推 lovespre: client ip怎麼會給個mapping ip? 高風險架構A 07/09 11:27
→ lovespre: rounting是從core sw走的 一改架構二手動抓出來走fw1 07/09 11:29
→ lovespre: 另外問wan之間的ip該不會給整段C? 07/09 11:30
→ gamecheat: 有些歷史包袱 在不想更變原架構orIP情況下 有無其他辦 07/09 11:32
→ billboy: 可以用PBR不過會變成192.168.11.x出去的一定要走FW1出去 07/09 12:16
→ gamecheat: 可能沒辦法 最大目地就是要讓192.168.11.x 走FW2 07/09 12:20
→ billboy: 這樣會有問題啊～～你的fw2沒進來的session,可是有出去的 07/09 12:24
→ billboy: session,這樣fw2會認為有問題～～就會檔下來啊～～ 07/09 12:25
→ gamecheat: 已知會有問題了 所以想問在條件下有沒有解法? 07/09 12:35
→ billboy: 不然把map拿掉,fw1和fw2拿一條線把他接起來～～加static 07/09 12:36
推 lovespre: ASA可以解決session不同方向進出的問題 07/09 12:38
→ billboy: route 進fw1後送到fw2～～然後騙你老闆說～～你看,現在 07/09 12:38
→ billboy: 是走fw2出去～～科科科～ 07/09 12:39
→ gamecheat: 樓上可能誤會意思了 clinet內對外走FW2 目前沒問題 07/09 12:55
→ gamecheat: 問題是外對內mapping FW1進來的 他會走FW2出去 這段會 07/09 12:57
→ gamecheat: 有問題 應該是要走FW1才對 07/09 12:57
→ gamecheat: 要改動的話 要滿足原本"內對外都走FW2"的條件 07/09 12:58
→ gamecheat: 但FW1進來的 不限制 怎麼進來就怎麼出去 如果有辦法讓 07/09 12:59
→ gamecheat: FW1進來從FW2出 也是可以 07/09 13:00
推 billboy: 哪就設PBR啊～～不過map哪幾個ip進出都是會走fw1 07/09 13:01
→ deadwood: 不少防火牆都能放行非對稱路由的tcp session了 07/09 14:19
→ deadwood: 你只要找出你家防火牆開放該功能的設定方式即可 07/09 14:20
→ deadwood: 主要是FW2要開啟這個功能 07/09 14:20
推 asdfghjklasd: Ascenlink 一台就搞定了.那來一堆問題 07/09 14:30
→ deadwood: "不肯改架構"就是問題的來源嘍XD 07/09 14:35
推 TKOW: 直接在core做PBR最快阿 07/09 15:00
推 xxoo1122: 用haproxy就可以解決 07/09 16:08
推 sssxyz: WAN1繞送進來的多做source nat 但這樣系統access log 07/09 16:54
→ sssxyz: 會被遮蔽為少數IP 07/09 16:54
→ sssxyz: 非同步路由不太建議在FW上打開 會失去些許功能(session) 07/09 16:55
→ sssxyz: AscenLink在某些情況下 本身就是問題 效能不優 07/09 16:56
→ sssxyz: 可能被買走後也許會慢慢改善吧 07/09 16:56
→ deadwood: 最根本的方法是把那幾台會讓外面連進來的搬到DMZ去吧 07/09 17:08
→ deadwood: 放在內網又要讓外網連入、又要上網是哪招? 07/09 17:09
推 sssxyz: 是...Client網段應該明確與提供服務的Server切分 07/09 17:16
→ sssxyz: 提供外部服務的歸屬於DMZ比較正常 07/09 17:16
→ sssxyz: 但可能某些公司或多或少 都有些包袱或故事 沒辦法這樣做吧 07/09 17:17
推 mate99: 不知道fw1設定mapping的那一條policy的source nat 啟用會 07/09 19:30
→ mate99: 不會有辦法解決 07/09 19:30
→ asdfghjklasd: 見鬼了,原po就是用 Ascenlink... 07/09 21:02