Riverbed WAN-Optimierung hinter Cisco ASA: Unterschied zwischen den Versionen

Aus maxTechCorner
← Zum vorherigen Versionsunterschied
Deko (Diskussion | Beiträge)
877 Bearbeitungen
Keine Bearbeitungszusammenfassung
imported>TechCorner-Redaktion
Netzwerk: Überarbeitung
 
(2 dazwischenliegende Versionen von einem anderen Benutzer werden nicht angezeigt)
Zeile 1: Zeile 1:
==='''Symptom'''===
== Symptom ==
Riverbed Steelhead Appliances finden sich über einen VPN Tunnel mittels Cisco ASA nicht gegenseitig.  
Riverbed-Steelhead-Appliances finden sich über einen VPN-Tunnel via Cisco ASA nicht gegenseitig.
==='''Ursache und Lösung'''===
 
Die WAN-Optimierung von Riverbed arbeitet als transparenter Proxy zwischen Firewall und dem lokalen LAN. Um mit der Gegenseite zu kommunizieren,<br />
== Ursache und Lösung ==
wird ein proprietäres Protokoll verwendet.<br />
Die Riverbed-WAN-Optimierung arbeitet als transparenter Proxy zwischen Firewall und LAN und erkennt die Gegenstelle dynamisch über TCP-Optionen (Header 76/78); anschließend werden die Caches über Port 7800/7810 gefüllt. Problem: Die Cisco ASA entfernt standardmäßig TCP-Optionen. Um diese durchzulassen:
Da die Eintragung statischer Peers nicht möglich ist, wird im TCP Paket der Header 76 bzw. 78 mit Daten gefüllt. Die Gegenseite lauscht<br />
<syntaxhighlight lang="text">
auf die Werte im Header und erkennt so dynamisch die Gegenseite. Anschließend werden die Caches über Port 7800 bzw. 7810 gegenseitig gefüllt.<br />
Problematisch wird es nur, wenn die Firewall dazwischen TCP Options entfernt wird, so wie es die ASA von Cisco immer macht.<br />
<br />
Um das Feature zu erlauben, sind folgende Befehle einzugeben:
<pre>
access-list riverbed_tcp extended permit tcp any any
access-list riverbed_tcp extended permit tcp any any
class-map tcp-traffic
class-map tcp-traffic
match access-list riverbed_tcp
match access-list riverbed_tcp
tcp-map allow-probes
tcp-map allow-probes
tcp-options range 76 78 allow
tcp-options range 76 78 allow
policy-map global_policy
policy-map global_policy
class tcp-traffic
class tcp-traffic
set connection advanced-options allow-probes
  set connection advanced-options allow-probes
service-policy global_policy global
service-policy global_policy global
</pre>
</syntaxhighlight>
==='''Links und Quellen'''===
 
https://supportforums.cisco.com/document/9876636/cisco-asa-riverbed-tcp-option
== Unterstützung von m.a.x. it ==
=== '''Kontakt''' ===
Bei diesem Thema unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/managed-firewall/ Managed-Firewall- und Netzwerk-Services].
Wenn Sie Fragen oder Anmerkungen zu diesem Artikel haben, melden Sie sich bitte bei uns:<br />
 
[http://mailto:techcorner@max-it.de techcorner@max-it.de].<br />
{{Uebermax}}
[[Kategorie:Netzwerk-Software]]


Über m.a.x. Informationstechnologie AG:<br />
Als etabliertes Münchner Systemhaus zeichnen wir uns seit 1989 als verlässlicher IT-Partner mittelständischer und<br />
großer Unternehmen aus. Unser Portfolio reicht von IT- Services über individuelle Softwareentwicklung bis hin zur ERP-Beratung.<br />
=== '''Tags''' ===
Riverbed Steelhead Cisco ASA WAN-Optimierung TCP Options 76
[[Kategorie: Netzwerk-Software]]

Aktuelle Version vom 15. September 2026, 00:00 Uhr

Symptom

Riverbed-Steelhead-Appliances finden sich über einen VPN-Tunnel via Cisco ASA nicht gegenseitig.

Ursache und Lösung

Die Riverbed-WAN-Optimierung arbeitet als transparenter Proxy zwischen Firewall und LAN und erkennt die Gegenstelle dynamisch über TCP-Optionen (Header 76/78); anschließend werden die Caches über Port 7800/7810 gefüllt. Problem: Die Cisco ASA entfernt standardmäßig TCP-Optionen. Um diese durchzulassen: 

access-list riverbed_tcp extended permit tcp any any
class-map tcp-traffic
 match access-list riverbed_tcp
tcp-map allow-probes
 tcp-options range 76 78 allow
policy-map global_policy
 class tcp-traffic
  set connection advanced-options allow-probes
service-policy global_policy global

Unterstützung von m.a.x. it

Bei diesem Thema unterstützt Sie m.a.x. it mit Managed-Firewall- und Netzwerk-Services.


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=Riverbed_WAN-Optimierung_hinter_Cisco_ASA&oldid=2716“