思科IPSec站点到站点VPN。如果VPN关闭，则允许流量

“安全带”配置规划位。

背景：

我们有一个成功的到远程数据中心的站点到站点VPN链接。

远程“受保护”网络也是通过防火墙作为面向Internet的端点打开的IP网络范围。

因此：我们使用VPN，以便可以访问非公共端点。

问题陈述：

如果VPN链路断开，即使Internet端点仍可通过远程防火墙访问，ASA也会丢弃流量。

问题：

当VPN关闭时，如何配置VPN以“通过”流量作为常规传出流量。

这是配置的相关部分。

crypto map vpn-crypto-map 20 match address remdc-vpn-acl
crypto map vpn-crypto-map 20 set peer a.b.c.d 
crypto map vpn-crypto-map 20 set transform-set remdc-ipsec-proposal-set
crypto map vpn-crypto-map interface outside

匹配流量的ACL非常原始：它指定表示为网络对象的两个网络（专用网络和远程网络）。

access-list remdc-vpn-acl extended permit ip object <private> object <remote> log 

和原始图。

                                     INTERNET
                                                x
                                                x
REM DC 203.000.113.000/24                      xx                       HQ 192.168.001.000/24
                                               x
           +---------------+                  x               +-----------+
           | REMOTE DC     |                 xx               |           |
           | ASA           e               xxx                | ASA 5505  |
+----------+               |              xx                  |           +-----------------+
   ^       |               e<-------------------------------------+       |
   |       |               |              xxxx                |           |
   |       |               e                 xxxx             |     ~     |
   |       |               |                    xx            |     |     |
   |       |               |                     xx           +----vpn----+
   |       |               |                      x                 |
   \-------vpn-------------vpn--------------------------------------/
           |               |                   xxx
           +---------------+                  xx
                                           xxx
                                          xx
                                       xxxx
    e = public Internet                x
        server endpoint

谢谢

抢

更新01

下面的评论中讨论了更精确的ACL（谢谢）

我可以设想两个ACLS。（A）允许ALL到远程网络，然后拒绝Internet上已经可用的端点。（B）仅根据需要打开管理/仪器。

（B）的问题在于，在不调整标准服务器配置的情况下，表示端点（如WMI和Windows RPC）是不切实际的）

因此，也许（A）是最好的方法，它与远程防火墙配置相反。

更新02

Mike要求查看更多ASA的ios配置。

以下是总部总部的总部ASA。远程DC处于数据中心提供商的控制之下，因此我无法确切说明如何配置。

好吧，没有太多要显示的内容：到Internet网关的路由只有一条默认路径，而没有其他特定的路由。

route outside 0.0.0.0 0.0.0.0 HQInetGateway 1

接口是非常基本的。只有基本的IPv4配置和VLAN才能将组分为1个外部接口和1个内部接口。

interface Vlan1
 nameif inside
 security-level 100
 ip address 10.30.2.5 255.255.255.0
!
interface Vlan2
 nameif outside
 security-level 0
 ip address 194.28.139.162 255.255.255.0
!

干杯，罗布

我现在认为这不切实际；至少在我们的特定情况下。

由于HCL和RemoteDC之间的ACL选择了“隧道”流量，因此该方案变得更加复杂（因此，我们可以根据需要使其变得复杂），但是在相反的“路径”上（可以这么说）远端的VPN集中器正在选择整个总部网络作为受保护的网络。

结果是这些不平衡，并且看起来正反xlate不匹配。类似于具有正向和反向路由，这些路由会导致流量因NAT在某些时候发生故障而失败。

从本质上讲，这已被废弃为“技术风险过高”，并且需要更多的评估，甚至可能需要对远程端进行更多的控制才能使其成为解决方案。

感谢所有关注此事的人。

如果在每个ASA的内部具有或可以安装路由器，则可以创建一个加密的GRE隧道，并使用路由或浮动静态方法来使Internet失败。