Início / server / Perguntas / 797523
Accepted
dunxd
Asked: 2016-08-18 14:52:58 +0800 CST

Hub do Azure, VPN com vários spokes usando dispositivos de segurança Meraki MX

  • 772

Desejo configurar várias infraestruturas no MS Azure que estarão disponíveis para vários locais equipados com Cisco Meraki MX Security Appliances. Infelizmente, os MXs ainda não oferecem suporte a VPNs baseadas em rota, e o Azure oferece suporte apenas a várias redes site a site ao usar VPN baseada em rota. Acho que podem existir desafios semelhantes com a AWS e outros provedores de serviços em nuvem.

Acho que posso contornar essa limitação usando um firewall virtual, como o Cisco ASAv, mas não consegui encontrar nenhuma documentação ou material de marketing que deixe claro que isso é adequado. Sei que já fiz VPN hub/spoke com ASAs físicos no passado, mas não tenho experiência com ASAv.

Alguém tem alguma experiência em hub de provedor de nuvem com ASAv (ou qualquer outro firewall virtual) e fala de filial usando firewalls que não suportam IKEv2 ou VPNs baseadas em rota, como Meraki MX, Cisco ASA etc?

vpn cisco-asa azure meraki

2 respostas

  1. Best Answer

    Conforme mencionado acima, conseguimos fazer isso ativando um Cisco CSR no Azure. Temos 50 MX60W e alguns MX100, todos conectados ao CSR do Azure, que permite uma conexão direta com nossos servidores virtuais do Azure.

    Claro que a melhor solução seria criar um MX virtual no Azure. Nosso representante de vendas da Meraki continua prometendo que isso está chegando, mas ainda não há notícias. Ele mencionou recentemente que eles estão em beta com um MX virtual na AWS. Com todo o foco na configuração de ambientes de hospedagem baseados em nuvem (ou seja, Azure, AWS), acho que a Meraki está perdendo quantas empresas desejam conectar todos os seus locais perfeitamente.

    • 2

  2. Você precisará de um IP estático no CSR, mas pode usar os nomes DNS dinâmicos da Meraki. A Meraki VPN é configurada na seção VPN de toda a organização e distribuída para os MXs com base em tags. A Fase 1 e 2 e a chave pré-compartilhada devem corresponder exatamente em ambos os lados.

    Fase 1: Criptografia AES256, Autenticação SHA1, DH grupo 5, Lifetime 28800

    Fase 2: Criptografia AES256, Autenticação SHA1, PFS desligado, Lifetime 28800

    Linhas de exemplo de CSR:

    crypto isakmp policy 10 

 encr aes 256

 hash sha

 authentication pre-share 

 group 5

crypto isakmp key *shared-key* address 0.0.0.0  <- all zeroes means allow connections from anything

crypto ipsec transform-set T1 esp-AES 256 esp-SHA-hmac

 mode tunnel <- implicit if not specified?

crypto map MERAKIMAP 100 ipsec-isakmp

 description -something informative-

 set peer -MX-dynamicName.dynamic-m.com- dynamic 

 set transform-set T1

 match address 100

interface GigabitEthernet1

 crypto map MERAKIMAP

access-list 100 permit ip 10.10.103.0 0.0.0.255 10.10.164.0 0.0.0.255
    • 2

relate perguntas