Ejemplo de Configuración de Cisco Router como Servidor VPN Remoto Usando SDM

Introducción

Este documento describe cómo utilizar Cisco Security Device Manager (SDM) para configurar el router Cisco de modo que actúe como Easy VPN Server. Cisco SDM le permite configurar su router como un servidor VPN para que Cisco VPN Client use una interfaz de administración basada en la Web fácil de usar. Una vez completada la configuración del router Cisco, se puede verificar mediante Cisco VPN Client.

prerrequisitos

Requisitos

Este documento asume que el router Cisco es completamente operativo y configurado para permitir que el SDM de Cisco realice los cambios de configuraciones.

Nota: Consulte Permitir Acceso HTTPS para el SDM para permitir que el router sea configurado por el SDM.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco 3640 Router con el Software Release 12.3(14T) de Cisco IOS®

• Versión 2.31 del Administrador de dispositivos de seguridad

• Cliente VPN de Cisco versión 4.8

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.

Convenciones

Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.

Configurar

En esta sección, le presentan con la información para configurar la característica fácil del servidor VPN que permite que un usuario final remoto comunique usando IPsec con cualquier gateway de VPN de Cisco IOS®.

Nota: Utilice la herramienta de búsqueda de comandos (clientes registrados solamente) para obtener más información sobre los comandos usados en esta sección.

Diagrama de la red

En este documento, se utiliza esta configuración de red:

Procedimiento de configuración

Complete estos pasos para configurar al router de Cisco como servidor VPN remoto que usa SDM.

1. Selecto configure > VPN > servidor VPN fácil de la ventana casera y haga clic al Asisitente fácil del servidor VPN del lanzamiento.

   

2. El AAA se debe activar en el router antes de que la configuración de servidor VPN fácil comience. Haga clic sí para continuar con la configuración.

   El “AAA se ha activado con éxito en las presentaciones del mensaje del router” en la ventana. Haga clic la AUTORIZACIÓN para comenzar la configuración de servidor VPN fácil.

   

3. Haga clic al lado del comienzo al Asisitente fácil del servidor VPN.

   

4. Seleccione el interfaz en el cual las conexiones cliente terminan y el tipo de la autenticación.

   

5. El tecleo al lado de configura las directivas del Internet Key Exchange (IKE) y utiliza el botón Add para crear la nueva directiva.

   Las configuraciones a ambos lados del túnel deben coincidir de manera exacta. Sin embargo, el Cisco VPN Client selecciona automáticamente la configuración adecuada para sí mismo. Por lo tanto, no hay configuración IKE necesaria en PC del cliente.

   

6. El tecleo al lado de elige el valor por defecto transforma el conjunto o agrega el nuevo transforma el conjunto para especificar el algoritmo del cifrado y de la autenticación. En este caso, se utiliza el valor por defecto transforma el conjunto.

   

7. El tecleo al lado de crea una nueva lista de métodos de la red de la autorización del Authentication, Authorization, and Accounting (AAA) para las operaciones de búsqueda de la directiva del grupo o elegir una lista de métodos de la red existente usada para la autorización del grupo.

   

8. Configure la autenticación de usuario en el servidor VPN fácil.

   Usted puede salvar los detalles de la autenticación de usuario en un servidor externo tal como un servidor de RADIUS o una base de datos local o en ambos. Una lista de métodos de la autenticación de inicio de sesión AAA se utiliza para decidir a la orden en la cual los detalles de la autenticación de usuario deben ser buscados.

   

9. Esta ventana permite que usted agregue, que corrija, que reproduzca, o que suprima las directivas del grupo de usuarios en la base de datos local.

   

10. Ingrese un nombre para el Nombre de Grupo de Túnel. Suministre la clave previamente compartida usada para la información de autenticación.

    Cree un nuevo pool o seleccione un pool existente usado para afectar un aparato los IP Addresses a los clientes VPN.

    

11. Esta ventana muestra un resumen de las acciones que ha realizado. Haga clic en Finalizar si está satisfecho con la configuración.

    

12. El SDM envía la configuración al router para poner al día la configuración corriente. AUTORIZACIÓN del tecleo a completar.

    

13. Después de la realización, usted puede corregir y modificar los cambios en la configuración, si es necesario.

    

    Configuración del router (servidor VPN)

    Building configuration... Current configuration : 3336 bytes ! version 12.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname Router ! boot-start-marker boot-end-marker ! enable password cisco ! aaa new-model ! !--- In order to set AAA authentication at login, use the aaa authentication login !--- command in global configuration mode . aaa authentication login default local !--- Here, list name "sdm_vpn_xauth_ml_1" is specified for !--- the authentication of the clients. aaa authentication login sdm_vpn_xauth_ml_1 local aaa authorization exec default local aaa authorization network sdm_vpn_group_ml_1 local ! aaa session-id common ! resource policy ! ! ! ip cef ! ! ! ! !--- The RSA certificate generates after the !--- ip http secure-server command is enabled. crypto pki trustpoint TP-self-signed-392370502 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-392370502 revocation-check none rsakeypair TP-self-signed-392370502 ! ! crypto pki certificate chain TP-self-signed-392370502 certificate self-signed 01 3082023C 308201A5 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 30312E30 2C060355 04031325 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 33393233 37303530 32301E17 0D303530 39323130 30323135 375A170D 32303031 30313030 30303030 5A303031 2E302C06 03550403 1325494F 532D5365 6C662D53 69676E65 642D4365 72746966 69636174 652D3339 32333730 35303230 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100 ED61BD43 0AD90559 2C7D7DB1 BB3147AA 784F3B46 9E63E63C 5CD61976 6BC46596 DB1AEB44 46644B18 8A890604 489B0447 B4B5C702 98272464 FFFD5511 A4BA79EC 239BCEA2 823F94EE 438B2E0A 5D90E9ED 8158BC8D 04F67C21 AEE1DB6F 046A0EF3 4C8798BE 0A171421 3FD5A690 7C735751 E7C58AA3 FB4CCE4F 5930212D 90EB4A33 02030100 01A36630 64300F06 03551D13 0101FF04 05300301 01FF3011 0603551D 11040A30 08820652 6F757465 72301F06 03551D23 04183016 8014B278 183F02DF 5000A124 124FEF08 8B704656 15CD301D 0603551D 0E041604 14B27818 3F02DF50 00A12412 4FEF088B 70465615 CD300D06 092A8648 86F70D01 01040500 03818100 C12AB266 0E85DAF6 264AC86F 27761351 E31DF628 BE7792B2 991725ED AAB3BABE B1F1C6CA 7E5C0D19 B9793439 E5AECC78 C5ECBE56 871EB4D3 39B60AD1 AB0B97FE 515B4CC6 81BEE802 DC02BD1B A0D10EE9 0FD79D72 B44C0143 6E39C06B D9178590 57D02A8F 750DA100 ABEEB1F1 B02A8B1F B746942B 892D1514 B2CC9D58 A28F08E2 quit ! ! ! ! ! ! ! ! ! ! !--- Creates a user account with all privileges. username sdmsdm privilege 15 password 0 sdmsdm ! ! !--- Creates an isakmp policy 1 with parameters like !--- 3des encryption, pre-share key authentication, and DH group 2. crypto isakmp policy 1 encr 3des authentication pre-share group 2 crypto isakmp client configuration group vpn !--- Defines the pre-shared key as sdmsdm. key sdmsdm pool SDM_POOL_1 netmask 255.255.255.0 ! !--- Defines transform set parameters. crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac ! crypto dynamic-map SDM_DYNMAP_1 1 set transform-set ESP-3DES-SHA reverse-route ! !--- Specifies the crypto map parameters. crypto map SDM_CMAP_1 client authentication list sdm_vpn_xauth_ml_1 crypto map SDM_CMAP_1 isakmp authorization list sdm_vpn_group_ml_1 crypto map SDM_CMAP_1 client configuration address respond crypto map SDM_CMAP_1 65535 ipsec-isakmp dynamic SDM_DYNMAP_1 ! ! ! ! interface Ethernet0/0 no ip address shutdown half-duplex ! interface FastEthernet1/0 ip address 10.77.241.157 255.255.255.192 duplex auto speed auto ! interface Serial2/0 ip address 10.1.1.1 255.255.255.0 no fair-queue !--- Applies the crypto map SDM_CMAP1 to the interface. crypto map SDM_CMAP_1 ! interface Serial2/1 no ip address shutdown ! interface Serial2/2 no ip address shutdown ! interface Serial2/3 no ip address shutdown !--- Creates a local pool named SDM_POOL_1 for issuing IP !--- addresses to clients. ip local pool SDM_POOL_1 192.168.2.1 192.168.2.5 !--- Commands for enabling http and https required to launch SDM. ip http server ip http secure-server ! ! ! ! ! control-plane ! ! ! ! ! ! ! ! ! ! line con 0 line aux 0 line vty 0 4 password cisco ! ! end

Verificación

Intente conectar con Cisco al router que usa al Cliente Cisco VPN para verificar que configuran al router de Cisco con éxito.

1. Seleccione Connection Entries > New.

   

2. Complete la información de su nueva conexión.

   El campo del host debe contener la dirección IP o el hostname de la punto final del túnel del servidor VPN fácil (router de Cisco). La información de autenticación del grupo debe corresponder a eso usado en la salvaguardia del tecleo del paso 9. cuando le acaban.

   

3. Seleccione la conexión creada recientemente y el tecleo conecta.

   

4. Ingrese un nombre de usuario y contraseña para el Autenticación ampliada (Xauth). Esta información es determinada por los parámetros del Xauth en el paso 7.

   

5. Una vez que la conexión está establecida satisfactoriamente seleccione Estadísticas del menú Estado para verificar los detalles del túnel.

   Esta ventana muestra el tráfico y la información crypto:

   

   Esta ventana muestra la información del Túnel dividido si está configurado:

   

6. Seleccione el registro > las configuraciones de registro para activar los niveles del registro en el Cliente Cisco VPN.

   

7. Seleccione el registro > el registro Windows para ver las entradas de registro en el Cliente Cisco VPN.

   

Información Relacionada

• Descargando y instalando Router de Cisco y Administrador de dispositivo de seguridad
• Página de soporte del Cliente Cisco VPN
• Negociación IPSec/Protocolos IKE
• Soporte Técnico y Documentación - Cisco Systems