Chemin de navigation

Périphériques > Site à site. Cliquez ensuite sur + VPN de site à site ou modifiez une topologie VPN répertoriée. Cliquez sur l'onglet Point terminal.

Champs

Périphérique

Choisissez un nœud de point terminal pour votre déploiement :

• Un périphérique défense contre les menaces géré par ce centre de gestion

• Un conteneur défense contre les menaces à haute disponibilité géré par ce centre de gestion

• Un périphérique extranet, tout périphérique (Cisco ou tiers) non géré par ce centre de gestion.

Nom de l’appareil

Pour les périphériques extranet uniquement, attribuez un nom à ce périphérique. Nous vous recommandons de le nommer de manière à ce qu’il puisse être identifié comme périphérique non géré.

Interface

Si vous avez choisi un périphérique géré comme point terminal, choisissez une interface sur ce périphérique géré.

Pour les déploiements « point à point », vous pouvez également configurer un point terminal avec une interface dynamique. Un point terminal doté d’une interface dynamique ne peut être jumelé qu’avec un périphérique extranet et ne peut pas être jumelé avec un point terminal, qui a un périphérique géré.

Vous pouvez configurer les interfaces de périphériques dans Devices > Device Management > Add/Edit device > Interfaces (Périphériques > Gestion des périphériques > Ajouter/Modifier un périphérique > interfaces).

Adresse IP

• Si vous choisissez un périphérique extranet, un périphérique non géré par centre de gestion, spécifiez une adresse IP pour le point terminal.

  Pour un périphérique extranet, sélectionnez Statique et spécifiez une adresse IP, ou sélectionnez Dynamique pour autoriser les périphériques extranet dynamiques.

• Si vous avez choisi un périphérique géré comme point terminal, choisissez une adresse IPv4 unique ou plusieurs adresses IPv6 dans la liste déroulante. Ces adresses IP sont déjà affectées à cette interface sur le périphérique géré.

• Tous les points terminaux d’une topologie doivent avoir le même schéma d’adressage IP. Les tunnels IPv4 peuvent acheminer le trafic IPv6 et inversement. Les réseaux protégés définissent le schéma d’adressage utilisé par le trafic en tunnel.

• Si le périphérique géré est un conteneur à haute disponibilité, choisissez dans une liste d’interfaces.

Cette adresse IP est privée

Cochez la case si le point terminal se trouve derrière un pare-feu avec traduction d’adresses réseau (NAT).

Remarque

Utilisez cette option uniquement lorsque l’homologue est géré par le même centre de gestion et n’utilisez pas cette option si l’homologue est un périphérique extranet.

Adresse IP publique

Si vous avez coché la case Cette adresse IP est privée, spécifiez une adresse IP publique pour le pare-feu. Si le point terminal est un répondeur, spécifiez cette valeur.

Type de connexion

Précisez la négociation autorisée comme étant bidirectionnelle, avec réponse seulement ou avec origine seulement. Les combinaisons prises en charge pour le type de connexion sont les suivantes :

Tableau 1. Associations de types de connexion prises en charge

Nœud distant	Nœud central
Origine seulement	Avec réponse seulement
Bidirectionnel	Avec réponse seulement
Bidirectionnel	Bidirectionnel

Carte de certificat

Choisissez un objet de correspondance de certificat préconfiguré ou cliquez sur Ajouter () pour ajouter un objet de correspondance de certificat. La carte de certificats définit les informations nécessaires dans le certificat client reçu pour être valide pour la connectivité VPN. Consultez Objets carte de certificat pour en savoir plus.

Réseaux protégés

Mise en garde

Topologie en étoile : pour éviter une perte de trafic pour une carte de chiffrement dynamique, veillez à ne pas sélectionner le réseau protégé Tout pour les deux points terminaux. Si le réseau protégé est configuré comme tout, sur les deux terminaux, la liste de contrôle d’accès de chiffrement qui fonctionne sur le tunnel n’est pas générée.

Définit les réseaux protégés par ce point terminal VPN. Sélectionnez les réseaux dans la liste des sous-réseaux et des adresses IP qui définissent les réseaux protégés par ce point terminal. Cliquez sur Ajouter () pour effectuer une sélection parmi les objets réseau disponibles ou ajouter de nouveaux objets réseau. Consultez Création d'objets réseau. Les listes de contrôle d’accès sont générées à partir des choix effectués ici.

• Sous-réseau/adresse IP (réseau) : les points terminaux VPN ne peuvent pas avoir la même adresse IP et les réseaux protégés dans une paire de points terminaux VPN ne peuvent pas se chevaucher. Si les réseaux protégés d’un terminal contiennent des entrées IPv4 ou IPv6, le réseau protégé de l’autre terminal doit avoir au moins une entrée du même type (IPv4 ou IPv6). Si ce n’est pas le cas, l’adresse IP de l’autre point terminal doit être du même type et ne pas se chevaucher avec les entrées du réseau protégé. (Utilisez les blocs d’adresses CIDR /32 pour IPv4 et les blocs d’adresses CIDR /128 pour IPv6.) Si ces deux vérifications échouent, la paire de points terminaux n’est pas valide.

  Remarque

  Par défaut, l’injection de route inverse est activée dans Cisco Secure Firewall Management Center. Le sous-réseau/l'adresse IP (réseau) demeure la sélection par défaut. Lorsque vous avez sélectionné Réseaux protégés comme Tout et observé l’abandon du trafic de routage par défaut, désactivez l’injection de routage inverse. Choisissez VPN > Site à site > Modifier un VPN > IPsec > Activer l’injection de route inverse. Déployez les modifications de configuration pour supprimer la route inverse définie (injection de route inverse) de la configuration de la carte de chiffrement et supprimez la route inverse annoncée par le VPN qui entraîne l’abandon du trafic du tunnel inverse.

• Liste d’accès (étendue) : une liste d’accès étendue permet de contrôler le type de trafic qui sera accepté par ce point terminal, comme le trafic GRE ou OSPF. Le trafic peut être limité par l’adresse ou le port. Cliquez sur Ajouter () pour ajouter des objets de liste de contrôle d’accès.

  Remarque

  La liste de contrôle d’accès est prise en charge uniquement dans la topologie point à point.

Paramètres avancés

Enable Dynamic Reverse Route Injection : L’injection de routage inverse (RRI) permet d’insérer automatiquement des routes dans le processus de routage pour les réseaux et les hôtes protégés par un point de terminaison de tunnel distant. Les routes RRI dynamiques sont créées uniquement lors de l’établissement réussi d’associations de sécurité IPsec (SA).

Remarque

La RRI dynamique est prise en charge uniquement sur IKEv2, et non prise en charge sur IKEv1 ou IKEv1 + IKEv2. L’adresse RRI dynamique n’est pas prise en charge sur l’homologue d’origine uniquement, la topologie à maillage complet et l’homologue extranet. Dans le mode point à point, un RRI dynamique peut être activé pour un seul homologue. Dans le réseau en étoile, le RRI dynamique ne peut être activé que pour un des points terminaux. RRI dynamique ne peut pas être combiné avec une carte de chiffrement dynamique.

Send Local Identity to Peers (envoyer l’identité locale aux homologues) : sélectionnez cette option pour envoyer des informations d’identité locale au périphérique homologue. Sélectionnez l’une des configurations d’identité locale suivantes dans la liste et configurez l’identité locale :

• IP address : utilisez l’adresse IP de l’interface pour l’identité.

• Auto : utilisez l’adresse IP pour la clé pré-partagée et le DN du certificat pour les connexions basées sur des certificats.

• Email ID (ID de courriel) : précisez l'ID de courriel à utiliser pour l'identité. L’identifiant de courriel peut comporter jusqu’à 127 caractères.

• Hostname (nom d'hôte) : utilisez le nom d'hôte complet.

• Key ID (ID de clé) : spécifiez l'ID de clé à utiliser pour l'identité. L’ID de clé doit comporter moins de 65 caractères.

L’identité locale est utilisée pour configurer une identité unique par tunnel IKEv2, au lieu d’une identité globale pour tous les tunnels. L’identité unique permet à défense contre les menaces d’avoir plusieurs tunnels IPsec derrière une NAT pour se connecter à Cisco Umbrella Secure Internet Gateway (SIG).

Pour en savoir plus sur la configuration d’un ID de tunnel unique sur Umbrella, consultez le Guide de l’utilisateur de Cisco Umbrella SIG.

VPN Filter (filtre VPN) : sélectionnez une liste d’accès étendue dans la liste ou cliquez sur Add (ajouter) pour créer un nouvel objet de liste d’accès étendue afin de filtrer le trafic VPN de site à site.

Le filtre VPN offre plus de sécurité et filtre les données VPN de site à site à l’aide d’une liste d’accès étendue. L’objet de liste d’accès étendue sélectionné pour le filtre VPN vous permet de filtrer le trafic pré chiffré avant d’entrer dans le tunnel VPN et le trafic déchiffré qui sort du tunnel VPN. L’option sysopt permit-vpn, lorsqu’elle est activée, contourne les règles de politique de contrôle d’accès pour le trafic provenant du tunnel VPN. Lorsque l’option sysopt permit-vpn est activée, le filtre VPN aide à identifier et à filtrer le trafic VPN de site à site.

Remarque

Le filtre VPN est pris en charge uniquement dans les topologies point à point et en étoile. Elle n’est pas prise en charge sur la topologie maillée.

Pour la topologie en étoile, vous pouvez choisir de remplacer le filtre VPN du concentrateur sur les points terminaux en étoile au cas où un filtre VPN différent devrait être activé sur un tunnel spécifique.

Sélectionnez l’option Remplacer le filtre VPN sur le concentrateur pour remplacer le filtre VPN du concentrateur sur les satellites. Sélectionnez l’objet de liste d’accès étendu Remote VPN Filter (Filtre VPN à distance) ou créez une liste d’accès à remplacer.

Remarque

Pour un périphérique extranet en étoile, seule la fonction Remplacer le filtre VPN du concentrateur est disponible.

Pour plus d’informations sur sysopt permit-VPN, consultez Options avancées de tunnel de VPN de site à site Défense contre les menaces.

Pour les versions d’IKE que vous avez choisies pour cette topologie, spécifiez les paramètres IKEv1/IKEv2.

Remarque

Les paramètres de cette boîte de dialogue s’appliquent à la topologie entière, à tous les tunnels et à tous les périphériques gérés.

Chemin de navigation

Périphériques > Site à site. Cliquez ensuite sur + VPN de site à site ou modifiez une topologie VPN répertoriée. Cliquez sur l'onglet IKE.

Champs

Politique

Choisissez les objets de politique IKEv1 ou IKEv2 requis dans la liste prédéfinie ou créez de nouveaux objets à utiliser. Vous pouvez choisir plusieurs politiques IKEv1 et IKEv2. IKEv1 et IKEv2 prennent en charge un maximum de 20 politiques IKE, chacune avec un ensemble de valeurs différent. Attribuez une priorité unique à chaque politique que vous créez. Plus le numéro de priorité est faible, plus la priorité est élevée.

Pour de plus amples renseignements, consultez Politiques IKE Défense contre les menaces.

Type d’authentification

Le VPN de site à site prend en charge deux méthodes d’authentification, par clé prépartagée et par certificat. Pour obtenir une explication des deux méthodes, consultez Choix de la méthode d’authentification à utiliser.

Remarque

Dans une topologie VPN qui prend en charge IKEv1, la méthode d’authentification spécifiée dans l’objet de politique IKEv1 choisi devient la valeur par défaut dans le paramètre de type d’authentification IKEv1. Ces valeurs doivent correspondre, sinon, votre configuration produira une erreur.

• Clé automatique prépartagée : Le centre de gestion définit automatiquement la clé pré-partagée pour ce VPN. Spécifiez la Longueur de clé pré-partagée, le nombre de caractères de la clé, 1 à 27.

  Le caractère « » (guillemets doubles) n’est pas pris en charge dans les clés prépartagées. Si vous avez utilisé « » dans une clé prépartagée, assurez-vous de modifier le caractère après la mise à niveau vers Cisco Secure Firewall Threat Defense 6.30 ou une version ultérieure.

• Clé manuelle pré-partagée : attribuez manuellement la clé pré-partagée pour ce VPN. Spécifiez la clé, puis saisissez-la à nouveau pour Confirmer la clé.

  Lorsque vous choisissez cette option pour IKEv2, la case à cocher Enforce hex-based pre-shared key only (Appliquer uniquement les clés pré-partagées basées sur des caractères hexadécimaux) s’affiche, cochez si vous le souhaitez. Si cette option est appliquée, vous devez saisir une valeur hexadécimale valide pour la clé, un nombre pair de 2 à 256 caractères, en utilisant les chiffres de 0 à 9 ou AF.

• Certificat : lorsque vous utilisez des certificats comme méthode d’authentification pour les connexions VPN, les homologues obtiennent des certificats numériques d’un serveur d’autorité de certification de votre infrastructure PKI et les échangent pour s’authentifier mutuellement.

  Dans le champ Certificate (certificat), sélectionnez un objet d’inscription de certificat préconfiguré. Cet objet d’inscription génère un point de confiance (Trustpoint) du même nom sur le périphérique géré. L’objet d’inscription de certificat doit être associé et installé sur le périphérique. Le processus d’inscription est achevé, puis un point de confiance est créé.

  Un point de confiance est la représentation d’une autorité de certification ou d’une paire d’identités. Un point de confiance comprend l’identité de l’autorité de certification, des paramètres de configuration propres à l’autorité de certification et une association avec un certificat d’identité inscrit.

  Avant de sélectionner cette option, tenez compte des éléments suivants :

  • Assurez-vous d'avoir inscrit un objet d'inscription de certificat sur tous les points d'extrémité de la topologie. Un objet d'inscription de certificat contient les informations du serveur de l'autorité de certification (CA) et les paramètres d'inscription nécessaires à la création de demandes de signature de certificat (CSR) et à l'obtention de certificats d'identité auprès de l'autorité de certification spécifiée. Les objets d'inscription de certificat sont utilisés pour inscrire les appareils gérés dans votre infrastructure PKI et pour créer des points de confiance (objets CA) sur les appareils qui prennent en charge les connexions VPN. Pour obtenir des instructions sur la création d’un objet d’inscription de certificat, consultez Ajout d'objets d'Inscription du certificat et pour des instructions sur l’inscription de l’objet sur les points terminaux, consultez l’une des ressources suivantes, le cas échéant :

    • Installation d’un certificat à l’aide de l’inscription autosignée

    • Installation d'un certificat à l’aide de l’inscription EST

    • Installation d’un certificat à l’aide de l’inscription SCEP

    • Installation d’un certificat à l’aide de l’inscription manuelle

    • Installation d’un certificat à l’aide d’un fichier PKCS12

    Remarque

    Pour une topologie VPN de site à site, assurez-vous que le même objet de certificat d’inscription est inscrit sur tous les points terminaux de la topologie. Pour en savoir plus, consultez le tableau ci-dessous.

  • Consultez le tableau suivant pour comprendre les exigences d’inscription pour différents scénarios. Certains scénarios nécessitent que vous remplaciez l’objet d’inscription de certificat pour des périphériques spécifiques. Consultez Gestion des mises en priorité d’objets pour comprendre comment remplacer des objets.

    Types d'inscription de certificat	Le certificat d’identité du périphérique pour tous les points terminaux provient de la même autorité de certification		Le certificat d’identité du périphérique pour tous les points terminaux provient de différentes autorités de certification
    	Les paramètres spécifiques au périphérique NE SONT PAS spécifiés dans l’objet d’inscription du certificat	Les paramètres spécifiques au périphérique sont spécifiés dans l’objet d’inscription du certificat
    Manuel	Aucun remplacement requis	Remplacement requis	Remplacement requis
    (HNE)	Aucun remplacement requis	Remplacement requis	Remplacement requis
    SCEP	Aucun remplacement requis	Remplacement requis	Remplacement requis
    PKCS	Remplacement requis	Remplacement requis	Remplacement requis
    Autosigné	Sans objet	Sans objet	Sans objet

  • Comprenez les limites des certificats VPN mentionnées dans Lignes directrices et limites des certificats VPN Cisco Secure Firewall Threat Defense.

  Remarque

  Si vous utilisez une autorité de certification (CA) Windows, l’extension des politiques d’application par défaut est intermédiaire IKE de sécurité. Si vous utilisez ce paramètre par défaut, vous devez sélectionner l’option Ignore IPsec Key Usage (Ignorer l'utilisation des clés IPsec) dans la section Advanced Settings (Paramètres avancés), sous l’onglet Key (Clé) de la boîte de dialogue PKI Certificate Enrollment (Inscription de certificats PKI) pour l’objet que vous sélectionnez. Sinon, les points terminaux ne peuvent pas établir la connexion VPN de site à site.

Remarque

Les paramètres de cette boîte de dialogue s’appliquent à la topologie entière, à tous les tunnels et à tous les périphériques gérés.

Type de carte de chiffrement

Une carte de chiffrement combine tous les composants requis pour configurer les associations de sécurité IPsec. Lorsque deux homologues tentent d’établir une SA, ils doivent chacun avoir au moins une entrée de carte de chiffrement compatible. La négociation de sécurité IPsec utilise les propositions définies dans l’entrée de la carte de chiffrement pour protéger les flux de données spécifiés par les règles IPsec de cette carte de chiffrement. Choisissez statique ou dynamique pour la carte de chiffrement de ce déploiement :

• Statique : utilisez une carte de chiffrement statique dans une topologie de VPN point à point ou à maillage complet.

• Dynamique : les cartes de chiffrement dynamiques créent essentiellement une entrée de carte de chiffrement sans tous les paramètres configurés. Les paramètres manquants sont ultérieurement configurés dynamiquement (à la suite d’une négociation IPsec) pour correspondre aux exigences d’un homologue distant.

  Les politiques de carte de chiffrement dynamique s’appliquent aux topologies en étoile et VPN point à point. Pour appliquer ces politiques, spécifiez une adresse IP dynamique pour l’un des homologues dans la topologie et assurez-vous que la carte de chiffrement dynamique est activée sur cette topologie. Dans une topologie VPN à maillage complet, vous ne pouvez appliquer que des politiques de carte de chiffrement statique.

Mode IKEv2

Pour IPsec IKEv2 uniquement, spécifiez le mode d’encapsulation pour appliquer le chiffrement et l’authentification ESP au tunnel. Cela permet de déterminer quelle partie du paquet IP d'origine a été appliquée à l'ESP.

• Mode tunnel : (par défaut) le mode d’encapsulation est réglé sur Mode tunnel. Le mode tunnel applique le chiffrement et l’authentification ESP à l’ensemble du paquet IP d’origine (en-tête IP et données), masquant les adresses de source et de destination finales et devenant la charge utile dans un nouveau paquet IP.

  Le principal avantage du mode tunnel est qu’il n’est pas nécessaire de modifier les systèmes d’extrémité pour profiter des avantages d’IPsec. Ce mode permet à un périphérique réseau, comme un routeur, de servir de serveur mandataire IPsec. C’est-à-dire que le routeur effectue le chiffrement au nom des hôtes. Le routeur source chiffre les paquets et les transfère dans le tunnel IPsec. Le routeur de destination déchiffre le datagramme IP d’origine et le transmet au système de destination. Le mode tunnel offre également une protection contre l’analyse du trafic; Avec le mode tunnel, un attaquant ne peut déterminer que les points terminaux du tunnel, et non la source et la destination réelles des paquets acheminés dans le tunnel, même s’ils sont identiques aux points terminaux du tunnel.

• Transport préféré : le mode d’encapsulation est réglé au mode de transport avec une option pour revenir au mode tunnel si l’homologue ne le prend pas en charge. En mode transport, seule les données utiles IP sont chiffrées et les en-têtes IP d’origine demeurent inchangés. Par conséquent, l’administrateur doit sélectionner un réseau protégé qui correspond à l’adresse IP de l’interface VPN.

  Ce mode présente l’avantage d’ajouter seulement quelques octets à chaque paquet et de permettre aux périphériques du réseau public de voir la source et la destination finales du paquet. Le mode de transport vous permet d’activer le traitement spécial (par exemple, QoS) sur le réseau intermédiaire en fonction des informations contenues dans l’en-tête IP. Cependant, l’en-tête de couche 4 est chiffré, ce qui limite l’examen du paquet.

• Transport requis : le mode d’encapsulation est réglé au mode de transport uniquement, le retour au mode tunnel est autorisé. Si les points terminaux ne peuvent pas négocier avec succès le mode de transport, car un point terminal ne le prend pas en charge, la connexion VPN n’est pas établie.

Propositions

Cliquez sur Edit () pour préciser les propositions pour la méthode IKEv1 ou IKEv2 de votre choix. Sélectionnez parmi les objets de propositions IKEv1 IPsec Proposals ou IKEv2 IPsec Proposals disponibles, ou créez puis sélectionnez-en un nouveau. Consultez Configurer des objets de proposition IKEv1 IPsec et Configurer des objets de proposition IKEv2 IPsec pour en savoir plus.

Activer l’application de la force dans les associations de sécurité (SA)

L’activation de cette option garantit que l’algorithme de chiffrement utilisé par l’association de sécurité IPsec enfant n’est pas plus fort (en termes de nombre de bits dans la clé) que l’association de sécurité IKE parent.

Activer le RRI

La fonction Reverse Route Injection (RRI) permet d’insérer automatiquement des routes statiques dans le processus de routage pour les réseaux et les hôtes protégés par un point terminal de tunnel distant.

Activer la confidentialité parfaite de transmission

L'utilisation ou non du Perfect Forward Secrecy (PFS) pour générer et utiliser une clé de session unique pour chaque échange crypté. La clé de session unique protège l’échange du déchiffrement ultérieur, même si l’échange en entier a été enregistré et que l’agresseur a obtenu les clés prépartagées ou privées utilisées par les terminaux. Si vous sélectionnez cette option, sélectionnez également l’algorithme de dérivation de clé Diffie-Hellman à utiliser lors de la génération de la clé de session PFS dans la liste Module (groupe de modules).

Groupe de modules

Le groupe Diffie-Hellman à utiliser pour dériver un secret partagé entre les deux homologues IPsec sans se transmettre. Un module plus élevé offre une sécurité supérieure, mais nécessite plus de temps de traitement. Les deux homologues doivent avoir un groupe de module correspondant. Pour une explication complète des options, consultez Choix du groupe de module Diffie-Hellman à utiliser.

Durée de vie

Le nombre de secondes qu’une association de sécurité existe avant d’expirer. La valeur par défaut est de 28,800 secondes.

Taille de la durée de vie

Le volume de trafic (en kilo-octets) qui peut passer entre les homologues IPsec à l’aide d’une association de sécurité donnée avant son expiration. La valeur par défaut est de 4 608 000 kilo-octets. Des données infinies ne sont pas autorisées.

Paramètres ESPv3

Valider les messages d’erreur ICMP entrants

Choisissez de valider ou non les messages d’erreur ICMP reçus par l’intermédiaire d’un tunnel IPsec et destinés à un hôte intérieur sur le réseau privé.

Activer la politique « Do Not Fragment » (ne pas fragmenter)

Définissez comment le sous-système IPsec gère les paquets volumineux dont le bit « Ne pas fragmenter » (DF) est défini dans l’en-tête IP.

Politique

• Copy DF bit (copier le bit DF) : maintient le bit DF.

• Clear DF bit (effacer bit DF) : ignore le bit DF.

• Set DF bit (définir le bit DF) : définit et utilise le bit DF.

Activer les paquets Traffic Flow Confidentiality (TFC ou confidentialité du flux de données)

Activez les paquets TFC factices qui masquent le profil de trafic qui traverse le tunnel. Utilisez les paramètres Burst (Rafale), Payload Size (Taille de la charge utile) et Timeout (Expiration) pour générer des paquets de longueur aléatoire à des intervalles aléatoires sur le SA spécifié.

Remarque

Vous pouvez activer des paquets factices de confidentialité de flux de trafic (TFC) à des longueurs et à des intervalles aléatoires sur une association de sécurité IPsec. Vous devez avoir une proposition IKEv2 IPsec définie avant d’activer TFC. L’activation des paquets TFC empêche le tunnel VPN d’être inactif. Par conséquent, le délai d’inactivité VPN configuré dans la politique de groupe ne fonctionne pas comme prévu lorsque vous activez les paquets TFC.

Les sections suivantes décrivent les options avancées que vous pouvez spécifier dans votre déploiement VPN de site à site. Ces paramètres s’appliquent à la topologie entière, à tous les tunnels et à tous les périphériques gérés.