☰

Cisco ASA 5505：2 个 IPSec 隧道之间的 PAT/NAT

tag-icon • tag-icon cisco nat cisco-asa ipsec pat
Cisco ASA 5505：2 个 IPSec 隧道之间的 PAT/NAT

我有以下设置：

客户 <-> 总部 <-> 分支机构

  • 客户有一个 192.168.1.0/24 子网。
  • 在总部，只有 VPN 网关在我的环境中，172.20.10.1 。
  • 在分支机构端，存在网络 172.30.0.0/16。

总部 <-> 客户和分支机构 <-> 总部之间是 IPSec 隧道（隧道模式）。

  • HQ <-> 客户隧道配置为 192.168.90.0/30 作为源网络，192.168.1.0/24 作为目标网络。
  • 分支机构 <-> 总部隧道以 172.30.0.0/16 作为源，以 192.168.1.0/24、172.20.0.0/16 作为目的地。

我之所以使用 192.168.90.0/30 作为源，是因为我们通过 192.168.90.1 对每个连接进行 NAT/PAT，以向客户隐藏我们的内部结构。因此，我配置了一条 NAT 规则，如下所示：

  • src 接口 isp
  • dst 接口 isp
  • 目的 IP 192.168.1.0/24
  • 通过 192.168.90.1/isp 接口进行 pat

这对于 HQ ASA 上的 roadwarrior vpn (IPSec / L2TP) 来说运行良好，但对于分支机构隧道来说却不行。asa 正在搜索与 172.30.30.10 作为源和 192.168.1.12 作为目标相匹配的加密映射 - 不出所料 - 找不到。我如何才能更改从我们的分支机构到客户的 PAT 路由数据包的工作原理？

附加信息：ASA 软件版本 8.2(4) HQ / 8.2(5) branchoffice

相关内容