如何按不同访问需求划分网络安全域，含VPN、DMZ及HQ与Branch组网咨询

问题1：将路由器替换为防火墙是否不妥？如果不妥的话，如何简便地配置Branch和HQ之间的VPN隧道？ #

如果所选Cisco ASA的转发性能能满足出口带宽需求，且你方网络不需要运行BGP、复杂动态路由协议等纯路由器更适配的功能，直接替换出口路由器为ASA完全合理。
ASA本身原生支持站点间IPsec VPN，同时可承担边界防护、NAT、多安全域隔离能力，相比「路由器+独立防火墙」的架构更简洁，运维成本更低。
如果确实不想替换现有路由器，也可以直接在两边现有路由器上配置站点到站点IPsec VPN，保留原有防火墙做边界安全防护即可，只是这种方案需要额外对齐路由器路由规则和防火墙安全策略，运维复杂度比直接用ASA做出口更高。

问题2：是否需要额外部署防火墙，例如在内部网络和外部防火墙之间添加？ #

你当前的场景不需要额外部署防火墙。
Cisco ASA支持多安全域划分，你可以直接在出口ASA上划分4个安全域并配置对应安全级别：公网出口（Outside，安全级别0）、公网静态站DMZ（安全级别50）、VPN专属DMZ（安全级别70）、内部局域网（Inside，安全级别100），即可实现不同区域的默认隔离和访问控制，完全满足你的需求。
只有当你方有等保三级及以上的合规要求必须部署双层异构防火墙，或是内部存在极高安全等级的核心资产需要单独一层防护时，才需要额外加设防火墙，否则只会无端增加成本和运维复杂度。

问题3：如何配置网络才能实现其中一个DMZ仅允许外部网络中持有VPN权限的用户访问？ #

按以下步骤配置即可：

• 首先给VPN专属DMZ配置高于公网DMZ的安全级别，默认拒绝所有公网（Outside域）的入站访问请求
• 提前规划好远程接入VPN的地址池，同时将Branch内网段、VPN地址池统一加入地址组
• 配置ACL规则，仅允许源地址属于上述地址组的流量访问该DMZ内web服务器的对应服务端口，其余所有来源的访问请求全部拒绝
• 如果使用Cisco ASA设备，可以直接调用vpn-filter功能给VPN用户组绑定专属访问控制策略，能更精准地管控VPN用户的可访问范围，避免全局ACL规则混乱

内容的提问来源于stack exchange，提问作者UnwantedStudent