Å ajÄ rakstÄ es vÄlos sniegt detalizÄtus norÄdÄ«jumus par to, kÄ jÅ«s varat Ätri izvietot paÅ”laik mÄrogojamÄko shÄmu. AttÄlÄs piekļuves VPN balstÄ«ta uz piekļuvi AnyConnect un Cisco ASA - VPN slodzes lÄ«dzsvaroÅ”anas klasteris.
Ievads: Daudzi uzÅÄmumi visÄ pasaulÄ, Åemot vÄrÄ paÅ”reizÄjo situÄciju ar Covid-19, pieliek pÅ«les, lai pÄrceltu savus darbiniekus uz attÄlinÄtu darbu. SakarÄ ar masveida pÄreju uz attÄlinÄto darbu kritiski pieaug slodze uz esoÅ”ajiem uzÅÄmumu VPN vÄrtejiem un ir nepiecieÅ”ama ļoti Ätra spÄja tos mÄrogot. No otras puses, daudzi uzÅÄmumi ir spiesti steigÄ apgÅ«t attÄlinÄtÄ darba jÄdzienu no nulles.
Lai palÄ«dzÄtu uzÅÄmumiem pÄc iespÄjas Ä«sÄkÄ laikÄ nodroÅ”inÄt Ärtu, droÅ”u un mÄrogojamu VPN piekļuvi darbiniekiem, Cisco licencÄ AnyConnect funkcijÄm bagÄto SSL-VPN klientu lÄ«dz 13 nedÄļÄm. .
.
Esmu sagatavojis soli pa solim ceļvedi vienkÄrÅ”ai VPN slodzes lÄ«dzsvaroÅ”anas klastera izvietoÅ”anai kÄ visvairÄk mÄrogojamajai VPN tehnoloÄ£ijai.
TÄlÄk sniegtais piemÄrs bÅ«s diezgan vienkÄrÅ”s izmantoto autentifikÄcijas un autorizÄcijas algoritmu ziÅÄ, taÄu tas bÅ«s labs risinÄjums Ätrai sÄkÅ”anai (ar to paÅ”laik daudziem nepietiek) ar iespÄju izvietoÅ”anas laikÄ padziļinÄti pielÄgot jÅ«su vajadzÄ«bÄm. process.
ÄŖsa informÄcija: VPN slodzes lÄ«dzsvaroÅ”anas klastera tehnoloÄ£ija nav kļūmjpÄrlÄce un nav klasterizÄcijas funkcija tÄs sÄkotnÄjÄ nozÄ«mÄ, Ŕī tehnoloÄ£ija var apvienot pilnÄ«gi dažÄdus ASA modeļus (ar noteiktiem ierobežojumiem), lai lÄ«dzsvarotu attÄlÄs piekļuves VPN savienojumus. Starp Å”Äda klastera mezgliem nenotiek sesiju un konfigurÄciju sinhronizÄcija, taÄu ir iespÄjams automÄtiski slodzes lÄ«dzsvarotu VPN savienojumus un nodroÅ”inÄt VPN savienojumu kļūdu toleranci, lÄ«dz klasterÄ« paliek vismaz viens aktÄ«vs mezgls. Slodze klasterÄ« tiek automÄtiski lÄ«dzsvarota atkarÄ«bÄ no mezglu darba slodzes pÄc VPN sesiju skaita.
KonkrÄtu klastera mezglu kļūmjpÄrlÄcei (ja nepiecieÅ”ams) var izmantot failÄtÄju, tÄpÄc aktÄ«vo savienojumu apstrÄdÄs failÄtÄja primÄrais mezgls. Failu pÄrvÄrÅ”ana nav obligÄts nosacÄ«jums, lai nodroÅ”inÄtu kļūdu toleranci slodzes lÄ«dzsvaroÅ”anas klasterÄ«, pats klasteris mezgla atteices gadÄ«jumÄ pÄrsÅ«tÄ«s lietotÄja sesiju uz citu aktÄ«vo mezglu, bet nesaglabÄjot savienojuma statusu, kas ir precÄ«zi ko nodroÅ”ina iesniedzÄjs. AttiecÄ«gi, ja nepiecieÅ”ams, ir iespÄjams apvienot Ŕīs divas tehnoloÄ£ijas.
VPN slodzes lÄ«dzsvaroÅ”anas klasterÄ« var bÅ«t vairÄk nekÄ divi mezgli.
VPN slodzes lÄ«dzsvaroÅ”anas klasteris tiek atbalstÄ«ts ASA 5512-X un jaunÄkÄs versijÄs.
TÄ kÄ katra ASA VPN slodzes lÄ«dzsvaroÅ”anas klasterÄ« ir neatkarÄ«ga vienÄ«ba iestatÄ«jumu ziÅÄ, mÄs veicam visas konfigurÄcijas darbÄ«bas atseviŔķi katrÄ atseviÅ”Ä·Ä ierÄ«cÄ.
DotÄ piemÄra loÄ£iskÄ topoloÄ£ija:
PrimÄrÄ izvietoÅ”ana:
-
MÄs izvietojam nepiecieÅ”amo veidÅu ASAv gadÄ«jumus (ASAv5/10/30/50) no attÄla.
-
MÄs pieŔķiram INSIDE / ÄRÄJOS interfeisus tiem paÅ”iem VLAN (Ärpus savÄ VLAN, IEKÅ ÄJÄ savÄ, bet kopumÄ klasterÄ«, skatiet topoloÄ£iju), ir svarÄ«gi, lai viena tipa saskarnes bÅ«tu tajÄ paÅ”Ä L2 segmentÄ.
-
Licences:
- PaÅ”laik ASAv instalÄcijai nebÅ«s licenÄu, un tÄ bÅ«s ierobežota lÄ«dz 100 Kbps.
- Lai instalÄtu licenci, savÄ viedkontÄ ir jÄÄ£enerÄ marÄ·ieris: -> ViedÄs programmatÅ«ras licencÄÅ”ana
- AtvÄrtajÄ logÄ noklikŔķiniet uz pogas Jauns marÄ·ieris
- PÄrliecinieties, vai atvÄrtajÄ logÄ ir aktÄ«vs lauks un ir atzÄ«mÄta atzÄ«me Atļaut eksporta kontrolÄtu funkcionalitÄtiā¦ Ja Å”is lauks nav aktÄ«vs, jÅ«s nevarÄsit izmantot spÄcÄ«gas Å”ifrÄÅ”anas un attiecÄ«gi VPN funkcijas. Ja Å”is lauks nav aktÄ«vs, lÅ«dzu, sazinieties ar sava konta komandu ar aktivizÄcijas pieprasÄ«jumu.
- PÄc pogas nospieÅ”anas Izveidot marÄ·ieri, tiks izveidots marÄ·ieris, ko izmantosim, lai iegÅ«tu ASAv licenci, nokopÄjiet to:
- AtkÄrtojiet darbÄ«bas C, D, E katram izvietotajam ASAv.
- Lai atvieglotu marÄ·iera kopÄÅ”anu, Ä«slaicÄ«gi atļausim telnet. KonfigurÄsim katru ASA (tÄlÄk redzamais piemÄrs ilustrÄ ASA-1 iestatÄ«jumus). telnet nedarbojas ar Ärpusi, ja jums tas tieÅ”Äm ir nepiecieÅ”ams, mainiet droŔības lÄ«meni uz 100 uz Ärpusi, pÄc tam atgrieziet to atpakaļ.
! ciscoasa(config)# int gi0/0 ciscoasa(config)# nameif outside ciscoasa(config)# ip address 192.168.31.30 255.255.255.0 ciscoasa(config)# no shut ! ciscoasa(config)# int gi0/1 ciscoasa(config)# nameif inside ciscoasa(config)# ip address 192.168.255.2 255.255.255.0 ciscoasa(config)# no shut ! ciscoasa(config)# telnet 0 0 inside ciscoasa(config)# username admin password cisco priv 15 ciscoasa(config)# ena password cisco ciscoasa(config)# aaa authentication telnet console LOCAL ! ciscoasa(config)# route outside 0 0 192.168.31.1 ! ciscoasa(config)# wr !- Lai reÄ£istrÄtu marÄ·ieri Smart-Account mÄkonÄ«, jums ir jÄnodroÅ”ina ASA piekļuve internetam, .
ÄŖsÄk sakot, ASA ir nepiecieÅ”ama:
- piekļuve internetam, izmantojot HTTPS;
- laika sinhronizÄcija (pareizÄk, izmantojot NTP);
- reÄ£istrÄts DNS serveris;
- MÄs sazinÄsimies ar mÅ«su ASA un veicam iestatÄ«jumus, lai aktivizÄtu licenci, izmantojot Smart-Account.
! ciscoasa(config)# clock set 19:21:00 Mar 18 2020 ciscoasa(config)# clock timezone MSK 3 ciscoasa(config)# ntp server 192.168.99.136 ! ciscoasa(config)# dns domain-lookup outside ciscoasa(config)# DNS server-group DefaultDNS ciscoasa(config-dns-server-group)# name-server 192.168.99.132 ! ! ŠŃŠ¾Š²ŠµŃŠøŠ¼ ŃŠ°Š±Š¾ŃŃ DNS: ! ciscoasa(config-dns-server-group)# ping ya.ru Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 87.250.250.242, timeout is 2 seconds: !!!!! ! ! ŠŃŠ¾Š²ŠµŃŠøŠ¼ ŃŠøŠ½Ń ŃŠ¾Š½ŠøŠ·Š°ŃŠøŃ NTP: ! ciscoasa(config)# show ntp associations address ref clock st when poll reach delay offset disp *~192.168.99.136 91.189.94.4 3 63 64 1 36.7 1.85 17.5 * master (synced), # master (unsynced), + selected, - candidate, ~ configured ! ! Š£ŃŃŠ°Š½Š¾Š²ŠøŠ¼ ŠŗŠ¾Š½ŃŠøŠ³ŃŃŠ°ŃŠøŃ Š½Š°ŃŠµŠ¹ ASAv Š“Š»Ń Smart-Licensing (Š² ŃŠ¾Š¾ŃŠ²ŠµŃŃŃŠ²ŠøŠø Ń ŠŠ°ŃŠøŠ¼ ŠæŃŠ¾ŃŠøŠ»ŠµŠ¼, Š² Š¼Š¾ŠµŠ¼ ŃŠ»ŃŃŠ°Šµ 100Š Š“Š»Ń ŠæŃŠøŠ¼ŠµŃŠ°) ! ciscoasa(config)# license smart ciscoasa(config-smart-lic)# feature tier standard ciscoasa(config-smart-lic)# throughput level 100M ! ! Š ŃŠ»ŃŃŠ°Šµ Š½ŠµŠ¾Š±Ń Š¾Š“ŠøŠ¼Š¾ŃŃŠø Š¼Š¾Š¶Š½Š¾ Š½Š°ŃŃŃŠ¾ŠøŃŃ Š“Š¾ŃŃŃŠæ Š² ŠŠ½ŃŠµŃŠ½ŠµŃ ŃŠµŃŠµŠ· ŠæŃŠ¾ŠŗŃŠø ŠøŃŠæŠ¾Š»ŃŠ·ŃŠ¹ŃŠµ ŃŠ»ŠµŠ“ŃŃŃŠøŠ¹ Š±Š»Š¾Šŗ ŠŗŠ¾Š¼Š°Š½Š“: !call-home ! http-proxy ip_address port port ! ! ŠŠ°Š»ŠµŠµ Š¼Ń Š²ŃŃŠ°Š²Š»ŃŠµŠ¼ ŃŠŗŠ¾ŠæŠøŃŠ¾Š²Š°Š½Š½ŃŠ¹ ŠøŠ· ŠæŠ¾ŃŃŠ°Š»Š° Smart-Account ŃŠ¾ŠŗŠµŠ½ (<token>) Šø ŃŠµŠ³ŠøŃŃŃŠøŃŃŠµŠ¼ Š»ŠøŃŠµŠ½Š·ŠøŃ ! ciscoasa(config)# end ciscoasa# license smart register idtoken <token>- MÄs pÄrbaudÄm, vai ierÄ«ce ir veiksmÄ«gi reÄ£istrÄjusi licenci un ir pieejamas Å”ifrÄÅ”anas iespÄjas:
-
KatrÄ vÄrtejÄ iestatiet pamata SSL-VPN
- PÄc tam konfigurÄjiet piekļuvi, izmantojot SSH un ASDM:
ciscoasa(config)# ssh ver 2 ciscoasa(config)# aaa authentication ssh console LOCAL ciscoasa(config)# aaa authentication http console LOCAL ciscoasa(config)# hostname vpn-demo-1 vpn-demo-1(config)# domain-name ashes.cc vpn-demo-1(config)# cry key gen rsa general-keys modulus 4096 vpn-demo-1(config)# ssh 0 0 inside vpn-demo-1(config)# http 0 0 inside ! ! ŠŠ¾Š“Š½ŠøŠ¼ŠµŠ¼ ŃŠµŃŠ²ŠµŃ HTTPS Š“Š»Ń ASDM Š½Š° ŠæŠ¾ŃŃŃ 445 ŃŃŠ¾Š±Ń Š½Šµ ŠæŠµŃŠµŃŠµŠŗŠ°ŃŃŃŃ Ń SSL-VPN ŠæŠ¾ŃŃŠ°Š»Š¾Š¼ ! vpn-demo-1(config)# http server enable 445 !- Lai ASDM darbotos, vispirms tas ir jÄlejupielÄdÄ no vietnes cisco.com, manÄ gadÄ«jumÄ tas ir Å”Äds fails:
- Lai AnyConnect klients darbotos, jums ir jÄaugÅ”upielÄdÄ attÄls katrÄ ASA katrai izmantotajai klienta darbvirsmas OS (plÄnots izmantot Linux / Windows / MAC), jums bÅ«s nepiecieÅ”ams fails ar Headend izvietoÅ”anas pakotne VirsrakstÄ:
- LejupielÄdÄtos failus var augÅ”upielÄdÄt, piemÄram, FTP serverÄ« un augÅ”upielÄdÄt katrÄ atseviÅ”Ä·Ä ASA:
- MÄs konfigurÄjam ASDM un paÅ”parakstÄ«to sertifikÄtu SSL-VPN (ražoÅ”anÄ ieteicams izmantot uzticamu sertifikÄtu). VirtuÄlÄs klastera adreses (vpn-demo.ashes.cc) iestatÄ«tajam FQDN, kÄ arÄ« katram FQDN, kas saistÄ«ts ar katra klastera mezgla ÄrÄjo adresi, ÄrÄjÄ DNS zonÄ ir jÄatrisina ÄRÄJÄ interfeisa IP adrese. (vai uz kartÄto adresi, ja tiek izmantota portu pÄradresÄcija udp/443 (DTLS) un tcp/443(TLS)). SÄ«kÄka informÄcija par prasÄ«bÄm sertifikÄtam ir norÄdÄ«ta sadaÄ¼Ä SertifikÄta pÄrbaude dokumentÄcija.
! vpn-demo-1(config)# crypto ca trustpoint SELF vpn-demo-1(config-ca-trustpoint)# enrollment self vpn-demo-1(config-ca-trustpoint)# fqdn vpn-demo.ashes.cc vpn-demo-1(config-ca-trustpoint)# subject-name cn=*.ashes.cc, ou=ashes-lab, o=ashes, c=ru vpn-demo-1(config-ca-trustpoint)# serial-number vpn-demo-1(config-ca-trustpoint)# crl configure vpn-demo-1(config-ca-crl)# cry ca enroll SELF % The fully-qualified domain name in the certificate will be: vpn-demo.ashes.cc Generate Self-Signed Certificate? [yes/no]: yes vpn-demo-1(config)# ! vpn-demo-1(config)# sh cry ca certificates Certificate Status: Available Certificate Serial Number: 4d43725e Certificate Usage: General Purpose Public Key Type: RSA (4096 bits) Signature Algorithm: SHA256 with RSA Encryption Issuer Name: serialNumber=9A439T02F95 hostname=vpn-demo.ashes.cc cn=*.ashes.cc ou=ashes-lab o=ashes c=ru Subject Name: serialNumber=9A439T02F95 hostname=vpn-demo.ashes.cc cn=*.ashes.cc ou=ashes-lab o=ashes c=ru Validity Date: start date: 00:16:17 MSK Mar 19 2020 end date: 00:16:17 MSK Mar 17 2030 Storage: config Associated Trustpoints: SELF CA Certificate Status: Available Certificate Serial Number: 0509 Certificate Usage: General Purpose Public Key Type: RSA (4096 bits) Signature Algorithm: SHA1 with RSA Encryption Issuer Name: cn=QuoVadis Root CA 2 o=QuoVadis Limited c=BM Subject Name: cn=QuoVadis Root CA 2 o=QuoVadis Limited c=BM Validity Date: start date: 21:27:00 MSK Nov 24 2006 end date: 21:23:33 MSK Nov 24 2031 Storage: config Associated Trustpoints: _SmartCallHome_ServerCA- Neaizmirstiet norÄdÄ«t portu, lai pÄrbaudÄ«tu, vai ASDM darbojas, piemÄram:
- Veiksim tuneļa pamatiestatījumus:
- PadarÄ«sim pieejamu korporatÄ«vo tÄ«klu caur tuneli un ļausim iet tieÅ”i internetam (nav droÅ”Äkais veids, ja savienojoÅ”ajam resursdatoram nav aizsardzÄ«bas, ir iespÄjams iekļūt caur inficÄtu resursdatoru un parÄdÄ«t uzÅÄmuma datus, opcija split-tunnel-policy tunellall ielaidÄ«s tunelÄ« visu uzÅÄmÄja satiksmi. tomÄr sadalÄ«ts tunelis ļauj izlÄdÄt VPN vÄrteju un neapstrÄdÄt resursdatora interneta trafiku)
- Izsniegsim adreses no apakÅ”tÄ«kla 192.168.20.0/24 saimniekiem tunelÄ« (kopÄ no 10 lÄ«dz 30 adresÄm (mezglam #1)). Katram VPN klastera mezglam ir jÄbÅ«t savam baseinam.
- MÄs veiksim pamata autentifikÄciju ar lokÄli izveidotu lietotÄju ASA (tas nav ieteicams, Ŕī ir vienkÄrÅ”ÄkÄ metode), labÄk ir veikt autentifikÄciju, izmantojot LDAP/RADIUSS, vai vÄl labÄk, kaklasaiti Daudzfaktoru autentifikÄcija (MFA), Piem Cisco DUO.
! vpn-demo-1(config)# ip local pool vpn-pool 192.168.20.10-192.168.20.30 mask 255.255.255.0 ! vpn-demo-1(config)# access-list split-tunnel standard permit 192.168.0.0 255.255.0.0 ! vpn-demo-1(config)# group-policy SSL-VPN-GROUP-POLICY internal vpn-demo-1(config)# group-policy SSL-VPN-GROUP-POLICY attributes vpn-demo-1(config-group-policy)# vpn-tunnel-protocol ssl-client vpn-demo-1(config-group-policy)# split-tunnel-policy tunnelspecified vpn-demo-1(config-group-policy)# split-tunnel-network-list value split-tunnel vpn-demo-1(config-group-policy)# dns-server value 192.168.99.132 vpn-demo-1(config-group-policy)# default-domain value ashes.cc vpn-demo-1(config)# tunnel-group DefaultWEBVPNGroup general-attributes vpn-demo-1(config-tunnel-general)# default-group-policy SSL-VPN-GROUP-POLICY vpn-demo-1(config-tunnel-general)# address-pool vpn-pool ! vpn-demo-1(config)# username dkazakov password cisco vpn-demo-1(config)# username dkazakov attributes vpn-demo-1(config-username)# service-type remote-access ! vpn-demo-1(config)# ssl trust-point SELF vpn-demo-1(config)# webvpn vpn-demo-1(config-webvpn)# enable outside vpn-demo-1(config-webvpn)# anyconnect image disk0:/anyconnect-win-4.8.03036-webdeploy-k9.pkg vpn-demo-1(config-webvpn)# anyconnect enable !- (NEOBLIGÄTI): IepriekÅ” minÄtajÄ piemÄrÄ attÄlo lietotÄju autentificÄÅ”anai izmantojÄm vietÄjo ITU lietotÄju, kas, protams, ir slikti piemÄrojams, izÅemot laboratoriju. Es sniegÅ”u piemÄru, kÄ Ätri pielÄgot autentifikÄcijas iestatÄ«jumu RADIUS izmantotais serveris Cisco Identity Services Engine:
vpn-demo-1(config-aaa-server-group)# dynamic-authorization vpn-demo-1(config-aaa-server-group)# interim-accounting-update vpn-demo-1(config-aaa-server-group)# aaa-server RADIUS (outside) host 192.168.99.134 vpn-demo-1(config-aaa-server-host)# key cisco vpn-demo-1(config-aaa-server-host)# exit vpn-demo-1(config)# tunnel-group DefaultWEBVPNGroup general-attributes vpn-demo-1(config-tunnel-general)# authentication-server-group RADIUS !Å Ä« integrÄcija ļÄva ne tikai Ätri integrÄt autentifikÄcijas procedÅ«ru ar AD direktoriju pakalpojumu, bet arÄ« atŔķirt, vai pievienotais dators pieder AD, saprast, vai Ŕī ierÄ«ce ir korporatÄ«va vai personiska, un novÄrtÄt pievienotÄs ierÄ«ces statusu. .
- KonfigurÄsim Transparent NAT tÄ, lai trafika starp klientu un korporatÄ«vÄ tÄ«kla resursiem netiktu uzrakstÄ«ta:
vpn-demo-1(config-network-object)# subnet 192.168.20.0 255.255.255.0 ! vpn-demo-1(config)# nat (inside,outside) source static any any destination static vpn-users vpn-users no-proxy-arp- (NEOBLIGÄTI): Lai mÅ«su klienti varÄtu piekļūt internetam, izmantojot ASA (izmantojot tunelis opcijas), izmantojot PAT, kÄ arÄ« iziet caur to paÅ”u ÄRÄJO interfeisu, no kura tie ir savienoti, jums jÄveic Å”Ädi iestatÄ«jumi
vpn-demo-1(config-network-object)# nat (outside,outside) source dynamic vpn-users interface vpn-demo-1(config)# nat (inside,outside) source dynamic any interface vpn-demo-1(config)# same-security-traffic permit intra-interface !- Izmantojot klasteri, ir ÄrkÄrtÄ«gi svarÄ«gi ļaut iekÅ”Äjam tÄ«klam saprast, kuram ASA novirzÄ«t atpakaļ trafiku lietotÄjiem, Å”im nolÅ«kam ir jÄpÄrdala marÅ”ruti / 32 klientiem izsniegtÄs adreses.
Å obrÄ«d mÄs vÄl neesam konfigurÄjuÅ”i klasteru, taÄu mums jau ir strÄdÄjoÅ”as VPN vÄrtejas, kuras var atseviŔķi savienot, izmantojot FQDN vai IP.
MÄs redzam pievienoto klientu pirmÄs ASA marÅ”rutÄÅ”anas tabulÄ:
Lai viss mÅ«su VPN klasteris un viss korporatÄ«vais tÄ«kls zinÄtu marÅ”rutu lÄ«dz mÅ«su klientam, mÄs pÄrdalÄ«sim klienta prefiksu dinamiskÄ marÅ”rutÄÅ”anas protokolÄ, piemÄram, OSPF:
! vpn-demo-1(config)# route-map RMAP-VPN-REDISTRIBUTE permit 1 vpn-demo-1(config-route-map)# match ip address VPN-REDISTRIBUTE ! vpn-demo-1(config)# router ospf 1 vpn-demo-1(config-router)# network 192.168.255.0 255.255.255.0 area 0 vpn-demo-1(config-router)# log-adj-changes vpn-demo-1(config-router)# redistribute static metric 5000 subnets route-map RMAP-VPN-REDISTRIBUTETagad mums ir marÅ”ruts uz klientu no otrÄs ASA-2 vÄrtejas, un lietotÄji, kas ir savienoti ar dažÄdÄm VPN vÄrtejÄm klasterÄ«, var, piemÄram, sazinÄties tieÅ”i, izmantojot korporatÄ«vo softphone, kÄ arÄ« atgriezt trafiku no lietotÄja pieprasÄ«tajiem resursiem. dodieties uz vÄlamo VPN vÄrteju:
-
PÄriesim pie slodzes lÄ«dzsvaroÅ”anas klastera konfigurÄÅ”anas.
Adrese 192.168.31.40 tiks izmantota kÄ VirtuÄlais IP (VIP ā visi VPN klienti sÄkotnÄji tai pieslÄgsies), no Ŕīs adreses Master klasteris veiks REDIRECT uz mazÄk noslogotu klastera mezglu. Neaizmirsti uzrakstÄ«t uz priekÅ”u un apgrieztu DNS ierakstu gan katrai klastera mezgla katrai ÄrÄjai adresei / FQDN, gan VIP.
vpn-demo-1(config)# vpn load-balancing vpn-demo-1(config-load-balancing)# interface lbpublic outside vpn-demo-1(config-load-balancing)# interface lbprivate inside vpn-demo-1(config-load-balancing)# priority 10 vpn-demo-1(config-load-balancing)# cluster ip address 192.168.31.40 vpn-demo-1(config-load-balancing)# cluster port 4000 vpn-demo-1(config-load-balancing)# redirect-fqdn enable vpn-demo-1(config-load-balancing)# cluster key cisco vpn-demo-1(config-load-balancing)# cluster encryption vpn-demo-1(config-load-balancing)# cluster port 9023 vpn-demo-1(config-load-balancing)# participate vpn-demo-1(config-load-balancing)#- MÄs pÄrbaudÄm klastera darbÄ«bu ar diviem savienotiem klientiem:
- PadarÄ«sim klienta pieredzi ÄrtÄku ar automÄtiski ielÄdÄtu AnyConnect profilu, izmantojot ASDM.
MÄs nosaucam profilu ÄrtÄ veidÄ un saistÄm ar to mÅ«su grupas politiku:
PÄc nÄkamÄ klienta savienojuma izveides Å”is profils tiks automÄtiski lejupielÄdÄts un instalÄts AnyConnect klientÄ, tÄpÄc, ja nepiecieÅ”ams izveidot savienojumu, jums tas vienkÄrÅ”i jÄatlasa sarakstÄ:
TÄ kÄ mÄs izveidojÄm Å”o profilu tikai vienÄ ASA, izmantojot ASDM, neaizmirstiet atkÄrtot darbÄ«bas ar citÄm klastera ASA.
SecinÄjums: TÄdÄjÄdi mÄs Ätri izvietojÄm vairÄku VPN vÄrteju kopu ar automÄtisku slodzes lÄ«dzsvaroÅ”anu. Jaunu mezglu pievienoÅ”ana klasterim ir vienkÄrÅ”a, izmantojot vienkÄrÅ”u horizontÄlu mÄrogoÅ”anu, izvietojot jaunas ASAv virtuÄlÄs maŔīnas vai izmantojot aparatÅ«ras ASA. Ar funkcijÄm bagÄtais AnyConnect klients var ievÄrojami uzlabot droÅ”u attÄlo savienojumu, izmantojot StÄja (stÄvokļa aprÄÄ·ini), ko visefektÄ«vÄk izmanto kopÄ ar centralizÄtÄs kontroles un piekļuves uzskaites sistÄmu IdentitÄtes pakalpojumu dzinÄjs.
Avots: www.habr.com