crypto map SECMAP interface outside

// Если номер 1 для политики crypto map уже используется, необходимо выбрать следующий свободный номер

Настройка трансляции адресов для прохождения трафика от банкоматов до процессингового центра

access-list NO_NAT_RT extended permit ip object-group NET_PLCARD object-group ATM_INTERNET

nat (rt) 0 access-list NO_NAT_RT, где rt - интерфейс Ростелекома.

Настройка маршрутизации до сети, выделенной для подключения банкоматов через Интернет

 

route outside 10.128+№.252.0 255.255.252.0 200.0.0.100, где 200.0.0.100 - шлюз провайдера, № - номер филиала.

 

Разрешения в списках доступа (access-list) на интерфейсах outside и rt, для прохождения продуктивного трафика банкоматов и трафика мониторинга между выделенной сетью для подключения банкоматов через Интернет и сетью процессингового центра.

 

Например для интерфейса outside:

Access-list ACL_OUTSIDE_IN extended permit ip object-group ATM_INTERNET object-group NET_PLCARD

 

Например для интерфейса rt:

Access-list ACL_RT_IN extended permit udp object-group NET_PLCARD object-group ATM_INTERNET range 161 162

 

access-group ACL_RT_IN in interface rt

 

б) Пример настройки Cisco ASA при подключении банкомата через Интернет с динамическим внешним IP.

Перед началом работы сохраните на tftp сервер текущую конфигурацию Cisco ASA.

Crypto isakmp enable outside

crypto isakmp policy 10 // Если номер 10 для политики isakmp уже используется,

authentication pre-share // необходимо выбрать следующий свободный номер

Encryption aes-256

Hash sha

Group 2

Lifetime 86400

Crypto ipsec transform-set ESP-AES-SHA esp-aes-256 esp-sha-hmac

Crypto isakmp nat-traversal

Same-security-traffic permit intra-interface

access-list crypto_acl_atm_1 extended permit ip 10.100.11.0 255.255.255.0 10.129.254.0 255.255.255.248

access-list crypto_acl_atm_1 extended permit ip 10.100.19.0 255.255.255.0 10.129.254.0 255.255.255.248

// вместо 10.129.254.0 255.255.255.248 указываем сетевой диапазон

// выделенный для подключения банкомата

Tunnel-group DefaultL2LGroup ipsec-attributes

pre-shared-key // после pre-shared-key вводим первые 31 символа

// сгенерированные программой генерацией КК

crypto dynamic-map SECDYNMAP 1 match address crypto_acl_atm_1

Crypto dynamic-map SECDYNMAP 1 set transform-set ESP-AES-SHA

Crypto dynamic-map SECDYNMAP 1 set security-association lifetime seconds 3600

Crypto map SECMAP 65535 ipsec-isakmp dynamic SECDYNMAP

Crypto map SECMAP interface outside

Настройка трансляции адресов для прохождения трафика от банкоматов до процессингового центра

access-list NO_NAT_RT extended permit ip object-group NET_PLCARD object-group ATM_INTERNET

nat (rt) 0 access-list NO_NAT_RT, где rt - интерфейс Ростелекома.

Настройка маршрутизации до сети, выделенной для подключения банкоматов через Интернет

 

route outside 10.128+№.252.0 255.255.252.0 200.0.0.100, где 200.0.0.100 - шлюз провайдера, № - номер филиала.

 

Разрешения в списках доступа (access-list) на интерфейсах outside и rt, для прохождения продуктивного трафика банкоматов и трафика мониторинга между выделенной сетью для подключения банкоматов через Интернет и сетью процессингового центра.

 

Например для интерфейса outside:

Access-list ACL_OUTSIDE_IN extended permit ip object-group ATM_INTERNET object-group NET_PLCARD

 

Например для интерфейса rt:

Access-list ACL_RT_IN extended permit udp object-group NET_PLCARD object-group ATM_INTERNET range 161 162

 

access-group ACL_RT_IN in interface rt

Обновление банкоматов

На интерфейсы выделенных каналов связи и интернета, необходимо добавить следующие строчки

Список доступа, привязанный к интерфейсу Ростелекома

 

access-list ACL_RT_IN line 1 extended permit udp object-group SERVER_ATM_UPDATE object-group ATM_INTERNET eq 4104

access-list ACL_RT_IN line 2 extended permit tcp object-group SERVER_ATM_UPDATE object-group ATM_INTERNET eq 4728

access-list ACL_RT_IN line 3 extended permit tcp object-group SERVER_ATM_UPDATE object-group ATM_INTERNET eq 4105

 

Список доступа, привязанный к интерфейсу Интернета

access-list ACL_OUTSIDE_IN line 1 extended permit udp object-group SERVER_ATM_UPDATE object-group ATM_INTERNET eq 4104

access-list ACL_OUTSIDE_IN line 2 extended permit tcp object-group SERVER_ATM_UPDATE object-group ATM_INTERNET eq 4105

access-list ACL_OUTSIDE_IN line 3 extended permit tcp object-group SERVER_ATM_UPDATE object-group ATM_INTERNET eq 4728

access-list ACL_OUTSIDE_IN line 4 extended permit udp object-group ATM_INTERNET object-group SERVER_ATM_UPDATE eq 4104

access-list ACL_OUTSIDE_IN line 5 extended permit tcp object-group ATM_INTERNET object-group SERVER_ATM_UPDATE eq 4105

access-list ACL_OUTSIDE_IN line 6 extended permit tcp object-group ATM_INTERNET object-group SERVER_ATM_UPDATE eq 4728