PIX/ASA 7.x: пример настройки доступа к локальной сети для VPN-клиентов

PIX/ASA 7.x:

пример настройки доступа к локальной сети для VPN-клиентов Содержание Введение Предварительные условия Требования Используемые компоненты Диаграмма сети Сопутствующие продукты Условные обозначения Общие сведения Настройка доступа к локальной сети для VPN-клиентов Настройка ASA с помощью ASDM Настройка ASA с помощью интерфейса командной строки Настройка VPN-клиента Проверка Подключение с помощью VPN-клиента Просмотр журнала VPN-клиента Проверка доступа к локальной сети с помощью эхо-запроса Устранение неполадок Невозможны печать или просмотр по имени Дополнительные сведения Введение В этом документе представлены пошаговые инструкции по настройке доступа VPN-клиентов Cisco только к своей локальной сети при наличии туннеля к Cisco ASA 5500 Series Security Appliance или Cisco PIX 500 Series Security Appliance.

Такая конфигурация предоставляет VPN-клиентам безопасный доступ к корпоративным ресурсам с помощью IPsec, а также позволяет клиенту выполнять такие действия, как печать, из любого местоположения. Если разрешено, трафик, предназначенный для Интернета, продолжает передаваться по туннелю к ASA или PIX. Примечание: Эта конфигурация не является настройкой раздельного туннелирования, при которой клиент обладает нешифрованным доступом к Интернету, оставаясь подключенным к ASA или PIX. Информацию о настройке раздельного туннелирования в ASA или PIX см. в документе PIX/ASA 7.x: пример настройки раздельного туннелирования для VPN-клиентов на устройстве ASA.

Предварительные условия Требования В данном документе предполагается, что в устройстве ASA или PIX уже есть действующая конфигурация VPN удаленного доступа. Если устройство еще не настроено, см. документ Пример настройки PIX/ASA 7.x в качестве удаленного VPN-сервера с помощью ASDM. Используемые компоненты Сведения, содержащиеся в данном документе, приводятся для следующих версий программного и аппаратного обеспечения:

Стр. 1

Cisco ASA 5500 Series Security Appliance версии 7.2 Cisco VPN Client версии 4.0.5 Сведения, приведенные в этом документе, были получены при тестировании устройств в специальной лабораторной среде. Все устройства, упоминаемые в этом документе, запускались с чистой конфигурацией (конфигурацией по умолчанию). Если сеть работает в реальных условиях, убедитесь в том, что понимаете потенциальное воздействие каждой команды. Диаграмма сети VPN-клиент расположен в типичной домашней сети или сети малого бизнеса и подключается к главному офису через Интернет. Сопутствующие продукты Эта конфигурация также может использоваться вместе с Cisco PIX 500 Series Security Appliance версии 7.x.

Условные обозначения Более подробную информацию о применяемых в документе обозначениях см. в статье Cisco Technical Tips Conventions (Условные обозначения, используемые в технической документации Cisco). Общие сведения В отличие от классического сценария раздельного туннелирования, в котором весь трафик Интернета отправляется нешифрованным, при разрешении доступа к локальной сети для VPN-клиентов, таким клиентам разрешается обмениваться нешифрованными данными только с устройствами из сети клиента.

Например, VPN-клиент, которому разрешен доступ к локальной сети при подключении к ASA из дома, может печатать на собственном принтере, но не имеет доступа к Интернету без предварительной отправки трафика через туннель. Список доступа используется, чтобы разрешить доступ к локальной сети подобно тому, как в устройстве ASA настраивается раздельное туннелирование. Однако вместо определения сетей, которые должны шифроваться, в данном случае список доступа определяет сети, которые не должны шифроваться. Кроме того, в отличие от сценария раздельного туннелирования, в таком списке не требуется указывать действительные сети.

Вместо этого устройство ASA предоставляет сеть по умолчанию 0.0.0.0/255.255.255.255, которая понимается как локальная сеть VPN-клиента. Примечание: Когда VPN-клиент подключен и настроен для доступа к локальной сети, печать или просмотр по имени в данной сети невозможны. Однако имеется возможность просмотра или печати с помощью IP-адресов. Дополнительные сведения о такой ситуации, а также способы ее обхода см. в разделе Устранение неполадок данного документа. Настройка доступа к локальной сети для VPN-клиентов Выполните следующие две задачи, чтобы разрешить VPN-клиентам доступ к своей локальной сети при сохранении подключения к

Стр. 2

VPN-концентратору: Настроить ASA с помощью приложения Adaptive Security Device Manager (ASDM) или Настроить ASA с помощью интерфейса командной строки Настройка VPN-клиента Настройка ASA с помощью ASDM Выполните в ASDM следующие действия, чтобы разрешить VPN-клиентам доступ к локальной сети при наличии подключения к ASA. Выберите Конфигурация > VPN > Общие > Групповая политика , а затем — групповую политику, которая требуется для разрешения доступа к локальной сети. Затем нажмите кнопку Изменить . 1. Перейдите на вкладку Конфигурация клиента . 2.

Стр. 3

2. Снимите флажок Наследование для политики раздельного туннелирования и выберите Исключить перечисленные ниже сети . 3. Снимите флажок Наследование для списка сетей с разделенными туннелями, затем нажмите кнопку Контроль , чтобы запустить диспетчер ACL. 4.

Стр. 4