Astaro behind fully managed MPLS VPN?

i would suggest to leave the astaro as the default gateway an set the static routes on astaro to your cisco routers. ospf would be another option for routing. transparent mode is another option, it depends on what you like more...

T1---CISCO---ASTARO---LAN

with this setup you can use all features of astaro.

The IPSec Site-to-Site VPN in the Astaro is every bit as robust as those in the Cisco devices, so I'm curious.  What's the justification for buying the Cisco routers?

Thanks - Bob

And MPLS is actually LESS secure than an encrypted VPN.

Barry

Thank you for all the replies. Bob / Barry - I agree than mpls is less secure than the IPSec that I've been using with Astaro. I would love to keep the Astaro boxes doing all their work as is. We have a new version of a software package that requires more bandwidth and performance of a VPN. To make a long story short, having the vendor manage the VPN using their cisco routers let's them make good on their latency guarantees, apparently. MPLS is not new to me, but actually going through it first hand, and being in the trenches, is - I hope I am describing things clearly to everyone. We did not purchase the cisco routers - they are coming as part of the mpls upgrade package from the vendor. Can/should I have them turn off all the features of the cisco, and just have it pass traffic to the Astaro to handle? If I must keep the cisco's managing the VPN, is it best to just have Astaro run a static route to the cisco, turn off the IPSec VPN, and keep all other settings the same? 

I just want to keep all my Astaro's!

It should be fine to let the Ciscos do the routing, and have Astaro use a static route to the Cisco.

You can still do IPSec on Astaro if you want, if the performance is acceptable.

Where is the Internet connection?

Barry

Each site is going to be able to use the T1 they receive as an Internet connection. I'm going to research static routes, and play with them in this configuration. I appreciate everyone's input.

If you tell Astaro the Cisco is the gateway, then it'll create the static routes for you.

I assume the Cisco or ISP will handle the rest of the routing, between internet and MPLS.

Barry

Barry,

Thank you for the help - it almost sounds too easy then. If I tell Astaro that the cisco is the gateway, it sounds like all other setting will remain the same. I can give Astaro a public IP, keep NAT, proxies and packet filters the same, but turn off the IPSec VPN. Since we don't have a domain controller, or internal DNS servers, will the cisco's know to forward requests to other internal IP addresses across the VPN?

I would assume so. You may need to stop doing NAT and/or Masquerading though.

Barry

If you can give the Astaro a public IP, then the Cisco may not be creating a VPN.  If that were the case, then you would need to change the way everyone accesses your various locations.  I'm guessing that you can't put a public IP on the Astaro, and that you'll need to make sure the Ciscos aren't doing NAT or Masquerading.

Please report on your experience here.  I'm developing an opportunity where I want to replace dedicated T1s with Astaro VPNs and DSL or cable modems at the branches.  The server location will be upgraded to a 5MB digital line and an ASG that can handle the VPN and other traffic.  I thought that would increase the throughput for everyone and save money, but it sounds like you're going in the opposite direction hoping to get to the same place.

Cheers - Bob