ASA 5510 - Simultane VPN verbindingen limiteren

[Zoetjuh]

De afgelopen tijd ben ik bezig geweest met het inrichten van Cisco ASA's.
We gebruiken ze voor een Site-to-Site VPN en om via de Cisco AnyConnect client VPN-verbindingen te accepteren naar het netwerk.

We hebben voor de ASA5510 extra licenties aangeschaft zodat we 250 simultane SSL-VPN verbindingen aan kunnen (AnyConnect Essentials). Dit werkt ook gewoon prima.

Op de ASA5510 heb ik diverse Group Policies aangemaakt voor de diverse afdelingen. Nu wil ik echter het aantal VPN-verbindingen per afdeling limiteren (lees: doorbelasting wordt gedaan op basis van het aantal gebruikers dat de afdeling simultaan wil laten inloggen). Ik weet dat er een optie is om het aantal sessies van een user aan te passen / te limiteren (standaard: 3); maar om het totaal aantal sessies per Group-Policy aan te passen lijkt onmogelijk (?).

Zijn er hier mensen die dergelijke ervaring hebben met de ASA5500-series?

[kokkel]

Hmmm, mischien een idee om de hoeveelheid IP adressen te beperken.
Je zou de DHCP pools kunnen vergroten/verkleinen wanneer dat afgenomen wordt.
Let hier wel op dat je mogelijkheid hebt tot groei, zodat je mooi op elkaar sluitende ranges hebt.

[Zoetjuh]

We maken per afdeling sowieso aparte DHCP Pools (in aparte ranges) aan.

Limiteren van het aantal IPs in de pool kan (had er ook al wel over zitten te denken omdat je het her en der ook leest als advies); maar echt mooi vindt ik het helaas niet. Ik weet zo zonder te testen ook even niet of het aanmelden dan wel/niet fout zou gaan. Het zou natuurlijk jammer zijn als men wel gewoon een AnyConnect verbinding zou kunnen opbouwen, maar dan tot de conclusie komt dat het "niet werkt".

Liever zou ik iets zien waar de AnyConnect client aangeeft dat de session-limit is bereikt o.i.d.

Dank je voor suggestie sowieso.

[Bl@ckbird]

Per user kan het wel met "vpn-simultaneous-logins"
http://www.cisco.com/en/U...vpn_groups.html#wp1134794

[Zoetjuh]

Bl@ckbird schreef op maandag 04 juni 2012 @ 20:49:
Per user kan het wel met "vpn-simultaneous-logins"
http://www.cisco.com/en/U...vpn_groups.html#wp1134794

Hoewel de naam het vermoeden geeft dat het om een "Per-Group-Policy" gaat; is het helaas inderdaad "Per-User".

Heel vervelend, de Cisco website zegt:
"The default value is 3. The range is an integer in the range 0 through 2147483647. A group policy can inherit this value from another group policy. Enter 0 to disable login and prevent user access. The following example shows how to allow a maximum of 4 simultaneous logins for the group policy named FirstGroup: "

De omschrijving van de help van ASA is ook iets duidelijker hierin:
"Simultaneous Logins—Specifies the maximum number of simultaneous logins allowed for this user. The default value is 3. The minimum value is 0, which disables login and prevents user access"

Je kan je voorstellen dat alle gebruikers wel een eigen username/password hebben (security oogpunt), waardoor de Per-User optie helaas niet op gaat.

[ Voor 27% gewijzigd door Zoetjuh op 04-06-2012 23:51 . Reden: Aanvulling ]

[Freeaqingme]

Wat je wel kan doen is inderdaad iets met je dhcp server. De standaardrange zo groot maken als het aantal gebruikers. Maar daar bovenop een extra dhcp range welke een default route pusht: namelijk naar een (web)portal welke laat zien dat het departement aan z'n max zit.

[Bl@ckbird]

Anders even een TAC supportcase voor aanmaken.
Als TAC geen ideeën heeft, kunnen ze er in ieder geval een feature request van maken.

[Zoetjuh]

TAC Case vindt ik inderdaad wel een goed plan.

Ben zelf altijd van het 'zelf willen kunnen oplossen', maar dit lijkt me nu inderdaad handiger. Ik zoek namelijk het liefst toch een "in-box" oplossing.

[Bl@ckbird]

Dat zie ik wel vaker bij engineers...
Maar als je betaald hebt voor een support contract, moet je er ook gebruik van maken.
En zelf zoeken kost ook tijd en geld.

Je kan ook TAC cases loggen om informatie te krijgen. Natuurlijk moet je dan niet een case loggen met severity één. Je kan ook een case loggen voordat je een belangrijke implementatie hebt. (Met severity 4) De case loopt dan al en als je problemen tegen komt hoef je alleen de severity omhoog te gooien. Je moet daar een beetje handig mee omgaan.