作者osiris901 (鱼)
看板Network
标题[除错] Site to Site VPN
时间Wed Jan 12 13:29:52 2011
目前照下面的设定..已经可以互相通到对方的内网了
Config因为有点多 所以我贴在txt 放到网路上..
http://dl.dropbox.com/u/9337809/config.txt
现在是希望让A这边电脑..透过B这边的Untrust出去Internet..
这地方不知道该怎麽下= = 在麻烦版上的高手帮忙一下了 谢谢。
补一下现在两边的Policy和Routing
A的Policy
http://dl.dropbox.com/u/9337809/Snap_2011.01.13%2007.57.09_001.png
A的Routing
http://dl.dropbox.com/u/9337809/Snap_2011.01.13%2007.58.01_002.png
B的Policy
http://dl.dropbox.com/u/9337809/Snap_2011.01.13%2008.02.06_003.png
B的Routing
http://dl.dropbox.com/u/9337809/Snap_2011.01.13%2008.02.21_004.png
--
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 114.32.24.230
1F：→ wst2080:这样的话 问题就简单了 两个关键点 A这边的电脑 以及 B 01/12 14:25
2F：→ wst2080:那边的Firewall 是A这边的电脑 就要看自己的路由表 01/12 14:25
3F：→ wst2080:而B端的防火墙 只要注意有没有开放VPN所配发的网段即可 01/12 14:26
4F：→ osiris901:这样单台电脑ok...可是A整个网段的电脑都得这样设定吗 01/12 14:34
5F：→ wst2080:若是整个网段的话 那就得从Default Gateway 下手 01/12 14:42
6F：→ wst2080:不过一般来说 我会不建议这个方法 !!! 01/12 14:42
7F：→ wst2080:(从A端的Default Gateway) 01/12 14:42
8F：→ osiris901:A的防火墙加一条Routing Tablet.. 01/12 15:10
9F：→ osiris901:将A的网段加一条B的(Wan ? Lan?) 当作Gateway吗?? 01/12 15:11
10F：→ wst2080:不知道你的Default Gateway是不是A的防火墙 若是...那就 01/12 16:49
11F：→ wst2080:在那台防火墙上加上Default Route 并且在B防火墙设置... 01/12 16:50
12F：→ wst2080:若要到A网段的IP 要丢给哪一个介面 or Next-Hop... 01/12 16:50
14F：→ infosec:firewall A不能有default gateway 01/12 22:14
15F：→ osiris901:我default gateway移除掉..VPN没断但Ping不到B的网段了 01/12 23:10
16F：→ osiris901:我这个作法是靠路由协定去做VPN..如果是政策协定会OK吗 01/12 23:18
17F：→ billboy:POLICY ROUTE 应该是可以~SOURCE IP是A网网段的~NEXT HOP 01/12 23:35
18F：→ billboy:就设到B那边去~B那边加一段把要到A的在送回来~理论上应 01/12 23:36
19F：→ billboy:该要可以~ 01/12 23:37
20F：→ billboy:在a上面把default拿掉~这样会通吗??我怎觉的vpn也会断啊~ 01/12 23:38
21F：→ osiris901:刚不知明原因断掉一边= =..明天才能试了 01/12 23:47
22F：→ osiris901:刚刚拿掉default..VPN还是连着= = 01/12 23:47
23F：→ osiris901:因为我有远端连着电脑..没断线很神奇=0= 01/12 23:47
24F：→ infosec:没default gateway 不代表不用设其它的'两笔route' 01/12 23:49
25F：→ billboy:没default route~vpn要怎麽建??应该连到isp都有问题吧~ 01/12 23:50
26F：→ billboy:你说的政策协定~是不是POLICY BASE的VPN~如果是~我觉的作 01/12 23:52
27F：→ billboy:不到你要的需求耶~~不过我没试过就是~ 01/12 23:54
28F：→ billboy:不过如果POLICY BASE VPN的优先权在DEFAULT ROUTE之前的话 01/13 00:03
29F：→ billboy:应该还是有可能可以~ 01/13 00:05
30F：→ infosec:billboy你应该想想为什麽需要default route才能通 01/13 01:01
31F：→ infosec:在我的router上 是没有default route的 上面建了八个vpn 01/13 01:02
32F：→ billboy:嗯啊~我就是不懂没DEFAULT为啥会通~没DEFAULT~要怎样连上 01/13 01:30
33F：→ billboy:ISP??? 01/13 01:31
34F：→ billboy:除非是点对点那种才可能不用DEFAULT GATEWAY~ 01/13 01:32
35F：→ billboy:不然就是每一笔ROUTE 都自己手动打上去~不然要怎麽通~ 01/13 01:34
36F：→ billboy:一笔一笔打当然也可以通~不过INTERNET有33万1笔ROUTE耶~ 01/13 01:40
37F：→ billboy:USER不上INTERNET当然这样也可以啊~ 01/13 01:41
※ 编辑: osiris901 来自: 114.32.24.230 (01/13 08:06)
38F：→ osiris901:可以问一下Next Hop这是做甚麽用的吗@@ 01/13 08:22
39F：→ billboy:POLICY BASE的ROUTING~要先建ROUTE MAP~ 01/13 16:32
40F：→ billboy:我在JUNIPER的SSG 140有看到这东西~5系列不知有没有~ 01/13 16:32