ASA5515Xでインターネットをデュアル構成

[TetsuroSakamoto35246]

ASA5515Xを冗長構成にしており、AnyConnectでVPN接続しています。

インターネットは一つのIPSが接続されています。

インターネット側の帯域を増強したいと考えており、2つのIPSで帯域を増強できないかと考えております。

ASAの設定だけで可能でしょうか。

非対称ルーティングなどでうまくVPNが張れるか危惧しております。

[Akira Muranaka · Accepted solution]

こんばんは！

リモートアクセスVPNも併用してる場合は、シンプルな設定で回線冗長化対応は難しいかと思います。。

仮に、リモートアクセスVPNを使っておらず Firewall機能だけの場合は、以下の Zone Traffic機能を使えば、複数WANの収容と同時利用は可能なのですが、残念ながら当機能はVPNには対応してません。。
https://community.cisco.com/t5/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-traffic-zone-%E5%86%97%E9%95%B7wan%E3%81%AE-%E9%9D%9E%E5%AF%BE%E7%A7%B0%E3%83%AB%E3%83%BC%E3%83%86%E3%82%...

そのため、回線を2つはあきらめ、ASA5515のデータシート上のVPNパフォーマンスは (理想的な環境下で) 250Mbpsなので、(かなりざっくりですが) 実環境の速度は6-7割くらいと見積もって想定すると、150-200Mbpsくらいが実環境のVPN最大速度の目安になると思うので、200Mbps以上出る光回線を1本引いて 古い回線は解約した方がシンプルで移行も楽かと思います。

もしくは、回線を2つ引く場合は、各回線ごとに収容用のASAを用意し、2台間でプロファイルを使って接続を分散するのも手です。
https://community.cisco.com/t5/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-anyconnect-client-profile-%E3%83%90%E3%83%83%E3%82%AF%E3%82%A2%E3%83%83%E3%83%97%E3%82%B5%E3%83%BC%E3%83%...

ご参考になれば！

[TetsuroSakamoto35246]

お返事ありがとうございます。

やはりVPN利用下での回線冗長は難しいのですね。

代替案まで提案していただき大変助かります。

参考にさせていただきます。

ありがとうございました！