Bonjour à tous,
Je rencontre des choses étranges sur notre réseau lorsque j’essaie d’utiliser le tunnel VPN nouvellement créé comme connexion WAN de secours pour notre connexion WAN MPLS principale entre nos sites.
Nous avons une connexion MPLS principale entre nos deux sites distants. Ce circuit MPLS est connecté directement à notre switch central. Le switch central est également connecté directement au pare-feu ASA 5516-x. Le switch central a des routes OSPF dynamiquement remplie à partir du circuit MPLS lorsque le circuit est opérationnel. Les deux sites sont configurés de la même manière. Tout fonctionne parfaitement. Mais maintenant, je souhaite créer une connexion WAN de secours utilisant un tunnel VPN, afin que lorsque le MPLS tombe en panne, le trafic destiné au site distant soit automatiquement routé par le tunnel VPN.
J’ai donc créé un tunnel VPN en utilisant le site distant comme pair à chaque emplacement. Pour simuler un scénario de panne, j’ai utilisé l’outil intégré packet-tracer sur l’ASA pour tenter de router le trafic destiné au réseau distant via le nouveau tunnel VPN. L’ASA n’a pas voulu envoyer le trafic via le tunnel au départ lors de l’utilisation de l’outil packet-tracer. Au lieu de cela, l’ASA envoyait tout le trafic vers le switch central via l’interface intérieure en raison d’une route statique qui utilisait un format de réseau résumé incluant les VLAN locaux et distants pour être envoyés via l’interface intérieure. C’est le résultat souhaité lorsque le circuit MPLS est opérationnel. Mais lorsque le trafic ne peut pas passer par le circuit MPLS, les routes OSPF sur le switch central disparaissent et le switch central envoie tout vers l’ASA via la route par défaut 0.0.0.0/0 pointant vers l’ASA en tant que passerelle. L’ASA dans ce scénario devrait envoyer ce trafic via le tunnel VPN.
Pour résoudre ce problème, j’ai ajouté une route statique supplémentaire aux routes statiques sur l’ASA pour indiquer à l’ASA de router le trafic VLAN distant du site local vers le site distant en utilisant l’interface extérieure, cette route statique supplémentaire ressemble à ceci :
route outside 172.20.x.x 255.255.255.0 12.x.x.x (<-- IP de la passerelle de l’interface extérieure sur l’ASA)
Cela a finalement permis à l’outil packet-tracer d’envoyer le trafic destiné à ce VLAN distant 172.20.x.x via le tunnel VPN. Pendant le fonctionnement normal, le trafic WAN site à site passait par le circuit MPLS, mais lorsque le circuit disparaissait, le trafic pour le VLAN spécifié passait par le tunnel VPN. Super, mais c’était de courte durée. Peu de temps après, un autre problème est survenu lorsque j’ai ajouté cette route. J’ai commencé à recevoir des appels d’utilisateurs se connectant au site local via le client VPN Cisco AnyConnect se plaignant qu’ils ne pouvaient accéder à aucune connexion sur le VLAN distant 172.20.x.x. J’ai donc dû supprimer cette route pour éviter que ce problème ne se produise.
Comme j’étais de nouveau sans solution, j’ai décidé d’appeler le support technique Cisco et un ingénieur m’a dit que pour surmonter ce problème, je devais utiliser SLA sur l’ASA et j’ai trois options différentes :
-
Je peux utiliser la surveillance SLA pour suivre chaque VLAN, mais arriver à un point où si un seul VLAN tombe, le reste du trafic continuera à être routé via le MPLS.
-
Je peux utiliser la surveillance SLA pour suivre le périphérique qui gère tous ces VLAN, de sorte que lorsque ce périphérique tombe en panne, tout le trafic de ces VLAN sera routé vers le tunnel site à site.
-
Je peux utiliser un protocole de routage dynamique sur les ASA pour que, en cas de défaillance du lien, la route soit supprimée de la table de routage et qu’il prenne comme chemin l’interface extérieure où la carte cryptographique est configurée pour le VPN.
L’option n°1 n’est pas pratique. Je dois router tout le trafic VLAN distant via le VPN de secours lorsque la connexion MPLS principale est coupée. Quelqu’un sait-il laquelle des autres options serait la meilleure ? Je ne pense pas demander quelque chose qui n’a jamais été fait auparavant. Je n’ai pas beaucoup d’expérience en routage, donc c’est peut-être la cause du problème. Je veux simplement envoyer le trafic WAN distant par le tunnel VPN sur l’ASA lorsque la connexion MPLS principale sur le switch central est en panne, sans empêcher les utilisateurs VPN Cisco AnyConnect connectés d’accéder aux ressources du site distant. Surrement quelqu’un est déjà tombé sur cette situation dans le passé et a trouvé une solution.
Si quelqu’un peut me donner des conseils, je lui serais reconnaissant.