dhf 发表于 2023-5-2 11:30
  
感谢楼主的精彩分享,有助工作!!!
guafeng00 发表于 2023-5-4 09:12
  
感谢分享,学习一下。
午夜幽魂 发表于 2023-5-5 14:18
  
刚好有遇到的场景,来学习下
张波95 发表于 2023-5-8 14:44
  
感谢楼主分享,就是截图太模糊了
redflagfleet 发表于 2023-6-14 16:43
  

感谢分享,学习一下。
新手378833 发表于 2023-11-1 09:10
  
感谢分享有助工资和学习!
新手716814 发表于 2023-11-1 09:11
  
感谢分享有助工资和学习!
新手378833 发表于 2024-1-9 08:40
  
感谢作者的分享,有利于工作
এ塔铃独语别黄昏এ 发表于 2024-8-18 21:35
  
感谢分享,对工作有用!
sangforVPN连通两端场景容灾业务IP不变
  

新手320096 173296人觉得有帮助

{{ttag.title}}
一、项目背景
通过科立锐异构容灾平台实现两个业务需求:
要求一:在客户本地业务出现故障时可以快速拉起业务
要求二:客户内网其它服务器和用户通过内网IP 192.168.XX.XX访问,目标机拉起后IP不能变
     
二、项目难点分析
通过客户需求客户判断出主要难点在客户本地业务主机宕机后,依然要实现相同内网IP访问云上的业务主机。因此难点就在于实现两端在打通隧道情况下有相同的内网IP,
三、项目实施
实施方式有两种场景,客户本地是AF,云上也只能是AF,客户本地是VPN,云上也只能是VPN

线上线下都是VPN场景
云端配置
1.1  IPsec 打通 云上为主配置(只能云上为主,云下为主,路由不好写)配置基本信息
1.2  设置虚拟IP地址池(虚拟地址段不存在总部和分支环境)
1.3创建用户,同时编辑高级,启用隧道内NAT,添加业务主机所在网段,选择1.2步骤添加的虚拟地址池。因为业务IP不能变,导致两端有相同的网段,如果不启用,隧道无法建立
1.4  配置连接子网
1.5 映射4009tcp 和UDP 端口到公网(客户本地如果是出口防火墙,可以跳过)
1.6 路由器静态路由下一跳为VPN设备(注意这里写下一跳地址为1.2步骤地址段,因为做了转换) 例如 192.168.1.1 255.255.255.255   下一跳为VPN  IP  
客户本地分支配置  分支连接云上
2.1   连接总部,填写连接信息、密钥。客户本地分配的用户信息
2.2 配置本地子网(可以配置和云上相同的子网)


2.3客户本地分支配置 映射SSL VPN 4009  TCP和UDP端口
线上线下都是AF场景
   云上AF主端配置,
    1.1配置基本信息
   
    1.2 创建虚拟IP地址池(地址池不存在两端环境)
   
   
    1.3创建用户,同时编辑高级,启用隧道内NAT,添加冲突地址网段,选择1.2步骤添加的虚拟地址池。
   1.4创建云上子网(容灾平台所在子网)
注意:AF场景下隧道NAT,不是为了解决两端子网冲突无法建立隧道的,云上不能写冲突的网段,正常建隧道即可

  1.5  配置隧道间路由(容灾的业务主机到客户本地需要访问的网段路由)
   
1.6   映射云上防火墙4009  tcp 和UDP 端口到公网
客户本地AF配置 连接云上
2.1 填写基本信息连接云上
    2.2  客户本地写到云上容灾业务主机隧道路由

2.3   客户本地写到业务主机IP静态32位路由,下一跳指向出口防火墙(32位路由优于客户本地24位路由被匹配,这时客户本地访问业务IP就被指向云上)

注意:这种方式只能保证客户内网访问正常,公网无法保证,因为公网IP还是变更了,需要考虑到公网业务的可能性
四、同子网访问解决方案(两种场景都适应)
1.后续疑问:IPSEC隧道打通后,经过测试关闭本地业务主机,客户本地用户可以通过原来的IP继续访问云上业务主机,但是由于客户本地存在相同网段访问业务主机情况,因为相同子网访问,不走三层网络,直接二层访问,导致相同网段不能访问云上业务主机的情况
2.解决方案:要实现二层传输一般需要专线、VXLAN等实施方案。但是成本较高,因此想到在IPSEC基础上再加一次隧道SSL VPN隧道
3.实施方案:
3.1.云上VPN设备创建公用租户,并授权访问云上的业务主机
3.2客户本地通过连接VPN内网IP登录用户,通过隧道访问云上业务主机
3.3 隧道NAT + SSLVPN客户端实现 相同子网走三层网络隧道,在上边两个场景下的环境前提条件下,首先登录SSL客户端后会在访问主机上生成指定业务主机的路由(两端都是AF场景下,云上还需要SSL VPN 然后SSL VPN和容灾业务主机没在一个网段)
   
      然后通过隧道NAT  把源地址转换为其它网段地址,最终访问到云上主机。如图本地业务主机已关机,从192.168.1.2 访问云上的192.168.1.10正常

39255643f85616796e.png (25.32 KB, 下载次数: 423)

39255643f85616796e.png

打赏鼓励作者,期待更多好文!

打赏
52人已打赏

发表新帖
热门标签
全部标签>
安全效果
西北区每日一问
技术盲盒
技术笔记
干货满满
【 社区to talk】
每日一问
信服课堂视频
GIF动图学习
新版本体验
技术咨询
2023技术争霸赛专题
功能体验
产品连连看
自助服务平台操作指引
标准化排查
秒懂零信任
技术晨报
安装部署配置
原创分享
排障笔记本
玩转零信任
排障那些事
SDP百科
技术争霸赛
深信服技术支持平台
通用技术
以战代练
升级&主动服务
社区新周刊
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
产品预警公告
信服圈儿
S豆商城资讯
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
高手请过招
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力

本版达人