[BOOTCAMP共享] 某电信实业集团项目（附图）－不看拉倒咯

实业, 实战, BOOTCAMP, 电信, 附图

昨天下午5月18日，去电信实业集团公司（位于五一广场电信大楼对面，距大利嘉200M附近）为他们公司排除故障。SPOTO S类会员周良也参于了本次项目，并有上佳表现。

- O) L+ F( P8 N0 c
先看看项目的拓扑：
0 r k9 w9 _ q) D

! F% z% @/ c' G. k; f
与实业的工程师沟通后得知项目中所出现的故障：

1、外网无法通过ASA5520访问到内部的Mail、FTP等服务器，就在拓扑的上方

static (inside,outside) tcp 61.154.X.X pop3 10.214.1.14 pop3 netmask 255.255.255.255

static (inside,outside) tcp 61.154.X.X smtp 10.214.1.14 smtp netmask 255.255.255.255

static (inside,outside) tcp 61.154.X.X 3389 10.214.1.14 3389 netmask 255.255.255.255

access-list outside-access-in extended permit ip any host 61.154.X.X

access-group outside-access-in in interface outside

经测试，无法远程访问61.154.X.X的3389端口，同时也无法接收外网发送过来的邮件。

2、VPN隧道建立的问题：这个问题比较严重一些，这关系到整个集团公司是否能够正常访问到服务器了，以下是故障方面的内容：

福建与集团进行vpn连接，福建使用asa5520，集团使用pix535防火墙进行des 的vpn隧道连接。VPN隧道两端地址是福建为10.214.0.0/16，集团为10.192.0.0/16,10.3.38.128/26,10.3.47.0/24,10.3.49.0/26,192.168.10.0/24共5个ip网段。由于集团的ip网段较多，定义了一个地址对象组object-group chinaccs，在组里设定ip地址段。

福建与集团ike协商成功后，由集团进行触发ipsec隧道，建立了10.192.0.0/16和192.168.10.0/24两个网段的ipsec隧道，其余三个网段的ipsec隧道无法建立，导致这三个网段无法访问福建实业的服务器。但如果是由福建触发ipsec隧道，则能全部建立隧道，此时集团也能ping及访问福建的服务器资源。

为了排除是集团的配置问题，将福建这的asa5520替换成cisco2811与集团进行vpn连接，此时集团就能全部触发网络连接。

因此问题应该还是出在asa5520的某些设置上。Asa5520的具体配置见附件中《asa5520-20070423-startup》，《路由器与集团vpn连接配置.txt》为使用路由器与集团pix535进行vpn连接的配置。

M! L1 ^. f3 V/ N9 }; M

附件的内容由于存在企业密保协议不方便告诉大家，关于VPN隧道，实业公司与集团还有一个不容忽视的问题，如果电信线路（isp)出现“瞬断”，瞬断就是指上网上得好好的忽然就断开连接，就好像我们平常在玩游戏，如果瞬断，就会跟服务器断开连接，要再登录一次才可以，这样会影响玩游戏的心情了，呵呵，如果暴了什么好装备的话………… 话题转回来，出现瞬断，也会影响到电信集团的业务，上传到一半的数据卡死或掉线之类，VPN的隧道也会断开连接，集团使用的是2800系列的路由器作为VPN LAN-TO-LAN的另一端，经过测试，瞬断后2800不会马上拆除隧道，就是说，28后面的用户如果想通过VPN再访问实业的服务器，其实数据跑的的是空隧道，无法建立连接，当时实业工程师所采用的办法就是在实业的主机房，将隧道强制拆除，重新激活隧道。后经过调试可以在28上面控制，如果线路出现瞬断或者其他方面导致的线路不通，28可以自动检测周期性地发送Keepalive信息，这样以保证即使隧道断开，在28上面也会将隧道拆除，再由内部主机发送数据包重新激活，避免由工程师手工操作。