Cisco Problem

[don-]

Haben eine ASA (8.4) und folgende Netze:

ClientVPN, Site2SiteVPN (ohne NAT), 2 Lokale Netze (über ein Transfernetz an einem Catalyst)

Die 2 lokalen Netze dürfen über den Site2Site zum Kunden.

Jetzt sollen auch User vom ClientVPN über den Site2Site Tunnel zum Kunden gehen, der Kunde möchte aber an seiner Config nichts ändern.

d.h. ich müsste jetzt theoretisch einen Verbindungsaufbau vom ClientVPN zum Kunden mit einer IP von Lokal1/2 NATen?!

192.168.5.0  172.16.0.0
ClientVPN   Site2Site
  |               |
  ASA-------------
  | .1
  |192.168.10.0
  | .2
  Catalyst
  |       |
Lokal1    Lokal2
192.168.0.0 192.168.1.0

[Mirage]

Ja, das sollte eigentlich kein Problem sein. Einfach per Source NAT die Adresse der ClientVPNs durch eine IP der lokalen Netze tauschen. Ich kenne mich mit den ASAs leider nur bedingt aus, da ich sie selbst nicht verwende. Habe allerdings schon mit anderen Produkten das gleiche Szenario abgebildet.

[moobox]

Wäre es nicht leichter den Zugriff auf den Site2Site einfach per Policy und einer statischen Route zu ermöglichen?

[don-]

D.h. den Site2Site neu konfigurieren oder PolicyBasedRouting ? Eine neue Konfiguration wird es wohl nicht geben, dafür ist der Aufwand beim Kunden zu groß, sind tatsächliche 2 Firewalls/Admins die da involviert sind. Das mit dem NAT werd ich dann mal ausprobieren...

[don-]

War so einfach wie anfangs gedacht... ASA Halbwissen durch alle Jubeljahre mal was anpassen und sowas wie hairpinning und implicit deny lassen mich dann doch lieber 2x im vorraus drüber nachdenken was ich da mache