› 看板 Network 關於我們 聯絡資訊
作者osiris901 (魚)
看板Network
標題[除錯] Site to Site VPN
時間Wed Jan 12 13:29:52 2011
目前照下面的設定..已經可以互相通到對方的內網了 Config因為有點多 所以我貼在txt 放到網路上.. http://dl.dropbox.com/u/9337809/config.txt 現在是希望讓A這邊電腦..透過B這邊的Untrust出去Internet.. 這地方不知道該怎麼下= = 在麻煩版上的高手幫忙一下了 謝謝。 補一下現在兩邊的Policy和Routing A的Policy http://dl.dropbox.com/u/9337809/Snap_2011.01.13%2007.57.09_001.png
A的Routing http://dl.dropbox.com/u/9337809/Snap_2011.01.13%2007.58.01_002.png
B的Policy http://dl.dropbox.com/u/9337809/Snap_2011.01.13%2008.02.06_003.png
B的Routing http://dl.dropbox.com/u/9337809/Snap_2011.01.13%2008.02.21_004.png
-- -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 114.32.24.230
→ wst2080:這樣的話 問題就簡單了 兩個關鍵點 A這邊的電腦 以及 B 01/12 14:25
→ wst2080:那邊的Firewall 是A這邊的電腦 就要看自己的路由表 01/12 14:25
→ wst2080:而B端的防火牆 只要注意有沒有開放VPN所配發的網段即可 01/12 14:26
→ osiris901:這樣單台電腦ok...可是A整個網段的電腦都得這樣設定嗎 01/12 14:34
→ wst2080:若是整個網段的話 那就得從Default Gateway 下手 01/12 14:42
→ wst2080:不過一般來說 我會不建議這個方法 !!! 01/12 14:42
→ wst2080:(從A端的Default Gateway) 01/12 14:42
→ osiris901:A的防火牆加一條Routing Tablet.. 01/12 15:10
→ osiris901:將A的網段加一條B的(Wan ? Lan?) 當作Gateway嗎?? 01/12 15:11
→ wst2080:不知道你的Default Gateway是不是A的防火牆 若是...那就 01/12 16:49
→ wst2080:在那台防火牆上加上Default Route 並且在B防火牆設置... 01/12 16:50
→ wst2080:若要到A網段的IP 要丟給哪一個介面 or Next-Hop... 01/12 16:50
→ osiris901:http://db.tt/FEQBVB6 這是目前的Routing table.. 01/12 17:31
→ infosec:firewall A不能有default gateway 01/12 22:14
→ osiris901:我default gateway移除掉..VPN沒斷但Ping不到B的網段了 01/12 23:10
→ osiris901:我這個作法是靠路由協定去做VPN..如果是政策協定會OK嗎 01/12 23:18
→ billboy:POLICY ROUTE 應該是可以~SOURCE IP是A網網段的~NEXT HOP 01/12 23:35
→ billboy:就設到B那邊去~B那邊加一段把要到A的在送回來~理論上應 01/12 23:36
→ billboy:該要可以~ 01/12 23:37
→ billboy:在a上面把default拿掉~這樣會通嗎??我怎覺的vpn也會斷啊~ 01/12 23:38
→ osiris901:剛不知明原因斷掉一邊= =..明天才能試了 01/12 23:47
→ osiris901:剛剛拿掉default..VPN還是連著= = 01/12 23:47
→ osiris901:因為我有遠端連著電腦..沒斷線很神奇=0= 01/12 23:47
→ infosec:沒default gateway 不代表不用設其它的'兩筆route' 01/12 23:49
→ billboy:沒default route~vpn要怎麼建??應該連到isp都有問題吧~ 01/12 23:50
→ billboy:你說的政策協定~是不是POLICY BASE的VPN~如果是~我覺的作 01/12 23:52
→ billboy:不到你要的需求耶~~不過我沒試過就是~ 01/12 23:54
→ billboy:不過如果POLICY BASE VPN的優先權在DEFAULT ROUTE之前的話 01/13 00:03
→ billboy:應該還是有可能可以~ 01/13 00:05
→ infosec:billboy你應該想想為什麼需要default route才能通 01/13 01:01
→ infosec:在我的router上 是沒有default route的 上面建了八個vpn 01/13 01:02
→ billboy:嗯啊~我就是不懂沒DEFAULT為啥會通~沒DEFAULT~要怎樣連上 01/13 01:30
→ billboy:ISP??? 01/13 01:31
→ billboy:除非是點對點那種才可能不用DEFAULT GATEWAY~ 01/13 01:32
→ billboy:不然就是每一筆ROUTE 都自己手動打上去~不然要怎麼通~ 01/13 01:34
→ billboy:一筆一筆打當然也可以通~不過INTERNET有33萬1筆ROUTE耶~ 01/13 01:40
→ billboy:USER不上INTERNET當然這樣也可以啊~ 01/13 01:41
※ 編輯: osiris901 來自: 114.32.24.230 (01/13 08:06)
→ osiris901:可以問一下Next Hop這是做甚麼用的嗎@@ 01/13 08:22
→ billboy:POLICY BASE的ROUTING~要先建ROUTE MAP~ 01/13 16:32
→ billboy:我在JUNIPER的SSG 140有看到這東西~5系列不知有沒有~ 01/13 16:32