[請益] SITE TO SITE VPN ROUTE TABLE

[megasteel (MS)]

各位網管好

最近因敝公司被要求一件特別的事件，不知有沒有人作過... 要求如下

SITE TO SITE VPN

COMPANY A <-----> COMPANY B (後面簡稱A、B)

這走的是IPSec，兩間公司各有網段以VPN TUNNEL互通

因對岸你也知的，有鎖一些網站，故被要求需將A往B的ROUTE可以從B出去

將設備上DEFAULT ROUTE改到VPN ROUTE會造成A原先設備的網路異常

(A端設備都要重新規劃設定)，在不這樣改動的情況下只想到用HOST TO SITE

這種方式去走B的路由繞出去

而主管說以前SITE TO SITE可以直接吃B的路由繞出去

A也不用作什麼設定都可以正常運行(其實應該是不行)

所以想問的是，有哪牌子的設備是可以設定VPN ROUTE TABLE的?

在此先感謝各位的幫忙

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.26.101.45
※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1437569181.A.347.html
→ infosec: 很久以前在network版 我有寫一篇 搜尋一下就有
→ megasteel: 感謝，雖然有想到JUNIPER的VPN GATEWAY，不過不知老闆
→ megasteel: 給不給買... 以前有印象JUNIPER好像能這樣作，FORTI
→ megasteel: 好像也行?
→ asdfghjklasd: 想不花錢就能做到，1.要有能力 , 2.要有能力 3.要有
→ asdfghjklasd: 能力，不然你是能把裕隆變超跑膩
→ megasteel: 本來想自己架一台VPN SERVER，不過考慮後續沒人會，
→ megasteel: 無法接手的情況下就放棄了，剩下比較二線廠牌的VPN
→ megasteel: 又無法設定VPN ROUTE TABLE，想想作罷用HOST TO SITE
→ megasteel: 的方式解決算了，反正只有幾位大頭會這樣作
推 sssxyz: 你可以擺一台Proxy在另一個Site 然後大家用那個Proxy
想盡量少管些設備... 畢竟要管系統、網路、資料庫、寫程式還得跑OA...

再說，也沒打算久待，而且公司的IT完全沒觀念，用愈多只是麻煩愈多

最重要的一點是，BOSS會四處跑，如果設定忘了改就會被電了

推 tnshoho: FG兩端IPSec VPN,FW路由往B丟..可否解決?
那回到原點了，要ROUTE OVER VPN才行

現有就是用二線廠牌才達不到這個需求，要花錢買一線廠大概會被否決 囧

推 sssxyz: tunnel都可以指定route 但要看網站這樣根本加不完....
→ sssxyz: 加一筆host route to tunnel peer 然後default指過去
→ sssxyz: 理論上會通 不過這樣好怪
目前是VIGOR的設備作VPN，設定ROUTE的選項只有WAN、LAN，沒有TUNNEL選項...

如果選用DEFAULT GATEWAY OVER VPN就會把所有流向全導到B上

那A端SERVER的就比較麻煩了，畢竟不是在自己掌握裡

推 michaellai: 有沒有policy route?
那台VIGOR沒那種東西可以用  XD

總之是極度陽春的設備

剩下一途是換設備或是掛PROXY，但是後者BOSS離開後忘了改設定會被慘電

推 tnshoho: 問一下是VIGOR哪個型號？
VIGOR 3200，韌體3.3.6.1，因為設備不算在我管轄範圍內(但要支援設定)

勾選DEFAULT GATEWAY OVER VPN是全部受影響沒辦法這樣作

推 tnshoho: 用原本Routing選項裡面指向VPN Tunnel無解？
→ tnshoho: 我用2960,單純給去大陸出差然後PPTP回來當跳板上網
→ tnshoho: 至於您公司的架構沒試過（因為只有一台Orz）
LAN裡的STATIC ROUTE嗎? 只有WAN、LAN的選項，沒有VPN TUNNEL

設定指到WAN就單純的從A端的WAN走出去不會經VPN

→ tnshoho: VPN Tunnel設一個IP用到LAN上，然後Static Route指過去?
最後總結了，因為測太多可能的設定造成A那裡有點不爽  XD

現在無法再測試設定，所以目前還是因使用人數及次數少為由

先以HOST TO SITE VPN的方式處理

再此感謝各位的幫忙，謝謝
※ 編輯: megasteel (114.26.98.76), 07/23/2015 18:40:40
推 Usecase: 既然都host-to-site，要不要乾脆用SSLVPN比較省事?
→ megasteel: 是用SSL VPN沒錯，就先這樣解了