Configurando VPN no CISCO ASA com IP privado na interface externa

Question

Estou tentando configurar o ASA 5510 para permitir o acesso do IPsec (IKEv1) à rede interna por meio da VPN. A parte difícil da nossa configuração é que a interface externa não tem um endereço IP público atribuído a ela.

Configuração atual: Roteador - > ASA

Entre o roteador e o ASA é uma rede privada. Todos os IPs públicos são atribuídos do ASA ao host no DMZ.

Então, primeiro tentei configurar um dos IPs públicos gratuitos no ASA. Isso foi configurado com uma subinterface de 2 e vlan 1 na interface externa. Em seguida, configuro a VPN para funcionar na nova interface e isso parece não funcionar. Então, eu não sabia qual seria a melhor maneira de configurar o acesso remoto da VPN com o ASA quando o ASA não tivesse nenhum IP público. Qualquer pensamento seria muito útil.

    

Answer 1

Sua topologia é roteador - > ASA e você precisa que o ASA tenha um IP público efetivo para os clientes VPN se conectarem a ele.

Isso requer um NAT one-to-one para dar ao ASA um IP público efetivo.

A Cisco tem um bom resumo sobre como configurar o NAT em seus roteadores: link

Se você não tiver um roteador Cisco, precisará obter a documentação para configurar o NAT estático ou um para um no roteador. Se você não controlar o roteador, precisará solicitar um NAT de um para um ao administrador que o fizer.

    

Answer 2

O IPsec, e talvez o IKEv1, não funciona muito bem com o NAT. Mesmo com NAT 1: 1, os pacotes são mutilados e as assinaturas falharão. Existem processos (incluindo o IKEv1 e o ASA) para ajudá-lo a trabalhar, resolvendo teoricamente os problemas, mas as chances de ele trabalhar na natureza com vários produtos de fornecedores são bem próximos de 0.