Jak uzyskać ASA, aby ogłaszać NAT 'adresy zewnętrzne' w strefie OSPF?

19

Układ urządzenia jest następujący:

   BGP Peers
       +
       |
       |
+------+-------+
|              |
| Juniper MX5  |
|              |
+------+-------+
       |.254
  OSPF | 10.0.1.0/24
       |.1
+------+-------+
|              |
|  Cisco ASA   | ASA NAT
|              | 10.0.0.1 <> 134.0.15.1
+------+-------+
       |.254
       |10.0.0.0/24
       |.1
+------+-------+
|              |
|    HOST1     |
|              |
+--------------+

Jeśli masz ASA wykonującą NAT do adresowania przestrzeni, która nie jest do niego statycznie kierowana, w jaki sposób możesz ogłosić adresy NAT do strefy OSPF, aby router na górze (Juniper MX5) wiedział, jak do niej dotrzeć?

(FYI jest to w dużej mierze uproszczony wycinek z dużo większej sieci wyłącznie w celu zademonstrowania elementów zaangażowanych w ten problem)

ospf cisco-asa SimonJGreen
źródło
Czy router Juniper ma adres IP w tej samej podsieci co 134.0.15.1?
PacketWrangler
@PacketWrangler nie to prywatna sieć z OSPF jako protokołem routingu. Poprawiłem schemat, aby był bardziej przejrzysty.
SimonJGreen
Jeśli masz 10.0.1.0/24 z jednej strony i 10.0.0.0/24 z drugiej, jak w ogóle 134.0.15.1 pasuje do twojego routingu?
Paul Gear
BGP do MX5, a następnie OSPF do urządzeń wewnętrznych. To jest dokładnie pytanie :)
SimonJGreen
Czy mogę zapytać, dlaczego wykonujesz NAT w ASA? Wydaje mi się, że lepiej byś był obsługiwany, używając 134.0.15.0/24 (zakładając, że masz / 24) na swoich hostach za ASA i unikaj NAT. Następnie zamiast 10.0.0.254 na ASA „inside” wstawiłbyś 134.0.15.254, a następnie przypisałeś swojemu hostowi 134.0.15.1. Następnie skonfiguruj OSPF na ASA i będzie reklamować, że ma 134.0.15.0/24 na MX5.
PacketWrangler

Odpowiedzi:

16

Zazwyczaj trasa statyczna byłaby instalowana na urządzeniu nadrzędnym (w tym przykładzie Juniper MX5), wskazując na NAT poza siecią, zamiast próbować reklamować sieć z ASA. Przynajmniej tak zawsze się tym zajmuję.

Jeremy Stretch
źródło
Na przykład, czy mógłbym odłożyć „pulę” adresów dla NAT i statyczną trasę do nich z MX5? Jak skaluje się to do wielu urządzeń nadrzędnych, a także na wschód <> zachodni, jeśli w strefie OSPF znajdują się inne urządzenia nadrzędne?
SimonJGreen
1

Początkowo nie zamierzam pisać tutaj, ponieważ odpowiedź na to pytanie, ale po zobaczeniu twojego drugiego postu dotyczącego przeniesienia tras statycznych do sesji OSPF pomyślałem, że może to obejść ten problem.

W ASA możesz utworzyć trasę statyczną dla swojej publicznej przestrzeni adresowej (powiedzmy 134.0.15.0/30) i ponownie rozdzielić tę trasę do OSPF. Zakładając, że masz odpowiednią konfigurację do ustanowienia sesji OSPF w interfejsie „Zewnętrznym”, będzie ona reklamować statyczną trasę na północ.

Uwaga: Spowoduje to również reklamę trasy do wszystkich peerów w interfejsie „Inside”. To nie powinien być inny problem niż ten, który zobaczysz w tablicach routingu urządzenia.

Bigmstone
źródło