cancelar
Mostrando los resultados de 
Buscar en lugar de 
Quiere decir: 
cancel
4045
Visitas
0
ÚTIL
3
Respuestas

Cisco ASA 5005

rafaelmont
Level 1
Level 1

Buenas... Mi consulta es la siguiente... Necesito configurar 2 servicios de internet en un solo ASA de manera que si uno de ellos me falla quede trabajando el otro de forma alterna. Tengo un ASA 5005 y no se si puedo hacer esa configuracion en este aparato. Agradezco la ayuda. Gracias

3 RESPUESTAS 3

Ricardo Prado Rueda
Cisco Employee
Cisco Employee

Hola Rafael:

   Un ejemplo de cómo configurar este tipo de escenario se encuentra en el siguiente link:

http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_configuration_example09186a00806e880b.shtml

   Desconozco si el ASA 5505 soporta toda esta configuración, pero dicho equipo es mencionado en este link. Como nota personal, los ASA no fueron diseñados nunca como equipos de ruteo, por lo que siempre será mejor que el encargado de enrutar el tráfico hacia uno u otro proveedor de servicios sea un router, que responderá mucho mejor a este tipo de escenario y así dejamos que el ASA se dedique a proteger la red y aplicar NAT que es su función principal desde el diseño del mismo.

   Saludos,

Rick.

Jaime Gonzalez
Level 1
Level 1

En el ASA5510 se puede no se con el ASA5505

Puedes usar la redundancia y eso se hace habilitando static route  tracking y SLA.  Las rutas estáticas solo desaparecen de la tabla de  enrutamiento si la interface asociada esta down por lo tanto debes  habilitar el static route tracking para que una segunda ruta defaul sea  usada cuando la primera falle.

Podemos Crear dos rutas  estáticas por default con dos métricas diferentes, para que una ruta con  métrica menor la uses con tu ISP preferido y la segunda ruta con  métrica mayor con el otro ISP en caso de que la primera falle.

Básicamente SLA monitorea la ruta de default con pings, si no es accesible da de baja la ruta y la segunda ruta default se usa.

route outside 0.0.0.0 0.0.0.0 1.1.1.1 1 track 1                 *Ruta default metrica 1 con static route tracking habilitado

route backup 0.0.0.0 0.0.0.0 2.2.2.2 100                         *Ruta backup default con metrica 100

sla monitor 50                                                              *Habilitar un Monitoreo con numero 50

  type echo protocol ipIcmpEcho 1.1.1.1 interface outside  *Se monitorea con pings a la IP 1.1.1.1

  num-packets 3                                                           *Numero de pings, por default el valor es 1

   frequency 10                                                             *Cada cuando se envian los pings , default 60seg

sla monitor schedule 50 life forever start-time now           *Inicia el monitoreo

track 1 rtr 50 reachability                                         *Relaciona el monitoreo con la ruta.Track 1 y SLA 50

SLA hace test con pings hacia la 1.1.1.1 cada 10 segundos enviando 3  paquetes ICMP, si no hay respuesta la ruta que tiene habilitada el  "track 1" se da de baja y se usa la segunda ruta.

SLA continua  monitoreando la ruta caída, si esta esta disponible nuevamente la ruta  es reinstalada en la tabla de enrutamiento, y es usada porque tiene  mejor métrica.

El ASA5505 soporta el SLA y el Tracking lo unico que debes tener en cuenta es lo siguiente si tu licencia es Base ya que esta licencia esta hecha para que solo tengas 3 VLANs pero hay una restriccion de trafico en la cual una de las Vlans solo podre tener comunicacion con cualquiera de las otras dos vlans pero nunca con ambas. Si tienes dos vlans ya configuradas (digamos Vlan1: Inside & Vlan2:outside) en la tercera Vlan (para este caso Vlan3:backup) no podras configurar el paramters de "nameif" hasta que no apliques lo siguiente:

interface vlan 3

no forward interface Vlan2

nameif backup

security-level 0

De esta manera le estas diciendo al ASA que va a haber una tercera Vlan (Vlan3) que puede hacer forward del trafico unica y exclusivamente hacia el inside (Vlan1) y nunca hacia el ISP1 (Vlan2). Dado que el ASA no permite Balanceo de Carga entre dos ISP esto es logico, la Vlan 3 no tiene que enviar nunca trafico hacia la Vlan2.

Cordialmente

Jose