Как организовать инфраструктуру?

Question

[csergey]

Добрый день. В данный момент существует такая инфраструктура - два отделения и главный офис, только без телефонов IP телефонии (обозначены на карте "Phone") и устройств ("Device" для которых нужна своя подсеть)

Помогите пожалуйста. Прописать адресацию на телефонах и устройствах (каждому отделению нужно выделить подсеть под телефоны и устройства?) и что прописать в маршрутизации и списках доступа на маршрутизаторах R1, R2, R3, ASA, что бы всё маршрутизировалось. Всё телефоны должны маршрутизироватся с АТС. А все устройства "Device" должны ходить на маршрутизатор "DEVICE ROUTER", причём со стороны "DEVICE ROUTER" для нас анонсирована сеть 192.168.0.0/24 (только из этой подсети наши устройства "Device" могут попасть на "DEVICE ROUTER")

Буду благодарен если кто то опишет по каждому маршрутизатору маршрутизацию и списки доступа которые нужно прописать.

Answer 1

[brutal_lobster]

Телефония:
В каждом подразделении - отдельные сети для телефонов

10.10.0.0/24
10.11.0.0/24
10.12.0.0/24

На маршрутизаторах подразделений - маршрут из сети телефонии до АТС (через vpn-линк)
На асе - маршруты до сетей телефонии через нужные линки.
Доступ резрешен только между сетями телефонии и АТС + доступ к админке телефонов и АТС откуда нужно
Девайсы:
В каждом подразделении - отдельные сети для девайсов

10.20.0.0/24
10.21.0.0/24
10.22.0.0/24

На маршрутизаторах подразделений - маршрут из сети девайсов до девайс-роутера
На асе - маршруты до сетей девайсов через нужные линки и маршрут до девайс-роутера
На R3 - маршруты до сетей девайсов через асу
Далее - или договариваетесь с девайс-роутером - чтобы пропускал ваши сети - или настраиваете нат для сетей девайсов на R3
Доступ разрешен только между сетями девайсов и девайс-роутером (ну и админка)

Comments

[csergey]

а подскажите как пропустить трафик через VPN IPSEC подсети 10.10.0.0/24 на ASA. как и куда прописать ACL и маршрут?

[brutal_lobster]

Для пропуска трафика через ipsec:
1. Создаете acl, которая матчит трафик, который вы хотите отправлять в туннель
2. Добавляете эту acl в cryptomap для нужного туннеля

[brutal_lobster]

Ну и может быть придется подправить фаервольчик, in-out acl на интерфейсах, правила ната какие-нибудь - т.е. чтобы трафик доходил до cryptomap