTERNET
ip address 172.16.22.144 255.255.255.0
ip nat outside
!
interface FastEthernet0/1
description Connect to OUTSIDE ASA
ip address 192.168.1.2 255.255.255.0
ip nat inside
standby priority 110
standby 1 ip 192.168.1.254
standby 1 preempt
standby 1 track FastEthernet0/0
!
ip nat inside source list 1 interface FastEthernet0/0 overload
ip nat inside source static udp 192.168.1.1 10000 interface FastEthernet0/0 10000
ip nat inside source static udp 192.168.1.1 50 interface FastEthernet0/0 50
ip nat inside source static esp 192.168.1.1 interface FastEthernet0/0
ip nat inside source static udp 192.168.1.1 500 interface FastEthernet0/0 500
ip nat inside source static udp 192.168.1.1 4500 interface FastEthernet0/0 4500
ip classless
ip route 0.0.0.0 0.0.0.0 172.16.22.1
ip route 10.1.1.0 255.255.255.0 192.168.1.1
ip route 172.16.1.0 255.255.255.0 192.168.1.1
!
access-list 1 permit any
!
end

2.WAN2:
!
interface FastEthernet0/0
description Connect to INTERNET
ip address 172.16.22.244 255.255.255.0
ip nat outside
duplex auto
speed auto
!
interface FastEthernet0/1
description Connect to OUTSIDE ASA
ip address 192.168.1.3 255.255.255.0
ip nat inside
duplex auto
speed auto
standby 1 ip 192.168.1.254
standby 1 preempt
standby 1 track FastEthernet0/0
!
ip nat inside source list 1 interface FastEthernet0/0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 172.16.22.1
ip route 10.1.1.0 255.255.255.0 192.168.1.1
ip route 172.16.1.0 255.255.255.0 192.168.1.1
no ip http server
!
access-list 1 permit any
!
end

3.FW:
!
interface GigabitEthernet0
description Connect to OUTSIDE
nameif OUTSIDE
security-level 0
ip address 192.168.1.1 255.255.255.0
!
interface GigabitEthernet1
description Connect to DMZ
nameif DMZ
security-level 50
ip address 172.16.1.1 255.255.255.0
!
interface GigabitEthernet2
description connect to INSIDE
nameif INSIDE
security-level 100
ip address 10.1.1.1 255.255.255.0
!
ftp mode passive
object network VLAN_CLIENT
subnet 10.10.3.0 255.255.255.0
object network VLAN_APP
subnet 10.10.4.0 255.255.255.0
access-list VPN-ACL extended permit ip 10.1.1.0 255.255.255.0 10.0.0.0 255.255.255.0
access-list VPN-ACL extended permit ip 10.10.4.0 255.255.255.0 10.0.0.0 255.255.255.0
pager lines 24
mtu OUTSIDE 1500
mtu DMZ 1500
mtu INSIDE 1500
ip local pool VPN 10.0.0.10-10.0.0.20 mask 255.255.255.0
no failover
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
!
object network VLAN_CLIENT
nat (INSIDE,OUTSIDE) dynamic 192.168.1.30
object network VLAN_APP
nat (INSIDE,OUTSIDE) dynamic 192.168.1.40
route OUTSIDE 0.0.0.0 0.0.0.0 192.168.1.254 1
route INSIDE 10.10.2.0 255.255.255.0 10.1.1.2 1
route INSIDE 10.10.3.0 255.255.255.0 10.1.1.2 1
route INSIDE 10.10.4.0 255.255.255.0 10.1.1.2 1
!
dynamic-access-policy-record DfltAccessPolicy
!
snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart
crypto ipsec ikev1 transform-set REMOTE esp-3des esp-md5-hmac
crypto dynamic-map MAP 10 set ikev1 transform-set REMOTE
crypto map MYMAP 10 ipsec-isakmp dynamic MAP
crypto map MYMAP interface OUTSIDE
no crypto isakmp nat-traversal
crypto ikev1 enable OUTSIDE
crypto ikev1 policy 10
authentication pre-share
encryption 3des
hash md5
group 2
lifetime 86400
!
group-policy REMOTE-VPN internal
group-policy REMOTE-VPN attributes
split-tunnel-policy tunnelspecified
split-tunnel-network-list value VPN-ACL
default-domain value test.local
address-pools value VPN
username test02 password KhFSDgWxn0rDWqrc encrypted
username test01 password iFBLEO4jejJz4.OK encrypted
tunnel-group REMOTE-VPN type remote-access
tunnel-group REMOTE-VPN general-attributes
default-group-policy REMOTE-VPN
tunnel-group REMOTE-VPN ipsec-attributes
ikev1 pre-shared-key *****
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum client auto
message-length maximum 512
!
: end

hi dell6400note, đầu tiên rất cảm ơn bạn đã post bài lab này lên . Mình xin phép được move nó thành 1 topic nhé để mọi người có thể cùng thảo luận dễ dàng hơn.

Nếu được bạn có thể inbox cho mình skype hay yahoo hoặc bất cứ cái gì có thể liên hệ nhanh hơn và thuận tiên hơn. Mình muốn hỏi vài vấn đề về yêu cầu bài lab của bạn vì có vài chỗ mình ko hiểu rõ lắm !

hi dell6400note, do cái GNS3 của mình mắc lỗi kỹ thuật nên giờ mới trả lời được ^^!. Mong bạn thông cảm, lab không khó nhưng để sửa cho cái GNS3 chạy là cả 1 vấn đề . Mong ước có thiết bị thật phá cho sướng

II. Triển khai
1. ISP
- Mình sẽ dùng 1 Router giả lập làm ISP trong mô hình này
2. Router WAN
- Theo file cấu hình của bạn dell6400notethì WAN1 và WAN2 bạn ấy sẽ triển khai các tính năng sau

• HSRP với WAN1 làm Active, WAN2 làm Standby
• NAT static để client ngoài internet có thể quay VPN vào ASA
• Track interface để khi 1 đương WAN đứt thì đường kia lập tức lên thay thế
• Cấu hình Static route các lớp mạng vùng inside cần ra internet

- Và sau đây là các lệnh cấu hình- Đảm bảo WAN1 ra internet thành công3. Router WAN2
- Các bạn cấu hình tương tự cho Router WAN2- Đảm bảo WAN2 ra internet thành công4. Cấu hình ASA
- Cấu hình IP và default route ASA- Đảm bảo ASA ra internet thành công- Cấu hình IPSEC VPN trên ASA như các bài lab trước, ở đây mình ko giải thích lại, bạn có thể đọc lại các bài lab trong forum sẽ có giải thích chi tiết - Trên ASA thực hiện static route để thấy các VLAN5. Switch layer 3
- Con SW_layer 3 này chịu trách nhiệm

• Tạo các VLAN 20,30,40 tương ứng cho các VLAN_CLIENT; VLAN_APP, VLAN_SRV
• Định tuyến các VLAN

III. Yêu cầu
1. VLAN_CLIENT; VLAN_APP kết nối dc INTERNET, chỉ telnet được SRV1 vùng DMZ.
- VLAN_CLIENT; VLAN_APP kết nối dc INTERNET đơn giản là Router WAN1 và WAN2 route 2 VLAN này là ok

2. VLAN_CLIENT; VLAN_APP chỉ telnet được SRV1 vùng DMZ.
- Trên ASA cấu hình 1 ACL permit cho 2 VLAN này telnet vào SRV1- Trên PC thuộc VLAN APP bạn thực hiện telnet và remote destop vào server SRV1 vùng DMZ. Các bạn sẽ thấy nó chỉ cho VLAN APP và VLAN CLIENT telnet, còn remote destop và các dịch vụ khác sẽ bị deny

3. VLAN_SRV: không kết nối INTERNET, chỉ giao tiếp với port 80 của SRV2, port 3389 của SRV1 trên vùng DMZ.

• VLAN_SRV mặc đinh là không ra net được vì 2 Router WAN1 và WAN2 không có route VLAN này
• truy cập được port 80 của SRV2 và 3389 của SRV1 dmz. Đơn giản là thêm 2 dòng vào ACL permit 2 service này

- Các bạn thấy PC thuộc VLAN_SRV truy cập port 3389 tới SRV1 thành công nhưng telnet và các service không không thành công

- Truy cập web tới SRV2 thành công, còn các dịch vụ khác thì thất bại
4. Kết nối được INTERNET và public các port 23 tại SRV1; port 1158 tại SRV2 qua WAN1
- Để DMZ ra internet thì Router WAN1 và WAN2 static route vùng DMZ là ra net thành công
- Kiểm tra
- public các port 23 tại SRV1; port 1158 tại SRV2 qua WAN1 (ko hiểu câu này là như thế nào

6. REMOTE:
- Kết nối được các port của DMZ đã public. Cấu hình split-tunnel trên ASA để cho phép truy cập đến DMZ- Các bạn thấy client từ internet thực hiện VPN về interface outside của Router WAN1

- Client có thể truy cập các service vùng DMZ như telnet, remote destop, http
- Kết nối VPN client có thể truy cập VLAN_SRV. Các bạn chỉ thêm vào VPN-ACL sau

- Kiểm tra và thành công

Hi ROOT, bài viết rất chi tiết!
Ý tưởng của mình từ đầu hơi khác so với bạn một chút về phần thực hiện cho VLAN_CLIENT và VLAN_APP ra INTERNET. Trên WAN1, WAN2 mình chỉ route đến interface INSIDE của ASA, ASA sẽ đảm nhiệm phần NAT các VLAN cần ra INTERNET.

Ngoài ra, mình bổ sung thêm vào access-list INSIDE của bạn để yêu cầu truy cập INTERNET của VLAN_CLIENT và VLAN_APP được đảm bảo khi gán access-list này lên interface:
ciscoasa(config)# access-list INSIDE line 5 extended permit tcp 10.10.3.0 255.255.255.0 any eq www
ciscoasa(config)# access-list INSIDE line 6 extended permit udp 10.10.3.0 255.255.255.0 any eq domain
ciscoasa(config)# access-list INSIDE line 7 extended permit udp 10.10.3.0 255.255.255.0 any eq nameserver
ciscoasa(config)# access-list INSIDE line 5 extended permit tcp 10.10.4.0 255.255.255.0 any eq www
ciscoasa(config)# access-list INSIDE line 6 extended permit udp 10.10.4.0 255.255.255.0 any eq domain
ciscoasa(config)# access-list INSIDE line 7 extended permit udp 10.10.4.0 255.255.255.0 any eq nameserver
ciscoasa(config)# access-group INSIDE in interface INSIDE

root said:

4. Kết nối được INTERNET và public các port 23 tại SRV1; port 1158 tại SRV2 qua WAN1

- public các port 23 tại SRV1; port 1158 tại SRV2 qua WAN1 (ko hiểu câu này là như thế nào

[/INDENT]

Click to expand...

Đoạn trên thì mình gõ nhầm ra WAN1, thực ra là muốn qua WAN2 . Yêu cầu ở đây là cho phép vùng DMZ truy cập được INTERNET, và sử dụng WAN2 để nat các port 23 tại SRV1; port 1158 tại SRV2 cho bên ngoài kết nối

Có j thiếu sót ROOT bổ sung tiếp nhé

Nếu theo cách của chủ thớt hình như phải phải NAT 2 lần: 1 lần trên ASA, 1 lần trên Router nên có thể làm chậm traffic.
Cho mình hỏi chủ thớt là tại sao thớt cần NAT 2 lần ở đây

centos said:

Nếu theo cách của chủ thớt hình như phải phải NAT 2 lần: 1 lần trên ASA, 1 lần trên Router nên có thể làm chậm traffic.
Cho mình hỏi chủ thớt là tại sao thớt cần NAT 2 lần ở đây

Click to expand...

@Centos: trước ASA còn WAN2 (mô phỏng thiết bị khác) nên mình không muốn nat 2 lần nên thực hiện route để WAN2 thấy dc DMZ, sau đó trên WAN mới NAT các port đã mở ở DMZ ra ngoài.
Ý tưởng là thế