Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Convenzioni

Configurazione

Esempio di rete

Configurazioni

Verifica

Risoluzione dei problemi

Comandi per la risoluzione dei problemi

Informazioni correlate

Introduzione

Questa configurazione consente alle reti private dietro tre caselle Cisco Secure PIX Firewall di essere connesse da tunnel VPN su Internet o su qualsiasi rete pubblica che utilizzi IPsec. Ognuna delle tre reti ha connettività con le altre due reti. In questo scenario, per le connessioni alla rete Internet pubblica è richiesto NAT (Network Address Translation). Tuttavia, NAT non è richiesto per il traffico tra le tre intranet, che può essere trasmesso utilizzando un tunnel VPN su Internet pubblica.

Prerequisiti

Requisiti

Per il corretto funzionamento di IPSec, è necessario disporre della connettività dall'endpoint del tunnel all'endpoint del tunnel prima di iniziare questa configurazione.

Componenti usati

Questa configurazione è stata sviluppata e testata con PIX Firewall versione 6.1(2).

Nota: il comando show version deve indicare che la crittografia è abilitata.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Convenzioni

Fare riferimento a Cisco Technical Tips Conventions per ulteriori informazioni sulle convenzioni dei documenti.

Configurazione

In questa sezione vengono presentate le informazioni necessarie per configurare le funzionalità descritte più avanti nel documento.

Nota: per ulteriori informazioni sui comandi menzionati in questa sezione, usare lo strumento di ricerca dei comandi (solo utenti registrati).

Esempio di rete

Nel documento viene usata questa impostazione di rete:

Configurazioni

Nel documento vengono usate queste configurazioni:

- PIX 1

- PIX 2

- PIX 3

Configurazione PIX 1

PIX Version 6.1(2)

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname pix_1

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060

names

!--- Traffic to PIX 2 private network:

access-list 120 permit ip 10.1.1.0 255.255.255.0 10.2.2.0 255.255.255.0

!--- Traffic to PIX 3 private network:

access-list 130 permit ip 10.1.1.0 255.255.255.0 10.3.3.0 255.255.255.0

!--- Do not perform NAT for traffic to !--- other PIX Firewall private networks:

access-list 100 permit ip 10.1.1.0 255.255.255.0 10.2.2.0 255.255.255.0

access-list 100 permit ip 10.1.1.0 255.255.255.0 10.3.3.0 255.255.255.0

pager lines 24

logging on

no logging timestamp

no logging standby

no logging console

no logging monitor

no logging buffered

no logging trap

no logging history

logging facility 20

logging queue 512

interface ethernet0 auto

interface ethernet1 auto

mtu outside 1500

mtu inside 1500

ip address outside 172.18.124.153 255.255.255.0

ip address inside 10.1.1.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

no failover

failover timeout 0:00:00

failover poll 15

failover ip address outside 0.0.0.0

failover ip address inside 0.0.0.0

arp timeout 14400

!--- Do not perform NAT for traffic to other PIX Firewalls:

nat (inside) 0 access-list 100

route outside 0.0.0.0 0.0.0.0 172.18.124.1 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323

0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

no snmp-server location

no snmp-server contact

snmp-server community public

snmp-server enable traps

floodguard enable

sysopt connection permit-ipsec

no sysopt route dnat

crypto ipsec transform-set myset esp-des esp-md5-hmac

!--- IPsec configuration for tunnel to PIX 2:

crypto map newmap 20 ipsec-isakmp

crypto map newmap 20 match address 120

crypto map newmap 20 set peer 172.18.124.154

crypto map newmap 20 set transform-set myset

!--- IPsec configuration for tunnel to PIX 3:

crypto map newmap 30 ipsec-isakmp

crypto map newmap 30 match address 130

crypto map newmap 30 set peer 172.18.124.157

crypto map newmap 30 set transform-set myset

crypto map newmap interface outside

isakmp enable outside

isakmp key ******** address 172.18.124.154 netmask 255.255.255.255

no-xauth no-config-mode

isakmp key ******** address 172.18.124.157 netmask 255.255.255.255

no-xauth no-config-mode

isakmp identity address

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption des

isakmp policy 10 hash md5

isakmp policy 10 group 1

isakmp policy 10 lifetime 1000

telnet timeout 5

ssh timeout 5

terminal width 80

Cryptochecksum:436c96500052d0276324b9ef33221b2d

: end

[OK]

Configurazione PIX 2

PIX Version 6.1(2)

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname pix_2

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060

names

!--- Traffic to PIX 1:

access-list 110 permit ip 10.2.2.0 255.255.255.0 10.1.1.0 255.255.255.0

!--- Traffic to PIX 3:

access-list 130 permit ip 10.2.2.0 255.255.255.0 10.3.3.0 255.255.255.0

!--- Do not perform NAT for traffic to other PIX Firewalls:

access-list 100 permit ip 10.2.2.0 255.255.255.0 10.1.1.0 255.255.255.0

access-list 100 permit ip 10.2.2.0 255.255.255.0 10.3.3.0 255.255.255.0

pager lines 24

logging on

no logging timestamp

no logging standby

no logging console

no logging monitor

no logging buffered

no logging trap

no logging history

logging facility 20

logging queue 512

interface ethernet0 auto

interface ethernet1 auto

mtu outside 1500

mtu inside 1500

ip address outside 172.18.124.154 255.255.255.0

ip address inside 10.2.2.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

no failover

failover timeout 0:00:00

failover poll 15

failover ip address outside 0.0.0.0

failover ip address inside 0.0.0.0

arp timeout 14400

!--- Do not perform NAT for traffic to other PIX Firewalls:

nat (inside) 0 access-list 100

route outside 0.0.0.0 0.0.0.0 172.18.124.1 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323

0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

sysopt connection permit-ipsec

no sysopt route dnat

crypto ipsec transform-set myset esp-des esp-md5-hmac

!--- IPsec configuration for tunnel to PIX 1:

crypto map newmap 10 ipsec-isakmp

crypto map newmap 10 match address 110

crypto map newmap 10 set peer 172.18.124.153

crypto map newmap 10 set transform-set myset

!--- IPsec configuration for tunnel to PIX 3:

crypto map newmap 30 ipsec-isakmp

crypto map newmap 30 match address 130

crypto map newmap 30 set peer 172.18.124.157

crypto map newmap 30 set transform-set myset

crypto map newmap interface outside

isakmp enable outside

isakmp key ******** address 172.18.124.153 netmask 255.255.255.255

no-xauth no-config-mode

isakmp key ******** address 172.18.124.157 netmask 255.255.255.255

no-xauth no-config-mode

isakmp identity address

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption des

isakmp policy 10 hash md5

isakmp policy 10 group 1

isakmp policy 10 lifetime 1000

telnet timeout 5

ssh timeout 5

terminal width 80

Cryptochecksum:aef12453a0ea29b592dd0d395de881f5

: end

Configurazione PIX 3

PIX Version 6.1(2)

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname pix_3

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060

names

!--- IPsec configuration for tunnel to PIX 1:

access-list 110 permit ip 10.3.3.0 255.255.255.0 10.1.1.0 255.255.255.0

!--- IPsec configuration for tunnel to PIX 2:

access-list 120 permit ip 10.3.3.0 255.255.255.0 10.2.2.0 255.255.255.0

!--- Do not perform NAT for traffic to other PIX Firewalls:

access-list 100 permit ip 10.3.3.0 255.255.255.0 10.2.2.0 255.255.255.0

access-list 100 permit ip 10.3.3.0 255.255.255.0 10.1.1.0 255.255.255.0

pager lines 24

logging on

no logging timestamp

no logging standby

no logging console

no logging monitor

no logging buffered

no logging trap

no logging history

logging facility 20

logging queue 512

interface ethernet0 auto

interface ethernet1 auto

mtu outside 1500

mtu inside 1500

ip address outside 172.18.124.157 255.255.255.0

ip address inside 10.3.3.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

no failover

failover timeout 0:00:00

failover poll 15

failover ip address outside 0.0.0.0

failover ip address inside 0.0.0.0

arp timeout 14400

!--- Do not perform NAT for traffic to other PIX Firewalls:

nat (inside) 0 access-list 100

route outside 0.0.0.0 0.0.0.0 172.18.124.1 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323

0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

sysopt connection permit-ipsec

no sysopt route dnat

crypto ipsec transform-set myset esp-des esp-md5-hmac

!--- IPsec configuration for tunnel to PIX 1:

crypto map newmap 10 ipsec-isakmp

crypto map newmap 10 match address 110

crypto map newmap 10 set peer 172.18.124.153

crypto map newmap 10 set transform-set myset

!--- IPsec configuration for tunnel to PIX 2:

crypto map newmap 20 ipsec-isakmp

crypto map newmap 20 match address 120

crypto map newmap 20 set peer 172.18.124.154

crypto map newmap 20 set transform-set myset

crypto map newmap interface outside

isakmp enable outside

isakmp key ******** address 172.18.124.153 netmask 255.255.255.255

no-xauth no-config-mode

isakmp key ******** address 172.18.124.154 netmask 255.255.255.255

no-xauth no-config-mode

isakmp identity address

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption des

isakmp policy 10 hash md5

isakmp policy 10 group 1

isakmp policy 10 lifetime 1000

telnet timeout 5

ssh timeout 5

terminal width 80

Cryptochecksum:e6ad75852dff21efdb2d24cc95ffbe1c

: end

[OK]

Verifica

Attualmente non è disponibile una procedura di verifica per questa configurazione.

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione. per ulteriori informazioni, fare riferimento a Risoluzione dei problemi del PIX per il passaggio del traffico di dati su un tunnel IPsec stabilito.

Comandi per la risoluzione dei problemi

Nota: consultare le informazioni importanti sui comandi di debug prima di usare i comandi di debug.

Comandi debug

Utilizzare questi comandi sul PIX, con i comandi di debug del monitor di registrazione o di debug della console di registrazione in esecuzione.

- debug crypto ipsec: esegue il debug dell'elaborazione IPsec.

- debug crypto isakmp: esegue il debug dell'elaborazione ISAKMP (Internet Security Association and Key Management Protocol).

- debug crypto engine: visualizza i messaggi di debug sui motori di crittografia, che eseguono la crittografia e la decrittografia.

Comandi clear

Per cancellare le associazioni di sicurezza (SA), utilizzare questi comandi nella modalità di configurazione del PIX.

- clear [crypto] ipsec sa: elimina le SA IPsec attive. La parola chiave crypto è facoltativa.

- clear [crypto] isakmp sa: elimina le associazioni di sicurezza IKE (Internet Key Exchange) attive. La parola chiave crypto è facoltativa.

Nota: per il corretto funzionamento di IPSec, è necessario disporre della connettività dall'endpoint del tunnel all'endpoint del tunnel prima di iniziare questa configurazione.

Informazioni correlate

- Risoluzione dei problemi relativi al PIX per il passaggio del traffico di dati su un tunnel IPSec stabilito

- Cisco PIX serie 500 Security Appliance

- Riferimenti per i comandi PIX

- Negoziazioni IPsec/protocolli IKE

- RFC (Requests for Comments)

- Documentazione e supporto tecnico – Cisco Systems