在ASA上配置使用DNS輪詢的VPN客戶端負載均衡

下載選項

  • PDF     (963.4 KB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (727.0 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (699.6 KB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2024 年 2 月 15 日
文件 ID:221691

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

    簡介

    本文檔介紹如何使用ASA上的DNS輪詢來配置anyconnect vpn客戶端負載均衡。 

    必要條件

    需求

    嘗試此組態之前，請確保符合以下要求：

    • 您已在ASA上分配了IP地址並配置了預設網關。
    • ASA上配置了Anyconnect VPN。
    • VPN使用者可以使用其單獨分配的IP地址連線到所有ASA。
    • VPN使用者的DNS伺服器支援輪詢功能。

    採用元件

    本文中的資訊係根據以下軟體和硬體版本：

    • Anyconnect VPN客戶端軟體版本4.10.08025
    • 思科ASA軟體版本9.18.2
    • Window伺服器2019

    本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

    設定

    網路圖表

    網路圖表網路圖表

    組態

    步驟 1.在ASA上配置Anyconnect VPN

    有關如何在ASA上配置anyconnect VPN，請參閱以下文檔：

    以下是此示例中兩個ASA的配置：

    ASA1：

    ip local pool anyconnect 10.4.0.100-10.4.0.200 mask 255.255.255.0

    interface GigabitEthernet0/0
     nameif outside
     security-level 0
     ip address 10.1.1.1 255.255.255.0 

    interface GigabitEthernet0/1
     nameif inside
     security-level 100
     ip address 192.168.1.1 255.255.255.0 

    route outside 0.0.0.0 0.0.0.0 10.1.1.2 1

    webvpn
     enable outside
     anyconnect enable
     tunnel-group-list enable

    group-policy anyconnect internal
    group-policy anyconnect attributes
     dns-server value 192.168.1.99
     vpn-tunnel-protocol ssl-client 
     default-domain value example.com

    username example1 password ***** 
    username example1 attributes
     vpn-group-policy anyconnect
     service-type remote-access

    tunnel-group anyconnect-tunnel-group type remote-access
    tunnel-group anyconnect-tunnel-group general-attributes
     address-pool anyconnect
     default-group-policy anyconnect
    tunnel-group anyconnect-tunnel-group webvpn-attributes
     group-alias example enable

    ASA2：

    ip local pool anyconnect 10.4.0.100-10.4.0.200 mask 255.255.255.0

    interface GigabitEthernet0/0
     nameif outside
     security-level 0
     ip address 10.2.1.1 255.255.255.0 

    interface GigabitEthernet0/1
     nameif inside
     security-level 100
     ip address 192.168.1.1 255.255.255.0 

    route outside 0.0.0.0 0.0.0.0 10.2.1.2 1

    webvpn
     enable outside
     anyconnect enable
     tunnel-group-list enable

    group-policy anyconnect internal
    group-policy anyconnect attributes
     dns-server value 192.168.1.99
     vpn-tunnel-protocol ssl-client 
     default-domain value example.com

    username example1 password ***** 
    username example1 attributes
     vpn-group-policy anyconnect
     service-type remote-access

    tunnel-group anyconnect-tunnel-group type remote-access
    tunnel-group anyconnect-tunnel-group general-attributes
     address-pool anyconnect
     default-group-policy anyconnect
    tunnel-group anyconnect-tunnel-group webvpn-attributes
     group-alias example enable

    在進入第2步之前，您必須能夠使用單獨分配的IP地址連線到兩個ASA。

    步驟 2.在DNS伺服器上配置輪詢DNS

    您可以使用任何輪詢功能DNS伺服器，在本例中，使用Windows Server 2019上的DNS伺服器。有關如何在Windows伺服器上安裝和配置DNS伺服器，請參閱以下文檔：

    在本示例中，10.3.1.4是啟用了DNS伺服器供域example.com使用的windows伺服器。

    DNS伺服器DNS伺服器

    確保您的DNS伺服器已啟用輪詢：

    1. 從Windows案頭打開開始選單，選擇管理工具 > DNS。
    2. 在控制檯樹中，選擇要管理的DNS伺服器，按一下右鍵，然後選擇屬性。
    3. 在Advanced 頁籤下，確保選中了Enable round robin。

    循環配置資源1循環配置資源1循環配置資源2循環配置資源2

    為ASA VPN伺服器建立兩個主機記錄：

    1. 從Windows案頭打開開始選單，選擇管理工具 > DNS。
    2. 在控制檯樹中，連線到要管理的DNS伺服器，展開DNS伺服器，展開正向查詢區域，按一下右鍵，然後選擇新建主機（A或AAAA）。
    3. 在New Host螢幕上，指定主機記錄的Name和IP address。在本示例中，為vpn和10.1.1.1。
    4. 選擇Add Host建立記錄。

    建立新主機建立新主機

    主機記錄1主機記錄1

    重複類似步驟建立另一主機記錄，並確保Name相同，在本示例中，Name為vpn，IP address為10.2.1.1。

    主機記錄2主機記錄2

    您可以發現，有兩個主機10.1.1.1和10.2.1.1與同一記錄vpn.example.com關聯。

    兩個主機記錄兩個主機記錄

    驗證

    導航到安裝了Cisco AnyConnect安全移動客戶端的客戶端電腦，在本示例中為Test-PC-1，驗證您的DNS伺服器是否為10.3.1.4。

    PC1的IP地址PC1的IP地址

    附註圖示

    注意：由於網關使用自簽名證書來標識自己，因此連線嘗試期間可能會出現多個證書警告。這些是預期的，必須接受，連線才能繼續。為了避免這些證書警告，顯示的自簽名證書必須安裝在客戶端電腦的受信任證書儲存中，或者如果使用第三方證書，則證書頒發機構證書必須位於受信任的證書儲存中。

    連線到您的VPN頭端vpn.example.com並輸入使用者名稱和憑證。

    PC1 Anyconnect VPNPC1 Anyconnect VPN

    按一下齒輪圖示（左下角），然後導覽至「統計」標籤。 檢視Server Address部分，在本示例中，此客戶端連線到ASA1 (10.1.1.1)。

    PC1已連線PC1 PC1統計ConnectedPC1統計

    對Test-PC-2重複類似步驟。您可以看到客戶端連線到ASA2 (10.2.1.1)，兩個客戶端在兩個VPN頭端之間實現負載均衡。

    PC2的IP地址PC2 IP地PC2 VPN址PC2 PC2統計資訊VPNPC2統計資訊

    疑難排解

    本節提供的資訊可用於對組態進行疑難排解。

    警告圖示

    警告：在ASA上，您可以設定各種調試級別；預設情況下，使用級別1。如果更改調試級別，調試的冗長會增加。請謹慎執行此操作，尤其是在生產環境中。

    您可以啟用debug以診斷ASA上的VPN連線。

    • debug webvpn anyconnect  - 顯示關於與Anyconnect VPN客戶端連線的調試消息。

    要對客戶端上的常見問題進行故障排除，請參閱此文檔。

    修訂記錄

    修訂 發佈日期 意見
    1.0
    15-Feb-2024
    初始版本
    TAC Authored

    由思科工程師貢獻

    • Chao Feng

    這份文件是否有所幫助？

    Feedback意見

    讓思科協助您

    本文件適用於這些產品