☰

VPN работает, за исключением DNS-запросов. Проблема с брандмауэром (Cisco ASA 5505)?

tag-icon • tag-icon domain-name-system vpn firewall mac-osx-server cisco-asa
VPN работает, за исключением DNS-запросов. Проблема с брандмауэром (Cisco ASA 5505)?

У меня есть следующая настройка:

LAN ->  DHCP / DNS / VPN server (OSX 10.6) -> Cisco ASA 5505 -> WAN

Подключение к локальной сети через VPN работает нормально. Я получаю все данные правильно и могу пинговать любой хост во внутренней сети, используя его IP. Однако я не могу выполнить поиск хостов вообще. Я просмотрел журналы и нашел этот фрагмент в журнале брандмауэра:

3   Sep 08 2010 10:46:40    305006  10.0.0.197  65371           portmap translation creation failed for udp src inside:myhostname.local/53 dst inside:10.0.0.197/65371

Порт 53 — это DNS-сервисы, не так ли? Из-за этой записи в журнале я думаю, что проблема в брандмауэре, а не в сервере. Есть идеи? Пожалуйста, имейте в виду, что у меня очень мало знаний и опыта работы с этим типом брандмауэра, а тот небольшой опыт, который у меня есть, связан с консолью ASDM GUI, а не с консолью CLI.

решение1

1) Устанавливают ли ваши клиенты туннель напрямую с ASA или с «VPN-сервером» на вашей схеме? 2) Предоставляется ли вашим VPN-клиентам тот же диапазон IP-адресов, что и вашей внутренней сети, или отдельный диапазон?

Судя по записи журнала, похоже, что ваши клиенты устанавливают туннель к ASA и получают другую подсеть, нежели внутренняя сеть. Если это так, я думаю, вам нужно правило исключения NAT на вашем ASA, чтобы сказать ему не пытаться транслировать трафик NAT между вашим внутренним диапазоном IP и вашим диапазоном IP VPN. Это сохраняет ваши исходную (подсеть VPN) и целевую сети (внутренняя подсеть), поэтому ASA не думает, что ему нужно публичное/частное правило NAT для доступа к внутренней сети на основе 2 интерфейсов, через которые он видит проходящий трафик. В графическом интерфейсе это находится в разделе: вкладка «Конфигурация»>>«Брандмауэр»>>«Правила NAT», хотя у меня был неоднозначный опыт создания таких правил в графическом интерфейсе — возможно, придется обратиться к CLI.

решение2

По моему опыту, это должно работать с заводской конфигурацией ASA. Проверьте любые настройки DHCP на ASA, которые могут переопределять ваши настройки с вашего сервера DHCP локальной сети.

Строки, на которые следует обратить внимание: dhcpd domain, dhcpd dnsи dhcpd auto_config.

Настройка, которую я использую, довольно надежна, но в ней ASA выполняет DHCP для локальных клиентов — это означает, что в случае сбоя VPN пользователи по-прежнему будут иметь доступ к локальным системам.

решение3

У меня нет опыта работы с конкретным оборудованием, с которым вы работаете. Однако с OpenVPN вам нужно иметь мостовую сеть для работы DNS-запросов. Судя по всему, у вас уже настроен мостовой VPN (т. е. ваш клиентский IP-адрес находится в том же диапазоне, что и сеть назначения).

При настройке мостовой сети таким образом ваш DNS-сервер может по-прежнему привязываться к исходному интерфейсу Ethernet, а не к новому мостовому интерфейсу.

Если это так, пакеты не будут попадать на маршрутизатор правильно. Заставьте DNS-сервер привязаться к интерфейсу моста или, что еще лучше, к IP-адресу интерфейса моста, чтобы он работал независимо от того, активен VPN или нет.

решение4

У меня та же проблема с Cisco VPN Client, работающим с USB GSM модемом. Проблема была решена с помощью следующего предложения в ASA Cisco ASA.

group-policy TestVPN attributes
  split-dns value dominioprivado1.com dominioprivado1.org dominioprivado1.net

Где «dominioprivado1.com dominioprivado1.org dominioprivado1.net» — это зоны DNS, содержащие имена серверов privates.

Связанный контент