作者megasteel (MS)
看板MIS
標題[請益] SITE TO SITE VPN ROUTE TABLE
時間Wed Jul 22 20:46:18 2015
各位網管好
最近因敝公司被要求一件特別的事件，不知有沒有人作過... 要求如下
SITE TO SITE VPN
COMPANY A <-----> COMPANY B (後面簡稱A、B)
這走的是IPSec，兩間公司各有網段以VPN TUNNEL互通
因對岸你也知的，有鎖一些網站，故被要求需將A往B的ROUTE可以從B出去
將設備上DEFAULT ROUTE改到VPN ROUTE會造成A原先設備的網路異常
(A端設備都要重新規劃設定)，在不這樣改動的情況下只想到用HOST TO SITE
這種方式去走B的路由繞出去
而主管說以前SITE TO SITE可以直接吃B的路由繞出去
A也不用作什麼設定都可以正常運行(其實應該是不行)
所以想問的是，有哪牌子的設備是可以設定VPN ROUTE TABLE的?
在此先感謝各位的幫忙
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.26.101.45
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MIS/M.1437569181.A.347.html
1F：→ infosec: 很久以前在network版 我有寫一篇 搜尋一下就有 07/22 21:25
2F：→ megasteel: 感謝，雖然有想到JUNIPER的VPN GATEWAY，不過不知老闆 07/22 21:41
3F：→ megasteel: 給不給買... 以前有印象JUNIPER好像能這樣作，FORTI 07/22 21:42
4F：→ megasteel: 好像也行? 07/22 21:42
5F：→ asdfghjklasd: 想不花錢就能做到，1.要有能力 , 2.要有能力 3.要有 07/22 21:52
6F：→ asdfghjklasd: 能力，不然你是能把裕隆變超跑膩 07/22 21:53
7F：→ megasteel: 本來想自己架一台VPN SERVER，不過考慮後續沒人會， 07/22 21:54
8F：→ megasteel: 無法接手的情況下就放棄了，剩下比較二線廠牌的VPN 07/22 21:54
9F：→ megasteel: 又無法設定VPN ROUTE TABLE，想想作罷用HOST TO SITE 07/22 21:55
10F：→ megasteel: 的方式解決算了，反正只有幾位大頭會這樣作 07/22 21:56
11F：推 sssxyz: 你可以擺一台Proxy在另一個Site 然後大家用那個Proxy 07/22 23:02
想盡量少管些設備... 畢竟要管系統、網路、資料庫、寫程式還得跑OA...
再說，也沒打算久待，而且公司的IT完全沒觀念，用愈多只是麻煩愈多
最重要的一點是，BOSS會四處跑，如果設定忘了改就會被電了
12F：推 tnshoho: FG兩端IPSec VPN,FW路由往B丟..可否解決? 07/22 23:03
那回到原點了，要ROUTE OVER VPN才行
現有就是用二線廠牌才達不到這個需求，要花錢買一線廠大概會被否決 囧
13F：推 sssxyz: tunnel都可以指定route 但要看網站這樣根本加不完.... 07/22 23:30
14F：→ sssxyz: 加一筆host route to tunnel peer 然後default指過去 07/22 23:32
15F：→ sssxyz: 理論上會通 不過這樣好怪 07/22 23:32
目前是VIGOR的設備作VPN，設定ROUTE的選項只有WAN、LAN，沒有TUNNEL選項...
如果選用DEFAULT GATEWAY OVER VPN就會把所有流向全導到B上
那A端SERVER的就比較麻煩了，畢竟不是在自己掌握裡
16F：推 michaellai: 有沒有policy route? 07/23 02:51
那台VIGOR沒那種東西可以用 XD
總之是極度陽春的設備
剩下一途是換設備或是掛PROXY，但是後者BOSS離開後忘了改設定會被慘電
17F：推 tnshoho: 問一下是VIGOR哪個型號？ 07/23 08:10
VIGOR 3200，韌體3.3.6.1，因為設備不算在我管轄範圍內(但要支援設定)
勾選DEFAULT GATEWAY OVER VPN是全部受影響沒辦法這樣作
18F：推 tnshoho: 用原本Routing選項裡面指向VPN Tunnel無解？ 07/23 14:54
19F：→ tnshoho: 我用2960,單純給去大陸出差然後PPTP回來當跳板上網 07/23 14:55
20F：→ tnshoho: 至於您公司的架構沒試過（因為只有一台Orz） 07/23 14:55
LAN裡的STATIC ROUTE嗎? 只有WAN、LAN的選項，沒有VPN TUNNEL
設定指到WAN就單純的從A端的WAN走出去不會經VPN
21F：→ tnshoho: VPN Tunnel設一個IP用到LAN上，然後Static Route指過去? 07/23 17:18
最後總結了，因為測太多可能的設定造成A那裡有點不爽 XD
現在無法再測試設定，所以目前還是因使用人數及次數少為由
先以HOST TO SITE VPN的方式處理
再此感謝各位的幫忙，謝謝
※ 編輯: megasteel (114.26.98.76), 07/23/2015 18:40:40
22F：推 Usecase: 既然都host-to-site，要不要乾脆用SSLVPN比較省事? 07/23 22:02
23F：→ megasteel: 是用SSL VPN沒錯，就先這樣解了 07/23 23:25