作者gamecheat ()
看板MIS
標題[請益] 雙防火牆 路由問題
時間Thu Jul 9 11:06:49 2015
請教各位先進~
架構請見下圖
http://i.imgur.com/hi1uAVb.jpg
由於某些因素，圖中紅色部份是後來新增的FW
目地是想要達成:
Client上網行為走FW2
存取DMZ Server則走FW1
Core Static routing:
0.0.0.0/0 next-hop 192.168.3.254
172.20.1.0/24 next-hop 192.168.1.254
這樣設 內部對外基本上有達成目地
但問題來了
192.168.11.0/24 裡面有些ip有mapping WAN1的外部IP
例如: 192.168.11.100 mapping WAN1:1.1.1.1
外部會無法連進來
會變成 由WAN1進來 從WAN2出??
在不要把mapping IP 改成WAN2的情況下，有什麼做法呢?
欲達成
1.內對外上網行為都走FW2
2.外對內維持走FW1
P.S 沒有FW2情況下
Static routing改回 0.0.0.0/0 next-hop 192.168.1.254
外對內 內對外 都是OK的喔
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 59.124.164.127
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MIS/M.1436411214.A.797.html
1F：推 lovespre: client ip怎麼會給個mapping ip? 高風險架構A 07/09 11:27
2F：→ lovespre: rounting是從core sw走的 一改架構二手動抓出來走fw1 07/09 11:29
3F：→ lovespre: 另外問wan之間的ip該不會給整段C? 07/09 11:30
4F：→ gamecheat: 有些歷史包袱 在不想更變原架構orIP情況下 有無其他辦 07/09 11:32
5F：→ billboy: 可以用PBR不過會變成192.168.11.x出去的一定要走FW1出去 07/09 12:16
6F：→ gamecheat: 可能沒辦法 最大目地就是要讓192.168.11.x 走FW2 07/09 12:20
7F：→ billboy: 這樣會有問題啊～～你的fw2沒進來的session,可是有出去的 07/09 12:24
8F：→ billboy: session,這樣fw2會認為有問題～～就會檔下來啊～～ 07/09 12:25
9F：→ gamecheat: 已知會有問題了 所以想問在條件下有沒有解法? 07/09 12:35
10F：→ billboy: 不然把map拿掉,fw1和fw2拿一條線把他接起來～～加static 07/09 12:36
11F：推 lovespre: ASA可以解決session不同方向進出的問題 07/09 12:38
12F：→ billboy: route 進fw1後送到fw2～～然後騙你老闆說～～你看,現在 07/09 12:38
13F：→ billboy: 是走fw2出去～～科科科～ 07/09 12:39
14F：→ gamecheat: 樓上可能誤會意思了 clinet內對外走FW2 目前沒問題 07/09 12:55
15F：→ gamecheat: 問題是外對內mapping FW1進來的 他會走FW2出去 這段會 07/09 12:57
16F：→ gamecheat: 有問題 應該是要走FW1才對 07/09 12:57
17F：→ gamecheat: 要改動的話 要滿足原本"內對外都走FW2"的條件 07/09 12:58
18F：→ gamecheat: 但FW1進來的 不限制 怎麼進來就怎麼出去 如果有辦法讓 07/09 12:59
19F：→ gamecheat: FW1進來從FW2出 也是可以 07/09 13:00
20F：推 billboy: 哪就設PBR啊～～不過map哪幾個ip進出都是會走fw1 07/09 13:01
21F：→ deadwood: 不少防火牆都能放行非對稱路由的tcp session了 07/09 14:19
22F：→ deadwood: 你只要找出你家防火牆開放該功能的設定方式即可 07/09 14:20
23F：→ deadwood: 主要是FW2要開啟這個功能 07/09 14:20
24F：推 asdfghjklasd: Ascenlink 一台就搞定了.那來一堆問題 07/09 14:30
25F：→ deadwood: "不肯改架構"就是問題的來源嘍XD 07/09 14:35
26F：推 TKOW: 直接在core做PBR最快阿 07/09 15:00
27F：推 xxoo1122: 用haproxy就可以解決 07/09 16:08
28F：推 sssxyz: WAN1繞送進來的多做source nat 但這樣系統access log 07/09 16:54
29F：→ sssxyz: 會被遮蔽為少數IP 07/09 16:54
30F：→ sssxyz: 非同步路由不太建議在FW上打開 會失去些許功能(session) 07/09 16:55
31F：→ sssxyz: AscenLink在某些情況下 本身就是問題 效能不優 07/09 16:56
32F：→ sssxyz: 可能被買走後也許會慢慢改善吧 07/09 16:56
33F：→ deadwood: 最根本的方法是把那幾台會讓外面連進來的搬到DMZ去吧 07/09 17:08
34F：→ deadwood: 放在內網又要讓外網連入、又要上網是哪招? 07/09 17:09
35F：推 sssxyz: 是...Client網段應該明確與提供服務的Server切分 07/09 17:16
36F：→ sssxyz: 提供外部服務的歸屬於DMZ比較正常 07/09 17:16
37F：→ sssxyz: 但可能某些公司或多或少 都有些包袱或故事 沒辦法這樣做吧 07/09 17:17
38F：推 mate99: 不知道fw1設定mapping的那一條policy的source nat 啟用會 07/09 19:30
39F：→ mate99: 不會有辦法解決 07/09 19:30
40F：→ asdfghjklasd: 見鬼了,原po就是用 Ascenlink... 07/09 21:02