L2LVPN通过SLA双链路实现冗余部署.PDFVIP

L2L VPN 通过SLA 双链路实现冗余部署 By David Wu(wuqw@) 2010-12-14 需求说明 企业网中心节点的ASA 防火墙通过两条ISP 链路接入Internet，通过SLA 方 式实现链路冗余；同时，远端ASA 作为VPN 节点，通过Internet 与中心节点ASA 建立Site-to-site VPN 连接。当中心节点ASA 发生主用ISP 链路故障，切换到备用 ISP 链路时，远端ASA 能够发现主用链路不同的问题，然后自动通过备用ISP 链 路建立Site-to-site VPN 连接。 网络拓扑 下面网络拓扑中，ASA1 充当远端VPN 设备，ASA5510 充当中心节点VPN 设 备，划分3 个VLAN ，分别模拟主用和备用的ISP 接入链路，以及远端VPN 节点 的ISP 接入链路。 28/29：中心节点主用ISP 链路 36/29：中心节点备用ISP 链路 44/29：远端节点ISP 链路 27：SLA 网络监控目标点 注意：在实际环境中，通常选取路由的下一跳IP 地址作为SLA 网络监控目标。 为方便起见，本例中选取了一台服务器27，做为SLA 的网络监控目 标点，ASA55 10 打通了与这台服务器的路由，并根据其接口的Up 或者Down 的 状态，在主用和备用链路之间切换路由。 配置文件 下面列出了ASA1 和ASA5510 的配置信息，其中蓝色字体部分是配置的关键。 ASA1 配置： ASA1# sh run : Saved : ASA Version 8.2(2)16 ! hostname ASA1 enable password nSU/.5ZguZCJvmIf encrypted passwd 2KFQnbNIdI.2KYOU encrypted names ! interface GigabitEthernet0/0 nameif inside security-level 100 ip address 54 ! interface GigabitEthernet0/1 nameif outside security-level 0 ip address 46 48 ! interface GigabitEthernet0/2 shutdown no nameif no security-level no ip address ! interface GigabitEthernet0/3 shutdown no nameif no security-level no ip address ! interface Management0/0 shutdown no nameif no security-level no ip address management-only ! boot system disk0:/asa822-16-k8.bin ftp mode passive access-list outside_cryptomap extended permit ip access-list inside_nat0_outbound extended permit ip pager lines 24 logging enable logging asdm informational mtu inside 1500 mtu outside 1500 no failover icmp unreachable rate-limit 1 burst-size 1 no asdm history enable arp timeout 14400 nat (inside) 0 access-list inside_nat0_outbound route outside 45 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp -pat 0:05:00 timeout sip 0: