Remote access bij DHCP en NAT

[battler]

Context:
Wij hebben hier een hoofdkantoor met tientallen filialen. Deze filialen moeten door ons gemonitored en beheerd worden van buitenaf. Al deze filialen beschikken over meerdere WAN verbindingen die wisselen op basis van een aantal parameters. Sommige van deze WAN verbindingen (Vsat, fleet, 3G etc.) zitten achter NAT en/of krijgen een IP-adres via DHCP.



Doel:
1: Het vanbuitenaf kunnen beheren van devices die in elk filiaal staan.
2: Het forwarden van e-mails naar de exchange server van dat filiaal.

Huidige oplossing
De servers worden nu beheerd door middel van TeamViewer. Deze applicatiie initieert de verbinding vanuit het filiaal waardoor NAT en DHCP geen probleem is. Helaas is een groot nadeel dat deze applicatie alleen op bepaalde OSen draait en alleen een GUI ondersteunt. Als ik bijvoorbeeld een Cisco switch remote wil configureren moet ik eerst inloggen via teamviewer (en een gui) om vervolgens te SSHen naar de switch (CLI). Nu is de overhead van de GUI onnodig en zeer onwenselijk bij bijvoorbeeld een Sateletiet of fleet verbinding.
E-mails worden nu geforward door elke keer de MX records aan te passen aan het nieuwe IP adres. Een onwenselijke oplossing aangezien er bij elke wisseling van WAN verbinding en/of IP-change een nieuwe adres moet worden ingevoerd.

Mogelijke oplossingen:
Mobile IP
In theorie een perfecte oplossing alleen is er weinig documentatie over te vinden. Ik heb deze techniek in een gevirtuliseerde omgeving uitgeprobeerd en werkte naar behoren. Helaas heb ik bij Cisco alleen maar voorbeelden gevonden waarbij er een extra router (mobile router) in het filiaal geplaatst moet worden waar de servers op aangesloten moeten worden (mobile node).
LISP
Deze oplossing werd geopperd in een ander topic maar helaas weet ik nog niet ofdat dit mijn probleem oplost. Het is extra lastig doordat deze relatief nieuwe techniek alleen ondersteunt wordt op bepaalde IOS versies en dit niet virtueel te testen is.
VPN
Er zijn verschillende VPN oplossingen maar ik heb er nog geen gevonden waarbij NAT en DHCP geen probleem zijn. Vaak moeten er keys gedefineerd worden en een spoke site IP-adres. Dit laatste is natuurlijk lastig als het IP-adres continu wijzigt.

Wat zou ik willen
Zouden jullie kunnen aangeven of LISP geschikt is?
Aan de hand van deze context zouden jullie kunnen aangeven welke technieken misschien nog meer geschikt zijn?
Welke vorm van VPN heeft geen last van NAT en DHCP?

[ Voor 10% gewijzigd door battler op 12-11-2013 10:07 ]

[Dennism]

Is het geen oplossing gecentraliseerd te gaan werken zodat je de monitoring en het grootste deel van het beheer op een centrale locatie kan uitvoeren?

[battler]

Uiteraard zou ik gecentraliseerd willen werken maar de vraag is door middel van welke techniek.

[DennusB]

battler schreef op dinsdag 12 november 2013 @ 09:53:
Uiteraard zou ik gecentraliseerd willen werken maar de vraag is door middel van welke techniek.

Een groot Exchange/whatever-mail-server-cluster draaien op de centrale locatie en daar bijvoorbeeld al het mail verkeer afhandelen. Dan op elke locatie een Cisco ASA neergooien, en VPN tunnels bouwen tussen de vestigingen. Dan kan je vanaf je centrale locatie overal bij

[battler]

Mail server gecentraliseerd afhandelen is onwenselijk, de wan verbindingen gaan regelmatig verloren. Ook als er intern gemaild worden (binnen een filiaal) zou dat via de gecentraliseerde server verlopen.
Het leek mij dus beter om MX records te laten verwijzen naar het hoofdkantoor en die te laten forwarden naar de filialen.

Het liefst zou ik geen extra hardware neerzetten, elk filiaal beschikt over een Cisco router (2811) en over Windows servers. Zou de ASA vpn tunnel geen last hebben van NAT & DHCP en is deze techniek toe te passen op een standaard router?

[ Voor 12% gewijzigd door battler op 12-11-2013 10:06 ]

[Dennism]

Tja, nat is lastig, volgens mij kan je wel met Sonicwalls (en vast ook met Cisco's) Site-to-Site IPsec VPN's vanaf de filiaal kant initiëren. Hiermee zou je om NAT en DHCP heen kunnen werken.

[DennusB]

battler schreef op dinsdag 12 november 2013 @ 10:05:
Mail server gecentraliseerd afhandelen is onwenselijk, de wan verbindingen gaan regelmatig verloren. Ook als er intern gemaild worden (binnen een filiaal) zou dat via de gecentraliseerde server verlopen.
Het leek mij dus beter om MX records te laten verwijzen naar het hoofdkantoor en die te laten forwarden naar de filialen.

Het liefst zou ik geen extra hardware neerzetten, elk filiaal beschikt over een Cisco router (2811) en over Windows servers. Zou de ASA vpn tunnel geen last hebben van NAT & DHCP en is deze techniek toe te passen op een standaard router?

Waarom zou je per vestiging de interne mail over aparte mailservers willen afhandelen? Dat kost onnodig veel beheer en hardware...

[Bl@ckbird]

Voorzie elke cisco router van Advanced Security IOS zodat je kan VPNen. Je kan nu Dynamic Multipoint VPN configureren. (Zoals Trail in een ander topic noemt.) Zie: www.cisco.com/go/dmvpn

DMVPN gebruikt een routing protocol om dynamisch tunnels op te zetten als dat nodig is. Al het verkeer hoeft dus niet via een hoofdvestiging te lopen. Als iemand wil bellen tussen twee bijlocaties, dan wordt hiertussen dynamisch een tunnel op gezet en dat scheelt latency. DMVPN zit niet op een ASA.

Aangezien je trage vSAT verbindinge gebruikt, kan je ook eens kijken naar WAN optimalisatie. (Zoals Riverbed of Cisco WAAS) Applicaties lopen dan veel soepeler over het WAN en je hebt minder dikke WAN verbindingen nodig. Maar voor WAN optimalisatie moet je extra hardware neerzetten.

Dat LISP verhaal mag je verder vergeten. Ik las iets van Mobile IP / Mobility en dacht meteen aan LISP omdat je daarmee IP adres en locatie van elkaar kan scheiden.

Overigens kan je met nieuwe hardware Windows server er op draaien. Dat kan op 2900 routers met UCS-E module en Riverbed Steelheads.

Zorg wel dat je verkeer goed filtert. Ik ken een verhaal van een satelliet netwerk engineer dat men Windows Update niet had uitgezet op een schip en dat heeft goud geld gekost.

[ Voor 9% gewijzigd door Bl@ckbird op 12-11-2013 11:23 ]

[battler]

@DennusB: Elke locatie een aparte mailserver is om de volgende redenen:
De locaties zijn autonoom, de mederwerkers van een filiaal hebben niets te maken met andere filialen. Vergelijk het met Franchise ondernemingen waarbij wij de enige overkoepelende factor zijn met als enige taak het beheer. Ieder filiaal heeft een eigen ITer die users e.d aanmaakt.
E-mail is essentieel en moet ook beschikbaar zijn als er geen Internetverbinding is. Dit laatste gebeurd vrij regelmatig, vandaar ook de verschillende manieren om verbinding te maken met het Internet.

@Bl@ckbird: Ik ben al aan het spelen geweest met DMVPN. Het is niet nodig dat sites onderling kunnen communiceren zonder de hub. Dus DMVPN met site2site is volgens mij een prima oplossing. Alleen zoals ik het nu geimplementeerd heb weet ik niet hoe het zit met een wijziging in IP-adres aan de spoke kant, aangezien de keys gekoppeld zijn aan een ip-adres. Als DHCP en NAT geen probleem zijn met DMVPN dan is dit denk ik een prima oplossing.

[Gomez12]

Als ik het goed begrijp is je grootste probleem dus dat de ip-adressen veranderen?

Want dat lijkt mij enkel een kwestie van simpelweg afspraken maken met je leveranciers.

[battler]

Onze "filialen" zijn jachten die varen over de gehele wereld. We hebben dus continue te maken met verschillende cariers via sateliet, fleet, 3g, 4g, kabel van de haven etc.. Die afspraken zijn niet gemakkelijk te maken, en tegen de tijd dat die gemaakt zijn is de boot weer weg. Daarnaast is NAT ook een probleem.

[ Voor 6% gewijzigd door battler op 12-11-2013 12:30 ]

[CyBeR]

battler schreef op dinsdag 12 november 2013 @ 12:19:
Onze "filialen" zijn jachten die varen over de gehele wereld.

Als je dat nou volgende keer meteen zegt…


Wat je dan ben ik bang moet doen (of iig ik weet zo even niks anders) is met dynamische VPN's werken die door de 'client' (de boot) worden opgezet zodra ze verbinding hebben. Bijvoorbeeld met L2TP/ipsec en pre-shared keys of (beter) x509-certificaten. Zodra je keys aan IP's gaat hangen, gaat 't mis met zo'n set-up.

[PerfectPC]

battler schreef op dinsdag 12 november 2013 @ 12:12:
@Bl@ckbird: Ik ben al aan het spelen geweest met DMVPN. Het is niet nodig dat sites onderling kunnen communiceren zonder de hub. Dus DMVPN met site2site is volgens mij een prima oplossing. Alleen zoals ik het nu geimplementeerd heb weet ik niet hoe het zit met een wijziging in IP-adres aan de spoke kant, aangezien de keys gekoppeld zijn aan een ip-adres. Als DHCP en NAT geen probleem zijn met DMVPN dan is dit denk ik een prima oplossing.

op de hub site je moet de key koppelen aan ip 0.0.0.0

code:

crypto isakmp key ZeerGeheimeKeyHier address 0.0.0.0 0.0.0.0

[battler]

Super heren, bedankt! Ik weet dat ik in ieder geval op de juiste weg ben.

[Verwijderd]

DMVPN is inderdaad wat ik hierop zou toepassen. Het runnen van OSPF in Point to Multipoint i.p.v broadcast zorgt ervoor dat het verkeer door de hub heen loopt (dus geen spoke-spoke tunnels mogelijk omdat het nexthop ip wordt overschreven door de hub) , of je zou zelfs met statics kunnen werken. Spoke WAN ip met DHCP zijn geen probleem. Zorg wel dat de Hub een fixed ip heeft!

[battler]

Een dag verder en een hoop gelezen en bekeken. Het is onwenselijk dat de spokes onderling contact hebben. Er zijn verschillende manieren om de redundantie te implementeren. Ik zoek nu nog even uit wat het beste is maar grofweg zijn er drie methoden:

Meerdere tunnels (elke interface 1).
Eén tunnel, iets met vrf.
Backup tunnel, ik weet alleen niet of dit ook mogelijk is met meerdere backup tunnels.

https://supportforums.cisco.com/thread/2043152

[ Voor 179% gewijzigd door battler op 13-11-2013 14:44 ]

[PerfectPC]

als je niet wilt dat remote sites onderling verkeer kunnen uitwisselen maak je per site inderdaad best een aparte tunnel dewelke je door middel van ACL's van mekaar afschermt.

[Gomez12]

Mag ik vragen waarom het onwenselijk zou zijn dat de spokes onderling contact hebben?

Het lijkt me juist perfect samen te werken met doel 2 : Het forwarden van e-mails naar de exchange server van dat filiaal. Zonder verbinding met de hub kan je dan wel email afhandelen lijkt me (technisch zo 1-2-3 even geen idee of dit kan) dus 2 schepen die in dezelfde haven liggen zonder inet verbinding kunnen dan wel onderling de mail afhandelen.

[battler]

Als een boot kan communiceren met een andere boot dan zal dit altijd via het internet zijn, op dat moment is er ook contact met de hub mogelijk. Daarnaast is het onwenselijk om de al beperkte bandbreedte te delen ook vanwege de gevoelige informatie.

[bazkar]

Ik heb niet alle details perfect doorgelezen, maar het klinkt alsof je een Cisco hub-spoke VPN design wilt waarbij de endpoints (spokes) een dynamisch public IP adres moeten kunnen hebben. Ik denk dan meteen aan EasyVPN.
http://www.cisco.com/en/US/products/sw/secursw/ps5299/