Cisco ASA 5505 - tweede outside interface dsl pppoe

[Geckx]

Beste tweakers,

Casus is het volgende:

Een oude Cisco ASA 5505 staat nog als laatste router voor de modem van de ISP. Doet verder helemaal niets, firewall ed. gebeurt op een Sophos UTM die ervoor staat.

2 interfaces:

INSIDE (VLAN 151)
OUTSIDE (VLAN 155)

Alles werkt prima, outside interface is geconfigureerd via statisch IP adress 213.x.x.213/30 van de modem van de provider

Nu wou ik een 2e interface creëren "OUTSIDE_BACKUP" (VLAN 175) die via vDSL verbinding werkt.
Info van de provider: gateway IP 205.x.x.1 & CHAP user + pass

Wat heb ik gedaan:

interface Vlan175
nameif OUTSIDE_BACKUP
security-level 0
pppoe client vpdn group DSL
ip address pppoe setroute
!
mtu OUTSIDE_BACKUP 1492
route OUTSIDE 0.0.0.0 0.0.0.0 213.x.x.213 5
route OUTSIDE_BACKUP 0.0.0.0 0.0.0.0 205.x.x.1 5
vpdn group DSL request dialout pppoe
vpdn group DSL localname xxx
vpdn group DSL ppp authentication chap
vpdn username xxx password ***** store-local

Er wordt op interface VLAN175 wel degelijk een IP adres toegewezen is via PPPoe. (x.x.x.177)

Test = de 'OUTSIDE' interface uitschakelen en de metric van de backup static route op 1 gezet.
Result = geen internet vanop de clients. vanop de ASA kan ik wel pingen naar buiten.

De routering wordt wel degelijk aangepast, als ik een 'sh route' doe, zie dat de gateway of last resort veranderd van 213.x.x.213 naar 205.x.x.1

Wat doe ik verkeerd?

[Brabix]

NAT niet aangepast na aanpassen van de metric, en dus in gebruik nemen van de andere route?

[Geckx]

Er zijn geen NAT regels geconfigureerd. Ik zie er toch alleszins geen via onderstaande pogingen:

sh run | grep nat
show xlate

Ook via ASDM geen gevonden.

Zijn deze nodig misschien? Ik dacht van niet aangezien secuirty level voor inside op 100 staat en voor outside op 0.

[Equator]

Oh, nee sorry. Ik zat even niet goed te lezen (gebeurt wel vaker de laatst tijd)

Maar bij de vDSL verbinding moet de router wel NAT'en over je vDSL verbinding.

De UTM die er achterhangt. Wat voor IP adres heeft die aan de buitenkant?

[ Voor 193% gewijzigd door Equator op 29-06-2017 16:45 ]

[Geckx]

Equator schreef op donderdag 29 juni 2017 @ 16:39:
Oh, nee sorry. Ik zat even niet goed te lezen (gebeurt wel vaker de laatst tijd)

Maar bij de vDSL verbinding moet de router wel NAT'en over je vDSL verbinding.

De UTM die er achterhangt. Wat voor IP adres heeft die aan de buitenkant?

Dat zou het wel kunnen zijn dan. Bij de coax modem werkt het iig zonder bijkomende NATting op de ASA. Hoe moet deze opgezet worden dan voor de vdsl?

De UTM doet een Masquerading voor alle clients naar één van de public IP's. Laat ons zeggen 84.x.x.74
Dit zie ik ook netjes in de logging van de ASA als zowel global + local address verschijnen (= dus zeker geen NAT)

[ik222]

Waarom haal je die ASA er niet gewoon tussenuit?

[Geckx]

omdat de core switches geen VRF ondersteunen, de asa doet dit.
Vrij oude design en config, dateert van een vroegere service partner. Heel de boel wordt hoe dan ook vernieuwd volgend jaar, maar dit zou wel zsm nog in rode moeten komen helaas..

Anders zou dit fossiel wel al weg zijn denk ik. Stuurt ook hele WAN verkeer over 100mbps poorten

[ Voor 35% gewijzigd door Geckx op 29-06-2017 17:46 ]

[JackBol]

Geckx schreef op donderdag 29 juni 2017 @ 17:17:
[...]


Dat zou het wel kunnen zijn dan. Bij de coax modem werkt het iig zonder bijkomende NATting op de ASA. Hoe moet deze opgezet worden dan voor de vdsl?

De UTM doet een Masquerading voor alle clients naar één van de public IP's. Laat ons zeggen 84.x.x.74
Dit zie ik ook netjes in de logging van de ASA als zowel global + local address verschijnen (= dus zeker geen NAT)

Van wie is die publieke range waar 84.x.x.74 in zit? Ik neem aan dat dat van je coax provider is en dat zij het naar je 213.x.x.213 interface routeren?

Tenzij het PI space is en je het richting je DSL ISP kan adverteren, gaat je setup niet werken, want je DSL leverancier heeft helemaal geen weet van je 84.x.x.x adressen. Dus ze zullen dus niet adverteren richting internet of routeren naar jou.

Ik stel voor om de DSL verbinding ook op de UTM te termineren en in je masquerading rules aan te geven welk verkeer over de coax interface geNAT moet worden en welk verkeer over je DSL lijn.

[ Voor 11% gewijzigd door JackBol op 29-06-2017 18:12 ]

[Geckx]

JackBol schreef op donderdag 29 juni 2017 @ 18:09:
[...]


Van wie is die publieke range waar 84.x.x.74 in zit? Ik neem aan dat dat van je coax provider is en dat zij het naar je 213.x.x.213 interface routeren?

Tenzij het PI space is en je het richting je DSL ISP kan adverteren, gaat je setup niet werken, want je DSL leverancier heeft helemaal geen weet van je 84.x.x.x adressen. Dus ze zullen dus niet adverteren richting internet of routeren naar jou.

Ik stel voor om de DSL verbinding ook op de UTM te termineren en in je masquerading rules aan te geven welk verkeer over de coax interface geNAT moet worden en welk verkeer over je DSL lijn.

publieke range is 84.x.x.72/29 en inderdaad van coax provider, maar zij hebben duidelijk aangegeven dat deze range over beide verbindingen beschikbaar is. Hoewel de dsl lijn van een andere provider is, is dit wel in opdracht (en in contract) van onze hoofdleverancier.

Het is niet de bedoeling om beide verbindingen gelijktijdig te gebruiken. De DSL lijn dient als backup voor als de coax uitvalt. En net daarom, want er staan onderhoudswerken in het verschiet waardoor deze er hoe dan ook zal uitgaan..
Wat je voorstelt had ik al eens geprobeerd met een test subnet. Ik ben er in geslaagd om het verkeer met een ander IP adres te laten toekomen op de ASA, maar is ook helaas niet verder dan dat geraakt..

Er ontbreekt iets in de config, want ik kan vanop elk intern netwerk tot op de ASA geraken en vanop de ASA kan ik ook over de OUTSIDE_BACKUP interface pingen naar buiten. Maar de clients hebben geen internettoegang wanneer ik de normale weg uitschakel.

packet-trace geeft ook overal 'allow' en 'up' bij alle stappen

[JackBol]

Geckx schreef op donderdag 29 juni 2017 @ 18:39:
[...]


publieke range is 84.x.x.72/29 en inderdaad van coax provider, maar zij hebben duidelijk aangegeven dat deze range over beide verbindingen beschikbaar is. Hoewel de dsl lijn van een andere provider is, is dit wel in opdracht (en in contract) van onze hoofdleverancier.

Het is niet de bedoeling om beide verbindingen gelijktijdig te gebruiken. De DSL lijn dient als backup voor als de coax uitvalt. En net daarom, want er staan onderhoudswerken in het verschiet waardoor deze er hoe dan ook zal uitgaan..
Wat je voorstelt had ik al eens geprobeerd met een test subnet. Ik ben er in geslaagd om het verkeer met een ander IP adres te laten toekomen op de ASA, maar is ook helaas niet verder dan dat geraakt..

Er ontbreekt iets in de config, want ik kan vanop elk intern netwerk tot op de ASA geraken en vanop de ASA kan ik ook over de OUTSIDE_BACKUP interface pingen naar buiten. Maar de clients hebben geen internettoegang wanneer ik de normale weg uitschakel.

In dat geval moet je een routing protocol over beide links configureren (BGP).
Jij kan namelijk op de ASA wel kiezen middels een statische route of je over coax of dsl wilt uitrouteren, maar hoe weet de provider waar ze het retour verkeer naar toe moeten sturen? Daarvoor heb je een dynamisch routing protocol nodig.

Overigens lijkt me dit een maatwerk oplossing, dus ik zou even contact opnemen met je ISP voor de aangeraden configuratie.

[Crazymonkey]

Je moet 2 dynamic nat rules aanmaken, een voor de WAN en de andere WAN_Failover. Dan moet je de failover verbinding een hogere metric geven dan je default route. Dan kan je op je default route sla instellen. Als deze route niet beschikbaar is dan vervalt deze route, dan is de eerst volgende de failover. En omdat je een dynamic nat hebt voor beide interfaces gaat dit werken.

[ik222]

Als je gewoon voor het verkeer over de nieuw aangemaakte DSL interface NAT aanzet gaat deze setup op zich wel werken. Maar dan ga je zodra je primaire lijn uitvalt wel over naar een ander public IP en heb je ineens dubbele NAT. Niet heel handig / netjes dus in mijn ogen.

Als je provider echt zegt dat de /29 over beide lijnen werkt dan moet je hen inderdaad vragen hoe dat dan werkt. Meestal moet je dan BGP configureren.

[Geckx]

Crazymonkey schreef op donderdag 29 juni 2017 @ 18:48:
Je moet 2 dynamic nat rules aanmaken, een voor de WAN en de andere WAN_Failover. Dan moet je de failover verbinding een hogere metric geven dan je default route. Dan kan je op je default route sla instellen. Als deze route niet beschikbaar is dan vervalt deze route, dan is de eerst volgende de failover. En omdat je een dynamic nat hebt voor beide interfaces gaat dit werken.

Gaat dit ook op, ondanks wat Jackbol zegt?

In dat geval moet je een routing protocol over beide links configureren (RIP, OSPF, BGP of zo).
Jij kan namelijk op de ASA wel kiezen middels een statische route of je over coax of dsl wilt uitrouteren, maar hoe weet de provider waar ze het retour verkeer naar toe moeten sturen? Daarvoor heb je een dynamisch routing protocol nodig.

Want dat lijkt mij inderdaad wel een logische conclusie

[Tomsworld]

Als dit een setup is bij telenet ( cable met vdsl backup ) moet je ook BGP configureren want zo beslis je via welke kant het verkeer moet lopen.

[doopsuiker]

Als je er zelf niet aan uit kan je altijd voor een managed oplossing gaan.
Kost 25 euro per maand meer en heb je geen kennis van bgp nodig.
Ook de miserie als de hardware kapot gaat of als de failover dan toch niet blijkt te werken heb je dan niet.
Die ASA spreekt ook geen bgp dacht ik.

Normaal heb je de nodige info over bgp-config gekregen. Indien niet, kan je die altijd aan je account-manager van telenet vragen.

[Geckx]

ff update voor de volledigheid.

was dus inderdaad niet mogelijk via de ASA.
nieuwe router geplaatst die BGP ondersteunt en werkt perfect nu.

ongeveer 40 sec failover tijd

bedankt iedereen voor de hulp!