folgendes Szenario. Ein VPN steht zwischen zwei ASA 5505. Auf der einen Seite die Zentrale und auf der anderen Seite die Zweigstelle.
Die Zweigstelle soll über den webproxy in der Zentrale auf das Internet zu greifen. Welche statischen Routen muss ich hier setzen und auf welcher Seite? Wenn mir hier jemand behilflich sein könnte.
Das Ganze mit IPs gefüllt.
Die Zweigstelle
10.10.10.0/24 LAN -> Default GW 10.10.10.1 -> Public IP 1.1.1.1
Eine statische Route 0.0.0.0 0.0.0.0 1.1.1.1 (outside)
Die Zentrale:
10.10.20.0/24 LAN -> Default GW 10.10.20.254 -> Public IP 2.2.2.2
Eine statische Route 0.0.0.0 0.0.0.0 2.2.2.2 (outside)
Aus der zentrale komme ich ins Inet, aus der Zweigstelle nicht. Aus der Zweigstelle kann ich auf das LAN der Zentrale zu greifen (z.B. rdp)
Ein wenig wundert mich das auch, da rdp klappt.
Aber so bald ich http, icmp Pakete Richtung WAN sende, kommt nichts zurück. Im ASDM gibt es ja so ein Tool der den Path abläuft (habe kein ASDM vor mir und komme nicht auf den Namen). Dieses Tool gibt mir ebenfalls ein Reverse-path verify failed zurück. Deswegen vermute ich, dass es am Routing liegt.
Ein wenig wundert mich das auch, da rdp klappt.
Aber so bald ich http, icmp Pakete Richtung WAN sende, kommt nichts zurück. Im ASDM gibt es ja so ein Tool der den Path abläuft (habe kein ASDM vor mir und komme nicht auf den Namen). Dieses Tool gibt mir ebenfalls ein Reverse-path verify failed zurück. Deswegen vermute ich, dass es am Routing liegt.
Das ist der packet-tracer, der ist aber in Verbindung mit VPN nicht so toll.
Also ich meinte den Namen des Tools. Aber es ist der paket-tracer, wie Otaku19 richtig geschrieben hat.
Aber der Proxy kann mal weggelassen werden. Den habe ich für das Troubleshooting ausgeschaltet, und das slebe Bild.
Wären die Einträge für das statische Routing so ausreichend?
Also ein ipconfig der Ausstellen-PCs (Die sollen über das GW 10.10.20.254 ins Inet)
10.10.10.5
255.255.255.0
10.10.10.1
Ähh - mal langsam - du routest bei der Aussenstelle "default" auf deine Firewall dort - es gibt aber nur nen VPN Tunnel (denke der NoNat spiegelt den wieder) für Traffik von 10.10.10.0/24 nach 10.10.20.0/24 -> somit geht natürlich dein Traffik an der Firewall (sofern es dort noch ein NAT gibt) direkt raus. Den du schreibst - den Proxy soll man aussen vor lassen !?!.
Ich glaube du solltest über deine Struktur nochmal nachdenken - entweder du routest "ALLEN Traffik" in einen VPN Trunnel in die Zentral - dann würde er dort über die Firewall rausgehen - soll er aber über den Proxy rausgehen - "MUST" du einen Proxy auf den Clients eintragen und nur die Applikation die den Proxy verwendet - geht den weg - den du möchtest. Dann würde das "nonat" so passen - vorrausgesetzt der Proxy kennt die Routen und mag auf für die IP´s antworten.
es gibt nur ein "nonat".. Sprich soll die Außenstelle nur über den Tunnel kommunizieren. Ein Proxy ist auch eingetragen. Nur kommt kein traffic zurück. Also wird er bestimmte Routen nicht kennen. Die muss ich wohl auf der zentralen FW eintragen.
Die Frage, die ich mir Stelle ist ,welche statischen Routen setzt ich?
Müsste auf der zentralen ein
route inside 10.10.10.0 255.255.255.0 10.10.10.1
gesetzt werden?
