Cho hỏi giải pháp đấu nối Firewall

[hoangtis]

Bên em vừa mới lên 1 em ASA, nhưng khi đưa vào cấu hình, nó có một số vấn đề như sau:
+ FTTH cho trực tiếp vào Outside, cấu hình PPPoE. Nhưng khi dùng gói FTTH 32/32Mbps + 8 tĩnh (để NAT một số server ra ngoài) của VDC thì IP nó cấp cho Outside là IP động. Mà mục tiêu là muốn làm Remote access (VPN IP sec) nên IP động thì không được.
Vậy xin hỏi cách xử lý như thế nào cho ổn, ACE chỉ giùm.
Nếu ai đã cấu hình DDNS (cho dyndns.org càng tốt) cho ASA thì chỉ giùm, step by step nha.

Thanks 'n BestRegards!

[manhht]

Tớ chưa làm vấn đề bạn đưa ra, nhung đã dùng FTTH 8IP.
Trên con router Draytek khi config xong PPoE thì isp sẽ cấp cho 1 IP ảo, ko ping về đuợc IP này, nhưng trong 2nd subnet của draytek, minh config network IP tình ISP cấp cho, sau đó cứ cắm thiết bị vào các port trên router dray, ping vao IP thực OK.

[calagi]

Kỳ lạ nhỉ. Bên mình cũng dùng FTTH của VDC. nó luôn cấp Front IP là địa chỉ tĩnh cơ mà nhỉ

[chosoi]

Bác chủ topic xem lại đi. Thường họ cung cấp cho minh dải IP (8 IP chẳng hạn) nhưng chỉ có 1 IP tĩnh còn lại là IP private sẽ không dùng được nó như IP động. Mà phải thêm một số thao tác để dùng được nó. Theo minh bạn alo trực tiếp cho họ, họ sẽ giải thích cho bạn hiểu hơn!
Thân!

[hoangtis]

Mình dùng gói 1 IP tĩnh+ FTTH thì đầu Outside luôn có 1 IP cố định, còn gói 8 IP tĩnh thì đầu Outside lại là IP động + 1 dải IP x.x.x.x/29 (sử dụng được 6 IP).
Cấu hình port của mình là:
interface GigabitEthernet0/0
nameif outside
security-level 0
pppoe client vpdn group RenoteAcc
ip address pppoe
!
Mình thử đặt IP tĩnh giống IP động và cả pppoe:
ip address a.a.a.a 255.255.255.255 pppoe
Mà vẫn ko được :D.

[scrpn]

He he cái này mĩnh cũng gặp rùi, IP front do PPPOE server cấp là động, 8 IP route lại nằm trong vùng DMZ, mình đã thử khai báo VPN tunnel interface là DMZ nhưng không được. Bạn calagi dùng gói FTTH gì cua VDC mà có IP front tĩnh vậy???

[hoangtis]

Mình định dùng DDNS của dyndns.org để làm VPN nhưng theo post https://supportforums.cisco.com/message/3152143#3152143 thì bảo ko hỗ trợ HTTP-based updates. Họ chỉ dẫn theo link:
Enhancement feature for Dynamic DNS using http-based updates:

http://tools.cisco.com/Support/BugToolKit/search/getBugDetails.do?method=fetchBugDetails&bugId=CSCsl46782

Nhưng lại ko có account để vào xem, bác nào có acc vào post lại giùm nhé.
Thanks!

[manhht]

Theo thông tin mọi người thi 8IP tĩnh không có ý nghĩa gì ah? FTTH có gói chỉ 1 IP tĩnh, nhưng nếu thuê thêm thì họ cấp cho 8 IP. và tất cả đều IP tĩnh (có thể config trên 5 thiết bị - 1 cái dùng làm gateway).

Như mình đã nói trên (dùng trên draytek) thì Front int sẽ được cấp cho 1 ip động 123.161.x.x gì đó (cái này không dùng được), và nó sẽ route cho các IP tĩnh ISP cung cấp:
VD: 113.161.141.16/29, như vậy mình dùng .17 làm gateway, IP: 18 / 19 /20/ 21 .. gắn cho thiết bị.

[scrpn]

Theo em nghĩ bác Hoàng nếu dùng NAT thì chỉ cần gói 1 IP tĩnh là đủ, mặc nhiên chả cần DDNS, còn với 8 IP tĩnh thì sẽ theo mô hình này:
Mô hình: Lan ------- ASA -------------internet
................................|
................................|
.............................DMZ 8 ip public (FTTH 8 IP route)