Я хочу настроить различную инфраструктуру в MS Azure, которая затем будет доступна в нескольких местах, оснащенных устройствами безопасности Cisco Meraki MX. К сожалению, MX еще не поддерживают VPN на основе маршрутов, а Azure поддерживает только сети с несколькими сайтами при использовании VPN на основе маршрутов. Я думаю, что аналогичные проблемы могут существовать с AWS и другими поставщиками облачных услуг.
Я думаю, что смогу обойти это ограничение с помощью виртуального брандмауэра, такого как Cisco ASAv, но мне не удалось найти никакой документации или маркетинговых материалов, которые бы разъясняли, что это подходит. Я знаю, что в прошлом использовал концентратор / лучевую VPN с физическими ASA, но у меня нет опыта работы с ASAv.
Есть ли у кого-нибудь опыт работы с концентратором облачного провайдера с ASAv (или любым другим виртуальным брандмауэром), а филиалы используют брандмауэры, которые не поддерживают IKEv2 или VPN на основе маршрутов, такие как Meraki MX, Cisco ASA и т. Д.?
Вам понадобится статический IP-адрес на CSR, но вы можете использовать динамические DNS-имена Meraki. Meraki VPN настраивается в разделе VPN в масштабах всей организации и распространяется на MX на основе тегов. Фаза 1 и 2 и предварительный общий ключ должны точно совпадать с обеих сторон.
Этап 1: шифрование AES256, аутентификация SHA1, группа DH 5, время жизни 28800
Этап 2: шифрование AES256, аутентификация SHA1, отключение PFS, время жизни 28800
Примеры строк CSR:
crypto isakmp policy 10
encr aes 256
hash sha
authentication pre-share
group 5
crypto isakmp key *shared-key* address 0.0.0.0 <- all zeroes means allow connections from anything
crypto ipsec transform-set T1 esp-AES 256 esp-SHA-hmac
mode tunnel <- implicit if not specified?
crypto map MERAKIMAP 100 ipsec-isakmp
description -something informative-
set peer -MX-dynamicName.dynamic-m.com- dynamic
set transform-set T1
match address 100
interface GigabitEthernet1
crypto map MERAKIMAP
access-list 100 permit ip 10.10.103.0 0.0.0.255 10.10.164.0 0.0.0.255
Как упоминалось выше, мы смогли добиться этого, установив CSR Cisco в Azure. У нас есть 50 MX60W и несколько MX100, которые подключаются к Azure CSR, что позволяет напрямую подключаться к нашим виртуальным серверам Azure.
Конечно, лучшим решением будет установка виртуального MX в Azure. Наш торговый представитель Meraki продолжает обещать, что это произойдет, но пока новостей нет. Недавно он упомянул, что они находятся в стадии бета-тестирования с виртуальным MX в AWS. Поскольку все внимание сосредоточено на настройке облачных хостинговых сред (например, Azure, AWS), я думаю, что Meraki упускает из виду, сколько компаний хотят беспрепятственно соединить все свои местоположения.