Hub and Spoke型VPN構築について

[yu-shinnt]

お世話になっております。

Site1 --- Site2 --- Site3　のような、Site2をHUBとして経由し、Site1とSite3が通信可能なVPNを構築しようとしているのですが
Site1⇔Site2間のVPN及びSite2⇔Site3間のVPN接続が確立しているにも関わらず、Site1からSite3への通信が出来ない状況です。

Site1～3は全てCisco ASA55xxシリーズを利用しています。

http://www.cisco.com/en/US/products/ps6120/products_configuration_example09186a00807f9a89.shtml
あたりを参考に設定してみたのですが、原因がさっぱり分からない状況です。

どなたか、確認すべき項目及び確認方法や、同構成を実現するためのコンフィグご提示をお願い出来ませんでしょうか。

よろしくお願い致します。

[t-yamashita]

こんにちは。

各 ASA ののルーティングテーブルの状況はどうでしょうか？

show run, show route を添付頂く事は可能ですか？

どうぞよろしくお願い致します。

[yu-shinnt]

返信ありがとうございます。

添付ファイルをご査収下さい。

Site1が親拠点のように見えると思いますが、訳あってSite2がHub拠点となるVPNが必要なのです。

[t-yamashita · Accepted solution]

ログの送付ありがとうございます。

確認させて頂きましたが、基本的な設定は問題ないと思います。

一般的な切り分けについてですが、

・当該通信がどこまで流れているか。

・その通信が暗号化されているか。

等を確認します。確認はキャプチャや、show コマンドを実行してください。

Site1（3） の outside から通信が流れていない場合は、セレクタや、ルーティング等について、ご確認ください。

通信が確認できる場合は、

・どこでトラフィックが落ちているのか。

・想定どおりのパケットかどうか。（NAT 等で予期せぬパケットに変換されていないか等）

・フィルタされていないか。

等をご確認頂ければと思います。

ご参考になれば幸いです。

[yu-shinnt]

お世話になります。

本件、問題解決しました。

Hubとなる拠点（Site2のASA）で、「same-security-traffic permit intra-interface」の投入にて解決しました。

どうもありがとうございました。

[t-yamashita]

こんにちは。

同一のインターフェースで、折り返す時も、（インターフェースのセキュリティレベルが同じと認識して）、このコマンドが必要なのですね。

お役に立てず申し訳ありません。

こちらこそとても勉強になりました。

フィードバックありがとうございました。