PIX/ASA 7.x: Hinzufügen/Entfernen eines Netzwerks auf einem vorhandenen L2L-VPN-Tunnel - Konfigurationsbeispiel

Einführung

Dieses Dokument enthält eine Beispielkonfiguration zum Hinzufügen eines neuen Netzwerks zu einem vorhandenen VPN-Tunnel.

Voraussetzungen

Anforderungen

Stellen Sie sicher, dass Sie eine PIX/ASA Security Appliance haben, die 7.x-Code ausführt, bevor Sie diese Konfiguration versuchen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf zwei Cisco 5500 Security Appliance-Geräten.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Zugehörige Produkte

Diese Konfiguration kann auch mit der PIX 500 Security Appliance verwendet werden.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).

Hintergrundinformationen

Es gibt derzeit einen LAN-to-LAN (L2L)-VPN-Tunnel, der sich zwischen dem NY und dem TN-Büro befindet. Die NY-Niederlassung hat soeben ein neues Netzwerk für die CSI-Entwicklungsgruppe hinzugefügt. Diese Gruppe benötigt Zugriff auf Ressourcen, die sich im TN-Büro befinden. Es geht darum, das neue Netzwerk dem bereits bestehenden VPN-Tunnel hinzuzufügen.

Konfigurieren

In diesem Abschnitt erhalten Sie Informationen zum Konfigurieren der in diesem Dokument beschriebenen Funktionen.

Hinweis: Verwenden Sie das Command Lookup Tool (nur registrierte Kunden), um weitere Informationen zu den in diesem Abschnitt verwendeten Befehlen zu erhalten.

Netzwerkdiagramm

In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet:

Hinzufügen des Netzwerks zum IPSec-Tunnel

In diesem Dokument wird diese Konfiguration verwendet:

ASA-NY-HQ#show running-config 

: Saved
:
ASA Version 7.2(2) 
!
hostname ASA-NY-HQ
domain-name corp2.com
enable password WwXYvtKrnjXqGbu1 encrypted
names
!
interface Ethernet0/0
 nameif outside
 security-level 0
 ip address 192.168.11.2 255.255.255.0 
!
interface Ethernet0/1
 nameif inside
 security-level 100
 ip address 172.16.1.2 255.255.255.0 
!
interface Ethernet0/2
 nameif Cisco
 security-level 70
 ip address 172.16.40.2 255.255.255.0
!
interface Ethernet0/3
 shutdown
 no nameif
 no security-level
 no ip address
!
interface Management0/0
 shutdown
 no nameif
 no security-level
 no ip address 
!
passwd 2KFQnbNIdI.2KYOU encrypted
ftp mode passive
dns server-group DefaultDNS
 domain-name corp2.com
access-list inside_nat0_outbound extended permit ip 172.16.1.0 
 255.255.255.0 10.10.10.0 255.255.255.0 


!--- You must be sure that you configure the !--- opposite of these access control lists !--- on the other end of the VPN tunnel. 


access-list inside_nat0_outbound extended permit ip 172.16.40.0 
 255.255.255.0 10.10.10.0 255.255.255.0 

access-list outside_20_cryptomap extended permit ip 172.16.1.0 
 255.255.255.0 10.10.10.0 255.255.255.0 


!--- You must be sure that you configure the !--- opposite of these access control lists !--- on the other end of the VPN tunnel. 


access-list outside_20_cryptomap extended permit ip 172.16.40.0 
 255.255.255.0 10.10.10.0 255.255.255.0 


!--- Output is suppressed.


nat-control
global (outside) 1 interface
nat (inside) 0 access-list inside_nat0_outbound
nat (inside) 1 172.16.1.0 255.255.255.0


!--- The new network is also required to have access to the Internet. !--- So enter an entry into the NAT statement for this new network.


nat (inside) 1 172.16.40.0 255.255.255.0

route outside 0.0.0.0 0.0.0.0 192.168.11.100 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac 
crypto map outside_map 20 match address outside_20_cryptomap
crypto map outside_map 20 set peer 192.168.10.10 
crypto map outside_map 20 set transform-set ESP-3DES-SHA
crypto map outside_map interface outside
crypto isakmp enable outside
crypto isakmp policy 10
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 86400
crypto isakmp nat-traversal  20
tunnel-group 192.168.10.10 type ipsec-l2l
tunnel-group 192.168.10.10 ipsec-attributes
 pre-shared-key *

!--- Output is suppressed.

: end
ASA-NY-HQ#  

Entfernen des Netzwerks aus dem IPSec-Tunnel

Führen Sie diese Schritte aus, um das Netzwerk aus der IPSec-Tunnelkonfiguration zu entfernen.Beachten Sie hier, dass das Netzwerk 172.16.40.0/24 aus der Konfiguration der NY (HQ) Security Appliance entfernt wurde.

1. Bevor Sie das Netzwerk aus dem Tunnel entfernen, entfernen Sie die IPSec-Verbindung, die auch die Sicherheitszuordnungen für Phase 2 löscht.

   ASA-NY-HQ# clear crypto ipsec sa
   

   Löscht die Sicherheitszuordnungen für Phase 1 wie folgt

   ASA-NY-HQ# clear crypto isakmp sa
   

2. Entfernen Sie die interessante Datenverkehrs-ACL für den IPSec-Tunnel.

   ASA-NY-HQ(config)# no access-list outside_20_cryptomap extended permit ip 172.16.40.0 
    255.255.255.0 10.10.10.0 255.255.255.0 

3. Entfernen Sie die ACL (inside_nat0_outbound), da der Datenverkehr vom NAT ausgeschlossen wird.

   ASA-NY-HQ(config)# no access-list inside_nat0_outbound extended permit ip 172.16.40.0 
    255.255.255.0 10.10.10.0 255.255.255.0
   

4. Löschen Sie die NAT-Übersetzung wie gezeigt.

   ASA-NY-HQ# clear xlate
   

5. Wenn Sie die Tunnelkonfiguration ändern, entfernen Sie diese Krypto-Befehle, und wenden Sie sie erneut an, um die neueste Konfiguration in der externen Schnittstelle durchzuführen.

   ASA-NY-HQ(config)# crypto map outside_map interface outside
   ASA-NY-HQ(config)# crypto isakmp enable outside
   

6. Speichern Sie die aktive Konfiguration im Flash-"Schreibspeicher".

7. Befolgen Sie zum Entfernen der Konfigurationen das gleiche Verfahren für die TN Security Appliance.

8. Initiieren Sie den IPSec-Tunnel, und überprüfen Sie die Verbindung.

Überprüfen

In diesem Abschnitt überprüfen Sie, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Das Output Interpreter Tool (nur registrierte Kunden) (OIT) unterstützt bestimmte show-Befehle. Verwenden Sie das OIT, um eine Analyse der Ausgabe des Befehls show anzuzeigen.

• Ping innerhalb von 172.16.40.20

  

• show crypto isakmp sa

  

• show crypto ipsec sa

  

Fehlerbehebung

Weitere Informationen zur Fehlerbehebung finden Sie in diesen Dokumenten:

• IPsec VPN-Fehlerbehebungslösungen

• Verwenden von Debugbefehlen

• Fehlerbehebung bei Verbindungen über PIX und ASA

Zugehörige Informationen

• Einführung in die IP-Sicherheit (IPsec)-Verschlüsselung
• Support-Seite für IPsec-Aushandlung/IKE-Protokoll
• Befehlsreferenz zur Security Appliance
• Konfigurieren von IP-Zugriffslisten
• Technischer Support und Dokumentation - Cisco Systems