![在 CISCO ASA 上设置 VPN,在外部接口上使用私有 IP](https://linux22.com/image/571833/%E5%9C%A8%20CISCO%20ASA%20%E4%B8%8A%E8%AE%BE%E7%BD%AE%20VPN%EF%BC%8C%E5%9C%A8%E5%A4%96%E9%83%A8%E6%8E%A5%E5%8F%A3%E4%B8%8A%E4%BD%BF%E7%94%A8%E7%A7%81%E6%9C%89%20IP.png)
我正在尝试设置我们的 ASA 5510,以允许 IPsec(IKEv1) 通过 VPN 访问内部网络。我们的设置最困难的部分是外部接口没有分配公共 IP 地址。
当前设置:路由器 -> ASA
路由器和 ASA 之间是私有网络。所有公共 IP 都从 ASA 分配给 DMZ 上的主机。
因此,我首先尝试在 ASA 上设置一个免费的公共 IP。这是在外部接口上设置子接口 2 和 vlan 1。然后我设置 VPN 以通过新接口工作,但似乎不起作用。因此,当 ASA 没有任何公共 IP 时,我不确定使用 ASA 设置远程 VPN 访问的最佳方法是什么。任何想法都会非常有帮助。
答案1
您的拓扑是路由器 -> ASA,并且您需要 ASA 具有有效的公共 IP 以供 VPN 客户端连接到它。
这需要一对一的 NAT 来为 ASA 提供有效的公共 IP。
思科对于如何在其路由器上配置 NAT 有一个很好的概述: http://www.cisco.com/en/US/tech/tk648/tk361/technologies_tech_note09186a0080093f31.shtml
如果您没有 Cisco 路由器,则需要获取有关在路由器上配置静态或一对一 NAT 的文档。如果您不控制路由器,则需要向控制路由器的管理员请求一对一 NAT。
答案2
IPsec,也许还有 IKEv1,在 NAT 上工作得不是特别好。即使使用 1:1 NAT,数据包也会被破坏,签名也会失败。有一些流程(包括 IKEv1 和 ASA)可以帮助它工作,理论上可以解决问题,但它在多个供应商产品上工作的可能性几乎为零。