Site-to-Site VPN, M0n0wall of Cisco ASA5505

[Askie]

Beste Tweakers,

Voor een bedrijf wil ik 2 vestigingen koppelen met een Site-to-site IPsec VPN. Nu heb een daaraan een paar eisen.
1. Ik moet via DHCP vaste adressen kunnen uitdelen voor een paar laptops.
2. Over de VPN verbinding wil ik alleen verkeer toelaten over bepaalde poorten bijv filesharing (445) of RDC (3389).

Verder moet ik een keuze maken in hardware.
1. M0n0Wall op een soekris machine lijkt me een mooie en goedkope oplossing die via de web interface goed te beheren is. En de bovenstande eisen voldoen met DHCP en Firewall rules.
2. Cisco ASA5505 is natuurlijjk een gevestigde standaard in netwerkland. Maar ik weet niet of ik aan de bovenstaande eisen kan voldoen. Het uitdelen van vaste adressen schijnt een probleem te zijn. Ik heb gelezen dat het op bijv een PIX mogelijk is door een aparte DHCP-pool en de client-identifier. Maar werkt dit op de nieuwe ASA modelen ook?

Wat zijn jullie ervaringen met M0n0wall, zou ik dit goed in een productie omgeving kunnen gebruiken?

[hstuivenberg]

Je kunt ook eens kijken naar Juniper, met zijn SSG5 of SSG20 producten. Wij hebben dit bij al onze klanten staan (sommige nog met de voorloper: Netscreen).

Deze apparaten kunnen wat jij wil..

http://www.juniper.net/pr...5_slash_ssg_20/index.html

[AjDuLion]

zelf gebruiken wij pixxen en asa's en een site to site vpn werkt bij ons prima poorten kan je zelf instellen en een dhcp pool kan je ook instellen.

houd wel rekening met je aantal connecties maar dat zal wel met de mono firewall ook zijn.

op het moment heeft bijne elke werknemer bij ons een asa5505 thuis staan met een site to site vpn naar een zwaardere cisco apliance op de zaak.


works like a charm.

[Askie]

Maar waar ik even zekerheid over wil hebben is die DHCP-pool van Cisco. Ik lees allemaal tegestrijdige berichten op het internet en ik het op de cisco-site kan ik het niet terug vinden. Ik zou graag de volgende DHCP pool maken:

ip dhcp pool computer1
host 10.0.0.2 255.255.255.0
client-identifier 0100.0100.0100.01
default-router 10.0.0.1
dns-server 1.2.3.4 5.6.7.8

Werkt deze truc ook op de ASA's??

[Plopeye]

Wat ook een mooie tegenhanger is van M0n0wall:
http://www.untangle.com/

Ik heb hier in productieomgeving goede ervaringen mee...

Werkt nu nog op basis van OpenVPN maar er wordt gewerkt aan PPTP en IPSEC(OpenSWAN)...
Heeft een goede firewall en is makkelijk te beheren via zeer goede java web interface...
(deze interface kunnen ze bij Cisco nog wat van leren, SDM is in vergelijking wat spartaans... om nog maar te zwijgen van de bugs...)

[ Voor 54% gewijzigd door Plopeye op 15-10-2008 16:24 ]

[Bl@ckbird]

SDM is voor de routers en de ASDM is voor de oude PIX en nieuwe ASA.
De nieuwere versies van ASDM hebben een aardige Outlook achtige GUI.

[Askie]

Toch denk ik dat ik de Cisco ASA van mijn lijstje kan schrappen . Volgens de "Command Line Configuration Guide" van cisco kan er van alles en nog wat in configureren maar je kunt geen DHCP reservations maken.

En ik moet die reservations kunnen maken, via een andere vpn verbinding is namelijk 1:1 nat gebruikt (ivm dubbele subnetten) voor een paar adressen. Alleen met die paar adressen kan ik dat vpn, dat buiten mijn beheer ligt, benaderen. En op je laptop switchen tussen vast en dhcp (voor andere netwerken) dat wil natuurlijk niemand.

[Verwijderd]

Echt veel duidelijkheid verschaft die laatste post niet,
maar geloof mij een ASA kan bijna alles... Heeft ook wel
oplossingen voor dubbele subnetten al kan ik daar zo niet
opkomen.

[Bl@ckbird]

In de configuration guide van versie 8.0 wordt gesteld dat DHCP Option 61: DHCPOPT_CLIENT_IDENTIFIER niet ondersteund wordt.

Zie:
http://www.cisco.com/en/U...guide/dhcp.html#wp1088503
http://www.cisco.com/en/U...ference/d2.html#wp1905900

Echter:

DHCP Client Enhancements
Added two new items for the DHCP client. The first option configures DHCP Option 61 to send either the MAC or the string "cisco-<MAC>-<interface>-<hostname>", where < > represents the corresponding values as the client identifier. The second option either sets or clears the broadcast flag for DHCP discover when the DHCP request has the broadcast flag enabled. See Configuration > Device Management > DHCP > DHCP Server; then click on Advanced button.

Zie:
http://www.cisco.com/en/U...es/asdmrn603.html#wp37576

In de ASDM kan je dus wel DHCP Option 61 configureren. (Dus grafisch kan het.)
ASDM 6.0.3 komt overeen met ASA software 8.0.3
Ik kan echter nergens de CLI commando's vinden om DHCP Option 61 te configureren.

[Verwijderd]

Kun je niet gewoon DHCP relaying aanzetten en MAC reserveringen aanmaken op een 2003/8 server?

[salvador4]

Naast monowall en een asa zou je eens kunnen kijken naar een cisco 800 of 1800. Deze zijn te krijgen met een firewall set waardoor deze vergelijkbare functies krijgt als de asa. Deze kunnen wel op basis van mac adres vaste ips uit delen. Voor enkel een site to site vpn voor rdp en file sharing lijkt me dit ruim voldoende.

[alm]

Je kan ook eens kijken naar de producten van Fortinet, waarbij je dan op de Fortigate serie uitkomt. Lijkt erg op Juniper apparatuur omdat het van een ontwikkelaar komt die van Juniper afkomstig is en voor zichzelf begonnen is.