3
VPN-Anbindung ASA5510
Hallo alle zusammen, wir hätten gerne eine externe Meinung von EDV-Kollegen, die schon mal ein VPN- Projekt durchgeführt haben. Da dies unser erstes VPN-P. ist.
Wir verfügen über Coreswitche an unserem Hauptstandort an denen selbst Switche angeschlossen sind mittels VLAN 10,20,
30 etc. Konfiguriert haben wir die ASA noch nicht. Wir hatten überlegt die ASA5510 direkt an den Coreswitch anzubinden im gleichen VLAN wie unsere Server - VLAN 30. Die Restlichen Clients und Router sind in anderen VLAN-Segmenten. Die ASA kommt ins VLAN 30 an den Coreswitch am Port Ethernet0/0 und den Ethernet0/1 Port wollen wir für den Router mit SHDSL verwenden. Von WAN greifen dann per Softwareclient über eine VPN Software zu oder bei Mehrplatzzugängen ein zweiter kleinerer Router mit VPN funktion wie die ASA5505. Es sollen E-Mail-Dienste und FTP-Dienste genutzt werden von unserem Hauptstandort aus. Brauchen wir in dem Falle NAT und/oder eine DMZ? Oder brauchen wir auf der ASA nur ein Gateway aus dem Eth.-Port0/0 für aus dem VLAN rauszukommen bzw die Novell Clients müssen ja von außen eine Verbindung aufbauen?
Vielen Dank
Client-PC mit Novell-Client ---WAN --- Router – ASA5510 – Coreswitch.
Wir verfügen über Coreswitche an unserem Hauptstandort an denen selbst Switche angeschlossen sind mittels VLAN 10,20,
30 etc. Konfiguriert haben wir die ASA noch nicht. Wir hatten überlegt die ASA5510 direkt an den Coreswitch anzubinden im gleichen VLAN wie unsere Server - VLAN 30. Die Restlichen Clients und Router sind in anderen VLAN-Segmenten. Die ASA kommt ins VLAN 30 an den Coreswitch am Port Ethernet0/0 und den Ethernet0/1 Port wollen wir für den Router mit SHDSL verwenden. Von WAN greifen dann per Softwareclient über eine VPN Software zu oder bei Mehrplatzzugängen ein zweiter kleinerer Router mit VPN funktion wie die ASA5505. Es sollen E-Mail-Dienste und FTP-Dienste genutzt werden von unserem Hauptstandort aus. Brauchen wir in dem Falle NAT und/oder eine DMZ? Oder brauchen wir auf der ASA nur ein Gateway aus dem Eth.-Port0/0 für aus dem VLAN rauszukommen bzw die Novell Clients müssen ja von außen eine Verbindung aufbauen?
Vielen Dank
Client-PC mit Novell-Client ---WAN --- Router – ASA5510 – Coreswitch.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 53774
Url: https://administrator.de/contentid/53774
Printed on: April 20, 2024 at 03:04 o'clock
3 Comments
Latest comment
Wenn ich deine Frage richtig verstanden habe, dann würde ein VPN Benutzer immer im VLAN der Server ankommen. Ist das so gewollt? Nur weil jemand von unterwegs arbeitet darf er direkt an die Server?
Wenn ich dich falsch versanden haben sollte würde wahrscheinlich eine Zeichnung die Sache besser erklären.
Mein Vorschlag: Die ASA ist VLAN fähig. Es können mehrere Sub-Interfaces definiert werden, die dann über einen VLAN Trunk am Coreswitch ankommen. Das gibt euch die Freiheit unterschiedliche Benutzer per VPN in das dem Benutzer zugeordnete VLAN zu verbinden.
Beispiel: Kollege Schmidt, Buchhaltung, hat VLAN 5 im Büro. Kommt jetzt per VPN an der ASA an, dort Benutzername Schmidt, Profil Buchhaltung: Also VLAN ID 5 und IP aus dem entsprechenden Subnet.
Ich habe nicht nachgesehen wie viele VLANs welche ASA Modelle erlauben.
Gruß Rafiki
Wenn ich dich falsch versanden haben sollte würde wahrscheinlich eine Zeichnung die Sache besser erklären.
Mein Vorschlag: Die ASA ist VLAN fähig. Es können mehrere Sub-Interfaces definiert werden, die dann über einen VLAN Trunk am Coreswitch ankommen. Das gibt euch die Freiheit unterschiedliche Benutzer per VPN in das dem Benutzer zugeordnete VLAN zu verbinden.
Beispiel: Kollege Schmidt, Buchhaltung, hat VLAN 5 im Büro. Kommt jetzt per VPN an der ASA an, dort Benutzername Schmidt, Profil Buchhaltung: Also VLAN ID 5 und IP aus dem entsprechenden Subnet.
Ich habe nicht nachgesehen wie viele VLANs welche ASA Modelle erlauben.
Gruß Rafiki
Das hast Du richtig verstanden, die ASA ist nur an VLAN 30 angbunden wegen der Übersichtlickeit im Netzwerk. Das VLAN Trunk am Coreswitch hört sich nach einer Lösungen für unser VPN-Netzwerk an. Danke schon mal für den TIPP. Dann brauchen wir kein NAT oder eine DMZ. Wo muss die IP-Adresse und das VLAN für den Client eingestellt werden? Am Client und in der ASA nehme ich mal an. Und dann natürlich in der ASA die zuordung zur IP-Adresse und den jeweiligen VLAN's!?
Dann bräuchten wir für die ASA5510 also nur das Gateway einzutragen um aus dem VLAN der Server zu routen in die anderen VLAN's...Eine Zeichnung würde jetzt bestimmt helfen.
Nehme wir mal an das erste Oktett ist die Kennung der Firma BSP. 80
Das zeite Okett das VLAN (hier das der Server) . 30
Das dritte mal als BSP. die ´.10
Und das letzte Oktett zur Computer/Serveridentifikation BSP .5
80.30.10.5 (IP der ASA5510)
will ich jetzt in VLAN 80.40.10.5 muss ich also auf der ASA beim Port ET0/0 nur das Gateway 80.30.1.0 eintragen?
Dann bräuchten wir für die ASA5510 also nur das Gateway einzutragen um aus dem VLAN der Server zu routen in die anderen VLAN's...Eine Zeichnung würde jetzt bestimmt helfen.
Nehme wir mal an das erste Oktett ist die Kennung der Firma BSP. 80
Das zeite Okett das VLAN (hier das der Server) . 30
Das dritte mal als BSP. die ´.10
Und das letzte Oktett zur Computer/Serveridentifikation BSP .5
80.30.10.5 (IP der ASA5510)
will ich jetzt in VLAN 80.40.10.5 muss ich also auf der ASA beim Port ET0/0 nur das Gateway 80.30.1.0 eintragen?
vielleicht kannst du mir auch helfen...
ich würde gerne meine sorgen mit euch teilen:
zu lösen: VPN HeimAP zu LAN asa5510
vorhanden:
cisco asa5510
separate DSL6000 mit fester IP
2 x Windows server
1 x Suse Server
1 x dlink router für das vorhandene LAN
______________________________________________
nun habe ich die asa5510 im netz implemetiert.
über applet ansprechbar.
modem von separater dsl leitung auf port 0/0 konfiguriert. !!!ENDE!!!
______________________________________________
Fragen:
a) asa5510 DSL-Router funktion?
b) welche adressen sind nun zu routen (statisches Routing) damit ich von aussen über vpn ins lan loggen kann. aussen arbeitsplatz client Lizenz, ohne router.
c) wie logge ich mich denn nun ins vpn ein?
d) gibt es für asa 5510 auch ein config tool?
e) ist es richtig, passtrough in der zentrale auszustellen, aber am heim ap zu aktivieren?
f) ist eine NAT konfig notwendig
g) was ist mit servergroup gemeint
h) ist es richtig, dass ich mich für PPTP entschieden habe, da ich kein IPsec anwende?
i) wer kann mir szenarien aufstellen, die deutlich zu verstehen sind?
dies sind fantasieadressen:
LAN: 10.4.131.0
dlink: 10.4.131.24
suse: 10.4.131.1
WIN1: 10.4.131.17
WIN2: 10.4.131.36
cisco asa 5510: 10.4.131.5
DSL fest IP: 56.155.162.2
Ziel:
ich möchte mich von zu hause aus, in die firma einloggen und auf alles zugreifen können, zzgl. die warenwirtschaftssoftware auf suse anwenden (10.4.131.1)
zur info: diese funktion habe ich bereits seit 10 Jahren über ISDN Cisco 2700 in Betrieb. aber hierbei ist immer nur ein user im login verfahren möglich, daher der umstieg auf vpn dsl.
danke im voraus für jede info
ich würde gerne meine sorgen mit euch teilen:
zu lösen: VPN HeimAP zu LAN asa5510
vorhanden:
cisco asa5510
separate DSL6000 mit fester IP
2 x Windows server
1 x Suse Server
1 x dlink router für das vorhandene LAN
______________________________________________
nun habe ich die asa5510 im netz implemetiert.
über applet ansprechbar.
modem von separater dsl leitung auf port 0/0 konfiguriert. !!!ENDE!!!
______________________________________________
Fragen:
a) asa5510 DSL-Router funktion?
b) welche adressen sind nun zu routen (statisches Routing) damit ich von aussen über vpn ins lan loggen kann. aussen arbeitsplatz client Lizenz, ohne router.
c) wie logge ich mich denn nun ins vpn ein?
d) gibt es für asa 5510 auch ein config tool?
e) ist es richtig, passtrough in der zentrale auszustellen, aber am heim ap zu aktivieren?
f) ist eine NAT konfig notwendig
g) was ist mit servergroup gemeint
h) ist es richtig, dass ich mich für PPTP entschieden habe, da ich kein IPsec anwende?
i) wer kann mir szenarien aufstellen, die deutlich zu verstehen sind?
dies sind fantasieadressen:
LAN: 10.4.131.0
dlink: 10.4.131.24
suse: 10.4.131.1
WIN1: 10.4.131.17
WIN2: 10.4.131.36
cisco asa 5510: 10.4.131.5
DSL fest IP: 56.155.162.2
Ziel:
ich möchte mich von zu hause aus, in die firma einloggen und auf alles zugreifen können, zzgl. die warenwirtschaftssoftware auf suse anwenden (10.4.131.1)
zur info: diese funktion habe ich bereits seit 10 Jahren über ISDN Cisco 2700 in Betrieb. aber hierbei ist immer nur ein user im login verfahren möglich, daher der umstieg auf vpn dsl.
danke im voraus für jede info
