多站点IPSec VPN互连解决方案（原创）

 

Bati-gol

 

在项目中很多机构会采用IPSec VPN来互连总部和分支，以完成总部和分支的互访，分支之间的互访以及VPN流量的汇聚。通过VPN线路互联国内所有分公司以及国内与国外的访问。

 

案例分析

见如下Topology

 

该机构总部位于新加坡，在很多国家有自己的分公司，同时在每个国家也有多个分支机构站点。

现在需要将国内的总部和各分支机构进行互联，同时国内的总部以及国内各分支机构需要访问新加坡总部的资源服务器，同时国内各分支之间也会有少量访问。

对于每个国家都会采用分支互联该国家的总部，总部再互联到新加坡的方式。

 

 

 

 

部署思路

由于各个国家的VPN部署方式相似，这里以国内VPN的互联为例

在国内的总部部署一台中高端的防火墙，用于各分支机构的VPN的接入，各分支根据相应的选型标准选购和部署防火墙。各防火墙提供用户NAT上网以及防护功能，分支机构通过VPN方式访问国内总部的服务器资源，同时国内总部的服务器资源将分支机构的流量汇聚后转发至新加坡总部，以完成国内总部和各分支到新加坡总部的资源的访问。同时各分支之间偶尔会有互访，可以在国内总部防火墙上采用Hub to spoke VPN方式将各分支进行互联，这样分支机构之间的互访会由国内总部的防火墙设备作中转。当然如果以后分支机构有大量数据需要传输，可以采用在分支之间直连VPN连接，无需由总部做中转，这样数据转发会更有效率。

 

IP编址：

新加坡总部：10.217.0.0/19

国内总部：     10.212.0.0/24

分支1:              10.212.1.0/24

分支2:              10.212.2.0/24

…..                      ……

分支n-1            10.212.n-1.0/24

分支n               10.212.n.0/24

 

实现目标

1.       分支机构<——>国内总部               互访

2.       分支机构A<——>分支机构B        分支机构之间互访

3.       国内总部<——>新加坡总部         互访

4.       分支机构<——>新加坡总部         互访

 

 

 

 

 

参照上面的IP编址，以分支1，分支2，国内总部，新加坡总部的互访为例

 

对于分支1：

1．  需要将本地10.212.1.0/24到国内总部10.212.0.0/24的流量转发至到国内总部的VPN隧道；

感兴趣流量：10.212.1.0/24 ——> 10.212.0.0/24

 

2．  将本地10.212.1.0/24到分支2的10.212.2.0/2的流量转发至国内总部的VPN隧道后中转给分支2

感兴趣流量：10.212.1.0/24 ——> 10.212.X.0/24

 

3．  将本地10.212.1.0/24到新加坡总部的10.217.0.0/19的访问转发至国内总部，中转给到新加坡的VPN隧道

感兴趣流量：10.212.1.0/24 ——>10.217.0.0/19

 

将以上感兴趣流量汇总：

10.212.1.0/24 —>10.208.0.0/12（汇总10.212.0.0/24,10.212.X.0/24,10.217.0.0/19）

***************************************************************************

 

对于分支2：

1．  需要将分支2的10.212.2.0/24到国内总部10.212.0.0/24的流量转发至道国内总部的VPN隧道；

感兴趣流量：10.212.2.0/24 ——> 10.212.0.0/24

 

2．  将分支2的10.212.2.0/24到分支1的10.212.X.0/24的流量转发至到国内总部的VPN隧道，再中转至分支1，实现分支1与分支2的互访

感兴趣流量：10.212.2.0/24 ——> 10.212.1.0/24

 

3．  将分支2的10.212.2.0/24到新加坡总部10.217.0.0/19的流量转发至国内总部后中转至新加坡的VPN的隧道

感兴趣流量：10.212.2.0/24 ——> 10.217.0.0/19

 

感兴趣流量汇总：

10.212.2.0/24 —>10.208.0.0/12（汇总10.212.0.0/24,10.212.X.0/24,10.217.0.0/19）

**********************************************************************

 

对于国内总部：

1．  将本地10.212.0.0/24到分支1的10.212.1.0/24的流量转发至分支1的VPN，以完成分支1和国内总部的互访；

感兴趣流量：10.212.0.0/24 ——> 10.212.1.0/24

 

2．  将本地10.212.0.0/24到分支2的10.212.2.0/24的流量转发至分支2的VPN，以完成分支2和国内总部的互访；

感兴趣流量：10.212.0.0/24 ——> 10.212.2.0/24

 

3．  将自己内网以及各分支的流量10.212.X.0/24汇总后到新加坡的10.217.0.0/19的流量转发至新加坡的VPN隧道

感兴趣流量：10.212.X.0/24 ——> 10.217.0.0/19

 

感兴趣流量汇总

1.      到各分支： 10.208.0.0/12 ——>10.212.1.0/24

10.208.0.0/12 ——>10.212.2.0/24

……….                          ……….

10.208.0.0/12 ——>10.212.n.0/24

2.到新加坡总部：

                            10.212.0.0/16 ——>10.217.0.0/19

**********************************************************************

 

对于新加坡总部：

1．  将本地10.219.0.0/19到国内总部以及各分支机构的10.212.X.0/24的流量转发至国内中转后，再通过国内总部与各个分支机构的VPN转发给各个分支机构，以完成国内总部以及分支到新加坡总部的互访。

感兴趣流量：10.219.0.0/19 ——> 10.212.X.0/24

 

感兴趣流量汇总：10.219.0.0/19 ——> 10.212.0.0/12

 **********************************************************************

 

 

 

 

数据流量转发分析

 

分支1访问国内总部：

分支1数据匹配感兴趣流量10.212.1.0/24 —>10.208.0.0/12（前面分支1的汇总）将访问国内总部10.212.0.0/24的流量转发给国内总部防火墙，国内总部防火墙通过到分支1的感兴趣流量：     10.208.0.0/12 ——>10.212.1.0/24（前面国内总部的汇总），将数据返回给分支1，完成分支1和国内总部的互访。

 

分支1访问分支2（Hub to spoke）

分支1数据匹配感兴趣流量10.212.1.0/24 —>10.208.0.0/12（前面分支1的汇总）将访问分支2的10.212.2.0/24的流量转发给国内总部防火墙，国内总部防火墙通过到分支2的感兴趣流量10.208.0.0/12 ——>10.212.2.0/24，将数据中转给分支2；分支2通过10.212.2.0/24 —>10.208.0.0/12将数据返回给国内的总部防火墙，再通过感兴趣流量10.208.0.0/12 ——>10.212.1.0/24，将数据中转给分支1，完成分支1和分支2的互访。

 

分支1访问新加坡总部

分支1数据匹配感兴趣流量10.212.1.0/24 —>10.208.0.0/12（前面分支1的汇总）将访问新加坡总部10.217.0.0/19的流量转发给国内总部防火墙，国内总部防火墙通过

10.212.0.0/16 ——>10.217.0.0/19，将数据中转到新加坡；新加坡通过10.219.0.0/19 ——> 10.212.0.0/12，将数据返还给国内总部防火墙，再通过10.208.0.0/12 ——>10.212.1.0/24将数据中转给分支1，以完成分支1和新加坡总部的互访。

 

国内总部访问新加坡总部

国内总部匹配感兴趣数据10.212.0.0/16 ——>10.217.0.0/19将源自10.212.0.0/24的数据转发至新加坡；新加坡匹配10.219.0.0/19 ——> 10.212.0.0/12，将数据返还给国内总部，以完成国内总部和新加坡总部的互访。

 

以上所有感兴趣流量都是各个站点访问目的地的汇总。其实大家不难发现对于VPN感兴趣流量的匹配和路由表转发以及策略路由转发相似，通过同时匹配源地址和目的地址来判断将数据丢进哪个VPN隧道，通过hub to spoke VPN等方式实现多站点的VPN互联。

本案例以国内各分支以及新加坡总部的VPN互联，国外总部的VPN互联方式也采用相同方式互联即可。

对于分支之间的访问，是通过国内总部防火墙中转来实现，这样做会增大中心端防火墙的负载，以及增加的访问的延时，在分支之间的通信不是很频繁时可以采用；如果分支之间有大量通信流量，可以在分支1，分支2等分支之间直连VPN，这样可以降低中心端防火墙的负载，以及访问的延时。