المحتويات

مسألة

عند نشر Cisco Secure Access (CSA) مع Cisco Secure Client (CSC) على نقاط نهاية Windows في بنية شبكة موصولة الصوت، تحتاج المؤسسات على الأرجح إلى تكوين توجيه تقسيم للسماح لحركة مرور الموقع المتكلم بالاتصال مباشرة ب CSA عبر دائرة الإنترنت المحلية بدلا من إعادة التوجيه من خلال الموزع. يتطلب هذا التكوين معرفة جميع عناوين الوجهة من Cisco المستخدمة عند إنشاء نفق CSA حتى يمكن تحديد إستثناءات التوجيه (التوجيه مجزأ/مجزأ) على أجهزة الشبكة مثل جدران الحماية Fortigate.

والمطلب المحدد هو تحديد جميع معلومات الوجهة (عناوين IP أو عناوين URLs) لنقاط نهاية CSA المستخدمة من قبل CSC عند إنشاء أنفاق TLS/DTLS، مما يتيح التكوين المناسب لسياسات التوجيه التي تتجاوز نفق VPN الخاص بخطاف Hub-Talk لحركة مرور CSA.

البيئة

- نشر الوصول الآمن (CSA) من Cisco

- Cisco Secure Client (CSC) على نقاط نهاية Windows

- مخطط شبكة Hub-Talk باستخدام جدران الحماية Fortigate

- اتصال نفق TLS/DTLS ب CSA

قرار

لتكوين توجيه التقسيم لاتصالات الوصول الآمن من Cisco، يجب تكوين معلومات الوجهة الموضحة في الأقسام التالية على جهاز Fortigate للسماح بالاتصال المباشر بنقاط النهاية CSA.

مجال وجهة CSA والمنافذ

المجال الأساسي

*.vpn.sse.cisco.com

المنافذ والبروتوكولات المطلوبة

- بروتوكول TCP/UDP 443: يستخدم لإنشاء نفق TLS/DTLS

- UDP 500/4500: يستخدم لإنشاء نفق IPsec

- بروتوكول TCP 80: يستخدم للتحقق من إبطال شهادة VPN

نهج تكوين Fortigate

قم بتكوين سياسات التوجيه على جهاز Fortigate لتوجيه حركة المرور الموجهة إلى مجال CSA (*.vpn.sse.cisco.com) والمنافذ المحددة من خلال دائرة الإنترنت المحلية عبر Talk بدلا من من من خلال نفق VPN الخاص ب Hub-Talk. هذا يمكن الحركة مرور تدفق يعدد في التعليمات البرمجية التالية.

تدفق حركة المرور المطلوب

Spoke Site → CSA Tunnel Connection → CSA-mediated Internet Communication

بدلا من تدفق حركة المرور عبر موقع صرة

Spoke Site → Hub Site → CSA Tunnel Connection → CSA-mediated Internet Communication

اعتبارات هامة

يتم تحديد وجهات اتصال CSA بشكل ديناميكي أثناء وقت التشغيل، مما يعني أن عناوين IP المحددة لا يمكن تحديدها مسبقا لتكوين التوجيه الثابت. يوفر النهج المستند إلى المجال الذي يستخدم *.vpn.sse.cisco.com الطريقة الأكثر موثوقية لتكوين سياسات التوجيه المقسمة.

راجع وثائق الوصول الآمن الرسمية من Cisco لمتطلبات الوجهة والمنافذ الحالية، بما أن هذه يتم تحديثها على الأرجح مع إصدارات البرامج الجديدة.

السبب

في مخططات شبكة Hub-Talk، كل حركة المرور المرتبطة بالإنترنت من مواقع Talk عادة ما تمر عبر موقع Hub بشكل افتراضي. عند تنفيذ CSA باستخدام CSCs، يتسبب سلوك التوجيه الافتراضي هذا في جعل حركة مرور نفق CSA تظهر من خلال موقع الوصل قبل الوصول إلى نقاط نهاية CSA، مما قد يؤدي إلى عدم كفاءة زمن الوصول والنطاق الترددي. تتطلب الطبيعة الديناميكية لتحديد نقطة نهاية CSA سياسات توجيه قائمة على المجال بدلا من القواعد الثابتة المستندة إلى IP لضمان وظيفة توجيه تقسيم مناسب.

المحتوى ذي الصلة

- وثائق Cisco Secure Access - متطلبات الاتصال

- وثائق الوصول الآمن من Cisco - تكوين الشبكة

- الدعم الفني والتنزيلات من Cisco