下午好，

未来的网络将是 MPLS，我正在考虑对其进行新的设计。我们将拥有带有 ASA 的集线器路由器，并在不需要 IPsec 的情况下连接辐条（至少目前如此）。ASA 根本不会做任何 NAT，所有这些都将由每个接口上的 ACL 控制，NAT 将在 HUB 上完成，PAT 用于 LAN，静态用于 DMZ 中的服务器。

因此，路由器上面向公众的接口位于 VRF OUTSIDE 中。然后它们之间的隧道也在 VRF OUTSIDE 中。在集线器上，VRF OUTSIDE 指向 ASA。ASA 使用外向内 ACL 进行检查。然后它再次将流量指向集线器，但集线器面向 int 的 ASA 位于 VRF INSIDE 中。然后，该 VRF 具有指向 ISP 路由器的默认路由 + 应用所需的任何 NAT。

我对么？