admin管理员组文章数量:1571369
AWS 上结合Router53构建思科远程访问虚拟私有网络高可用架构
B站视频链接：https://www.bilibili/video/BV1xR4y1D7JN/?spm_id_from=333.999.0.0
微信公众号：自刘地
- 一、背景
- 二、实验介绍
- 三、配置部署
- 3.1 通过CloudFormation创建实验环境
- 3.2 Router 53 加权路由策略简介
- 3.3 Router 53 配置加权路由策略
- 四、SSLVPN拨号测试
- 五、文档链接
一、背景
因为疫情的推动，居家办公已经成为常态化的趋势，员工居家办公的场景下，需要安全的访问企业内网。思科的AnyConnect RA-VPN（Remote Access VPN)是比较常见的解决方案，这篇文档介绍在亚马逊云科技上构建高可用的思科远程访问VPN架构。
在AWS Marketplace上，提供思科的ASAv和FTDv这两款防火墙产品，都可以用来部署AnyConnect RA-VPN，这里介绍更加常见的，通过ASAv防火墙来部署。
RA-VPN会作为员工访问内网的入口，一旦出现故障，将会影响所有员工的远程访问，所以为RA-VPN部署高可用架构是非常重要的。
在AWS上，可以通过两种方式来构建思科RA-VPN的高可用架构：
-
Router 53的DNS负载均衡。将VPN的域名配置两个权重相同的 A记录，分别指向两台ASAv的公网地址，当用户通过VPN域名拨号时，平均来说，Router 53会负载分担的返回两台ASAv的公网IP地址，用户从而拨入到不同的ASAv上。 -
Network Load Balancer进行负载均衡。创建一个面向互联网的NLB，关联两台ASAv实例，为VPN的域名设置 CNAME记录，指向NLB的DNS名称。这样用户通过VPN域名拨号时，会解析到NLB的DNS名称，NLB会将流量负载分担到两台ASAv上。
更加推荐使用第一种高可用架构，基于Router 53的DNS负载均衡来构建RA-VPN的高可用。这可以灵活的控制两台防火墙的流量比例，当其中一台防火墙需要维护升级时，也更容易无感知下线。
二、实验介绍
本次实验会创建两台ASAv防火墙，分别在两个可用区。Router 53 为VPN的域名vpn.demonwcd配置两条权重相同的A记录，当用户通过域名拨号时，会将流量负载分担到两台ASAv防火墙的公网IP地址上，从而实现远程访问VPN的高可用架构。
用户通过AnyConnect客户端拨号后，获取的IP地址段并不属于VPC CIDR段，思科将这种地址池称为“ghost pool”。通过这种方式，可以让客户端保留源IP地址去访问其他系统，而不用配置源NAT转换。这种配置方式可以与Transit Gateway结合，客户端可以保留源IP地址访问其他VPC。
当使用“ghost pool”之后，路由表需要配置回包路由，指向防火墙的接口，否则客户端无法访问该子网内的系统。
ASAv使用BYOL授权模式的AMI镜像，运行9.18.1的软件版本，不额外导入授权的情况下，默认对流量限速100kbps、100个最大会话。
三、配置部署
3.1 通过CloudFormation创建实验环境
CloudFormation代码如下，代码默认在东京区（ap-northeast-1）运行，如果想要在其他区域运行，需要修改AsavBYOL9181对应的AMI ID信息。
ASAv已经在User Data中完成了SSLVPN的配置，堆栈创建完成后，可以直接使用ASAv的公网IP地址拨号测试。
AWSTemplateFormatVersion: '2010-09-09'
Mappings:
RegionMap:
ap-northeast-1:
AsavBYOL9181: ami-022666395753eceb7
Parameters:
MyKeyPair:
Description: Amazon EC2 Key Pair
Type: AWS::EC2::KeyPair::KeyName
Default: Global_Tokyo_KeyPair
EC2InstanceAmiId:
Type: AWS::SSM::Parameter::Value<AWS::EC2::Image::Id>
Default: '/aws/service/ami-amazon-linux-latest/amzn2-ami-hvm-x86_64-gp2'
Resources:
#===============创建SSM Role===============#
BastionSsmRole:
Type: AWS::IAM::Role
Properties:
AssumeRolePolicyDocument:
Statement:
- Effect: Allow
Principal:
Service:
- ec2.amazonaws
Action:
- 'sts:AssumeRole'
Path: /
BastionSsmPolicy:
Type: AWS::IAM::Policy
Properties:
PolicyName: ApplianceInstanceAccess
PolicyDocument:
Statement:
- Effect: Allow
Action:
- ssm:DescribeAssociation
- ssm:GetDeployablePatchSnapshotForInstance
- ssm:GetDocument
- ssm:DescribeDocument
- ssm:GetManifest
- ssm:GetParameter
- ssm:GetParameters
- ssm:ListAssociations
- ssm:ListInstanceAssociations
- ssm:PutInventory
- ssm:PutComplianceItems
- ssm:PutConfigurePackageResult
- ssm:UpdateAssociationStatus
- ssm:UpdateInstanceAssociationStatus
- ssm:UpdateInstanceInformation
Resource: "*"
- Effect: Allow
Action:
- ssmmessages:CreateControlChannel
- ssmmessages:CreateDataChannel
- ssmmessages:OpenControlChannel
- ssmmessages:OpenDataChannel
Resource: "*"
- Effect: Allow
Action:
- ec2messages:AcknowledgeMessage
- ec2messages:DeleteMessage
- ec2messages:FailMessage
- ec2messages:GetEndpoint
- ec2messages:GetMessages
- ec2messages:SendReply
Resource: "*"
Roles:
- !Ref BastionSsmRole
BastionSsmProfile:
Type: AWS::IAM::InstanceProfile
Properties:
Path: /
Roles:
- !Ref BastionSsmRole
#===============创建SSLVPN VPC===============#
SSLVPN:
Type: AWS::EC2::VPC
Properties:
CidrBlock: '10.1.0.0/16'
EnableDnsSupport: 'true'
EnableDnsHostnames: 'true'
Tags:
- Key: Name
Value: SSLVPN
# 创建IGW并且关联到VPC
SSLVPNIgw:
Type: "AWS::EC2::InternetGateway"
Properties:
Tags:
- Key: Name
Value: !Sub SSLVPNIGW
SSLVPNAttachIgw:
Type: "AWS::EC2::VPCGatewayAttachment"
Properties:
VpcId: !Ref SSLVPN
InternetGatewayId: !Ref SSLVPNIgw
#-----------创建子网-----------#
# SSLVPN 创建公有子网
SSLVPNPublicSubnet1:
Type: AWS::EC2::Subnet
Properties:
VpcId: !Ref SSLVPN
CidrBlock: 10.1.1.0/24
AvailabilityZone:
Fn::Select:
- 0
- Fn::GetAZs: ""
Tags:
- 版权声明：本文标题：AWS 上结合Router53构建思科远程访问虚拟私有网络高可用架构 内容由热心网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://www.elefans.com/dongtai/1725661622a1035398.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。
发表评论