ASA, VPN über DMZ-Proxy

[hegl 10]

Zur Zeit haben die VPN-Clients uneingeschränkten Internet-Zugriff via split-tunneling. Da mir das aber ein Dorn im Auge ist, würde ich das gerne einschränken und den Internettraffic über unseren Proxy laufen lassen, der in einer DMZ steht.

 

Nun zu meinem Verständnisproblem: kann/muss ich den Tunnelendpunkt wie bisher auf dem outside-interface (offizielle ip vom isp) lassen oder kann/sollte man den Tunnelendpunkt an der "Proxy-DMZ" (auch offiziele IP´s) enden lassen? Geht das überhaupt?

Wenn ich den Endpunkt am outside-interface beibehalte ist mir schon klar, dass ich die Proxy-IP mit in die VPN-ACL´s aufnehmen muss. Ist dann zusätzlich das command

[b][i]same-security-traffic permit intra-interface[/i][/b]

zu konfigurieren? Der Proxy macht masquerading und somit würde ja eine andere IP am interface rausgehen, als die, die reingekommen ist. Muss dann in der group-policy überhaupt das feature IE BrowserProxy konfiguriert werden?

 

Hat das so schon jemand gelöst oder hat ein sample?