자체 서명 인증서로 기본 모드를 사용하여 라우터와 ASA 간에 Easy VPN 터널 구성

다운로드 옵션

  • PDF     (140.1 KB)
    다양한 디바이스에서 Adobe Reader로 보기
  • ePub     (107.0 KB)
    iPhone, iPad, Android, Sony Reader 또는 Windows Phone의 다양한 앱에서 보기
  • Mobi (Kindle)     (133.2 KB)
    Kindle 디바이스에서 보기 또는 다양한 디바이스의 Kindle 앱에서 보기
업데이트:2015년 12월 24일
문서 ID:200307

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 Cisco ASA(Adaptive Security Appliance)와 자체 서명 인증서가 포함된 주 모드를 사용하여 Cisco IOS® 소프트웨어를 실행하는 라우터 간에 Easy VPN 터널을 설정하는 방법에 대해 설명합니다.

사전 요구 사항

라우터-라우터-Easy VPN 솔루션의 샘플 컨피그레이션은 Cisco Easy VPN Server의 IP 주소가 정적이고 Cisco Easy VPN Client의 IP 주소가 정적이라는 가정을 기반으로 합니다.

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

  • IKE(Internet Key Exchange)
  • 인증서 및 공개 키 인프라(PKI) 

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

  • 소프트웨어 버전 8.4(7)를 실행하는 Cisco ASA 5510 Adaptive Security Appliance
  • Cisco IOS 소프트웨어 버전 15.2(4)M2를 실행하는 Cisco 2821 Series ISR(Integrated Services Router)

관련 제품

이 문서는 다음과 같은 하드웨어 및 소프트웨어 버전과 함께 사용할 수도 있습니다.

  • 소프트웨어 버전 8.4 이상을 실행하는 Cisco ASA
  • Cisco IOS 소프트웨어 버전 15.0 이상을 실행하는 Cisco ISR Generation 라우터

배경 정보

이 문서에서는 사전 공유 키로 지원되지 않는 기본 모드에서 EzVPN을 사용하는 방법에 대해 설명합니다.그러나 적극적인 모드와 관련된 취약성을 극복하기 위해 인증서 인증과 주 모드를 사용할 수 있습니다. CVE-2002-1623.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다.이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다.현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

구성 

NTP


인증서 인증에서는 모든 참여 디바이스의 클럭을 공통 소스에 동기화해야 합니다.각 디바이스에서 시계를 수동으로 설정할 수 있지만, 이는 매우 정확하지 않으며 번거로울 수 있습니다.모든 디바이스에서 시계를 동기화하는 가장 쉬운 방법은 NTP를 사용하는 것입니다.NTP는 분산된 시간 서버 및 클라이언트 집합 간에 시간 유지를 동기화합니다.이 동기화를 사용하면 시스템 로그가 생성될 때 및 다른 시간별 이벤트가 발생할 때 이벤트의 상관관계를 파악할 수 있습니다.NTP 구성 방법에 대한 자세한 내용은 Network Time Protocol:모범 사례 백서


http://www.cisco.com/c/en/us/support/docs/availability/high-availability/19643-ntpm.html

네트워크 다이어그램

200307-Configure-Easy-VPN-Tunnel-Between-Router-00.png

구성

 
 
 Router:

Current configuration : 6024 bytes
!
!
hostname CISCO_LAB_ROUTER
!
----------CA Server configuration

crypto pki server ASA
 issuer-name cn=ASA, ou=VPN, o=cisco, c=US
 grant auto
 lifetime ca-certificate 300
!
-----------PKI Trustpoint configuration

crypto pki trustpoint router
 enrollment url http://11.11.11.11:80
 revocation-check none
!
!
crypto pki certificate chain router
 certificate 03
  30820225 3082018E A0030201 02020103 300D0609 2A864886 F70D0101 05050030 
  39310B30 09060355 04061302 5553310E 300C0603 55040A13 05636973 636F310C 
  300A0603 55040B13 0356504E 310C300A 06035504 03130341 5341301E 170D3135 
  31313234 31383034 32365A17 0D313630 39313931 38303130 395A3027 31253023 
  06092A86 4886F70D 01090216 1642474C 2E532E31 362D3238 30302D31 342E6369 
  73636F30 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100 
  D7423408 DAEDB119 5E1D6F9B F627F80B 28F6691F 799AFCC5 ECBF5FAA 23D4D890 
  335CDF2B 7C4717A7 979E6A73 515F70AB 905A4935 37873935 9D7406F8 D6986395 
  A427410D FA3432E2 D71FDF8B FFA34C74 C3518E53 E23E5076 06C73C5A C83CC2F3 
  A7EB4349 523571C8 84EA4D58 480ADF47 C4AB29AE EA1FF522 DBCDFEE8 8A9E40A5 
  02030100 01A34F30 4D300B06 03551D0F 04040302 05A0301F 0603551D 23041830 
  1680143B A9F1006C 39BCFFD6 9E8EF705 DD4FD606 268A1E30 1D060355 1D0E0416 
  0414B13F D97C0877 63A7087E 7C31E429 C0D8ADD8 2B1A300D 06092A86 4886F70D 
  01010505 00038181 0039C03A B8B91B3F BFE17248 F1777B78 EBF49CA3 F967C986 
  268C16D4 6AFE2905 0237F56A 369A3BB8 E9A5C1C9 9CF77C9D 2EC71C81 ABB1A64C 
  2FD44A78 3499A357 986D4B8E 08345355 80B481C4 A3AB3408 C3F6F1A6 E42E4585 
  F7B02B33 A57E7D6F 2BD4862A 6DDD4253 B253B3C5 481B3E54 1FB7CEA9 97A01C50 
  0414ECA9 A85CD3F9 EE
      quit
 certificate ca 01
  3082024B 308201B4 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 
  39310B30 09060355 04061302 5553310E 300C0603 55040A13 05636973 636F310C 
  300A0603 55040B13 0356504E 310C300A 06035504 03130341 5341301E 170D3135 
  31313234 31383031 30395A17 0D313630 39313931 38303130 395A3039 310B3009 
  06035504 06130255 53310E30 0C060355 040A1305 63697363 6F310C30 0A060355 
  040B1303 56504E31 0C300A06 03550403 13034153 4130819F 300D0609 2A864886 
  F70D0101 01050003 818D0030 81890281 8100BAFF C15ABB3D 78778733 762F71A7 
  9BE2C81C A2BEB6EF CFD98FB2 21D466D5 65301232 163FFCD0 1CCCCF07 6CAEABD8 
  E3A1C3EB B48D916A ADDD56D8 0730C32B 97388937 193BCD22 729D3F61 5712E71A 
  61315E75 A29E4D7B 881F37A2 3EA74B93 05C3FA73 E50A7DE9 CC2BBF15 F21E8615 
  13EA3E0A 80C95C5E 866B92C7 D98AB734 C41D0203 010001A3 63306130 0F060355 
  1D130101 FF040530 030101FF 300E0603 551D0F01 01FF0404 03020186 301F0603 
  551D2304 18301680 143BA9F1 006C39BC FFD69E8E F705DD4F D606268A 1E301D06 
  03551D0E 04160414 3BA9F100 6C39BCFF D69E8EF7 05DD4FD6 06268A1E 300D0609 
  2A864886 F70D0101 04050003 8181000B 34F5327C 95DD6B24 09E5F485 7B2B9918 
  9BEBE081 B7CE0946 0402C1A2 3849B319 937E4CD7 DF24944E 35482A00 ED28FB5B 
  804A2682 44CB5B81 938F3E68 30E34F33 C9F2E0BF D65CB235 2FFA5301 705ECD56 
  8A3F80F9 12DAA450 CDA84849 1FD44822 79CBBF0B 75E507B5 9A75344E 206551B5 
  BCA5865F 3DD16D61 935E074E FC04B9
      quit
crypto pki certificate chain ASA
 certificate ca 01
  3082024B 308201B4 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 
  39310B30 09060355 04061302 5553310E 300C0603 55040A13 05636973 636F310C 
  300A0603 55040B13 0356504E 310C300A 06035504 03130341 5341301E 170D3135 
  31313234 31383031 30395A17 0D313630 39313931 38303130 395A3039 310B3009 
  06035504 06130255 53310E30 0C060355 040A1305 63697363 6F310C30 0A060355 
  040B1303 56504E31 0C300A06 03550403 13034153 4130819F 300D0609 2A864886 
  F70D0101 01050003 818D0030 81890281 8100BAFF C15ABB3D 78778733 762F71A7 
  9BE2C81C A2BEB6EF CFD98FB2 21D466D5 65301232 163FFCD0 1CCCCF07 6CAEABD8 
  E3A1C3EB B48D916A ADDD56D8 0730C32B 97388937 193BCD22 729D3F61 5712E71A 
  61315E75 A29E4D7B 881F37A2 3EA74B93 05C3FA73 E50A7DE9 CC2BBF15 F21E8615 
  13EA3E0A 80C95C5E 866B92C7 D98AB734 C41D0203 010001A3 63306130 0F060355 
  1D130101 FF040530 030101FF 300E0603 551D0F01 01FF0404 03020186 301F0603 
  551D2304 18301680 143BA9F1 006C39BC FFD69E8E F705DD4F D606268A 1E301D06 
  03551D0E 04160414 3BA9F100 6C39BCFF D69E8EF7 05DD4FD6 06268A1E 300D0609 
  2A864886 F70D0101 04050003 8181000B 34F5327C 95DD6B24 09E5F485 7B2B9918 
  9BEBE081 B7CE0946 0402C1A2 3849B319 937E4CD7 DF24944E 35482A00 ED28FB5B 
  804A2682 44CB5B81 938F3E68 30E34F33 C9F2E0BF D65CB235 2FFA5301 705ECD56 
  8A3F80F9 12DAA450 CDA84849 1FD44822 79CBBF0B 75E507B5 9A75344E 206551B5 
  BCA5865F 3DD16D61 935E074E FC04B9
      quit
!
!
redundancy

!
!
--------------EzVPN client configurtaion

crypto ipsec client ezvpn VPN
 connect auto
 mode network-extension
 peer 11.11.11.111
 xauth userid mode interactive

!
!--------------IPSEC mapping on interfaces

interface GigabitEthernet0/0
 ip address 11.11.11.11 255.255.255.0
 duplex auto
 speed auto
 crypto ipsec client ezvpn VPN
!
interface GigabitEthernet0/1
 ip address 10.106.69.121 255.255.255.0
 duplex auto
 speed auto
 crypto ipsec client ezvpn VPN inside
!
ip forward-protocol nd
ip http server
no ip http secure-server

!
end

CISCO_LAB_ROUTER#
 
 
ASA:
 
ASA Version 8.4(7) 
!
hostname CISCO_LAB_ASA
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
!
interface Ethernet0/0
 nameif CERT
 security-level 0
 ip address 11.11.11.111 255.255.255.0 
!
interface Management0/0
 nameif tftp
 security-level 0
 ip address 10.106.69.107 255.255.255.0
 
!-------------EZVPN Server configuration
 
crypto ipsec ikev1 transform-set VPN-SET esp-3des esp-sha-hmac 
crypto dynamic-map dyn1 1 set reverse-route
crypto dynamic-map dynmap 10 set ikev1 transform-set VPN-SET
crypto map mymap 1 ipsec-isakmp dynamic dyn1
crypto map VPNMAP 1 ipsec-isakmp dynamic dynmap
crypto map VPNMAP interface CERT
 
!-------------Trustpoint Configuration for SCEP

crypto ca trustpoint ASA
 enrollment url http://11.11.11.11:80
 ignore-ipsec-keyusage
 crl configure
 
--------------Certificate Map configuration

crypto ca certificate map DefaultCertificateMap 1
 issuer-name attr cn eq asa
 issuer-name attr ou eq vpn
 

crypto ca certificate chain ASA
 certificate ca 01
    3082024b 308201b4 a0030201 02020101 300d0609 2a864886 f70d0101 04050030 
    39310b30 09060355 04061302 5553310e 300c0603 55040a13 05636973 636f310c 
    300a0603 55040b13 0356504e 310c300a 06035504 03130341 5341301e 170d3135 
    31313234 31383031 30395a17 0d313630 39313931 38303130 395a3039 310b3009 
    06035504 06130255 53310e30 0c060355 040a1305 63697363 6f310c30 0a060355 
    040b1303 56504e31 0c300a06 03550403 13034153 4130819f 300d0609 2a864886 
    f70d0101 01050003 818d0030 81890281 8100baff c15abb3d 78778733 762f71a7 
    9be2c81c a2beb6ef cfd98fb2 21d466d5 65301232 163ffcd0 1ccccf07 6caeabd8 
    e3a1c3eb b48d916a addd56d8 0730c32b 97388937 193bcd22 729d3f61 5712e71a 
    61315e75 a29e4d7b 881f37a2 3ea74b93 05c3fa73 e50a7de9 cc2bbf15 f21e8615 
    13ea3e0a 80c95c5e 866b92c7 d98ab734 c41d0203 010001a3 63306130 0f060355 
    1d130101 ff040530 030101ff 300e0603 551d0f01 01ff0404 03020186 301f0603 
    551d2304 18301680 143ba9f1 006c39bc ffd69e8e f705dd4f d606268a 1e301d06 
    03551d0e 04160414 3ba9f100 6c39bcff d69e8ef7 05dd4fd6 06268a1e 300d0609 
    2a864886 f70d0101 04050003 8181000b 34f5327c 95dd6b24 09e5f485 7b2b9918 
    9bebe081 b7ce0946 0402c1a2 3849b319 937e4cd7 df24944e 35482a00 ed28fb5b 
    804a2682 44cb5b81 938f3e68 30e34f33 c9f2e0bf d65cb235 2ffa5301 705ecd56 
    8a3f80f9 12daa450 cda84849 1fd44822 79cbbf0b 75e507b5 9a75344e 206551b5 
    bca5865f 3dd16d61 935e074e fc04b9
  quit
 certificate 02
              
    30820243 308201ac a0030201 02020102 300d0609 2a864886 f70d0101 04050030 
    39310b30 09060355 04061302 5553310e 300c0603 55040a13 05636973 636f310c 
    300a0603 55040b13 0356504e 310c300a 06035504 03130341 5341301e 170d3135 
    31313234 31383033 32315a17 0d313630 39313931 38303130 395a3023 3121301f 
    06092a86 4886f70d 01090216 1262676c 2d532d31 362d4153 41353530 302d3130 
    819f300d 06092a86 4886f70d 01010105 0003818d 00308189 02818100 efc22ac0 
    35960f71 9c197870 aa2b2a8c cd6ea4ef 150bc5ed f38812a2 baad0929 cde15a14 
    f5982e23 9208b79e decb58ed 04e1c552 c352a7b7 0458c205 a5548367 7a4ae377 
    93b0e711 05da2932 6621170e 93c0197d 4de3639e 6b1ce677 aac8c68e d9e7d098 
    40e5cb9f ee9a13e3 8e2a63e8 96186be0 9f1db880 0eb8b63a 0c17fe3d 02030100 
    01a37130 6f301d06 03551d11 04163014 82126267 6c2d532d 31362d41 53413535 
    30302d31 300e0603 551d0f01 01ff0404 030205a0 301f0603 551d2304 18301680 
    143ba9f1 006c39bc ffd69e8e f705dd4f d606268a 1e301d06 03551d0e 04160414 
    be1953e2 579f9901 cbc6d4e4 1290451b e4bbcec0 300d0609 2a864886 f70d0101 
    04050003 81810081 68d44005 d2cfa98f c2575dcb 724387af 852628be 4fe1b27f 
    edd49e5c 84f49a04 971a4d51 b23032c5 538f889d 8f25ffae d605fc40 9d7d49f3 
    904814ec 5b9bb2bf c5834a38 74f56df8 8afc2588 9fe78e2a 0e7ccbfe de339970 
    d4149dc1 a7f5417e 0617c566 507cb91d 0adddb77 192f727a 6fbbb413 82e72b83 
    1cd98cc7 77fbb4
  quit
 
------------IKE configuration

crypto ikev1 enable CERT
crypto ikev1 policy 5
 authentication rsa-sig
 encryption 3des
 hash sha
 group 2
 lifetime 86400
 
------------Group Policy Configuraiton

group-policy VPNPOLICY internal
group-policy VPNPOLICY attributes
 re-xauth disable
 split-tunnel-policy tunnelall
 nem enable

username cisco password 3USUcOPFUiMCO4Jk encrypted
 
------------Tunnel Group configuration

tunnel-group DefaultRAGroup general-attributes              
 default-group-policy VPNPOLICY
tunnel-group DefaultRAGroup ipsec-attributes
 ikev1 trust-point ASA
tunnel-group VPN type remote-access
tunnel-group VPN general-attributes
 default-group-policy VPNPOLICY
tunnel-group VPN ipsec-attributes
 ikev1 trust-point ASA
tunnel-group-map enable rules
tunnel-group-map DefaultCertificateMap 1 VPN
!
: end

다음을 확인합니다.

디바이스가 CA에 성공적으로 등록되었는지 확인하려면

라우터

CISCO_LAB_ROUTER#show crypto pki certificates
Certificate
 Status: Available
 Certificate Serial Number (hex): 03
 Certificate Usage: General Purpose
 Issuer:
 cn=ASA
 ou=VPN
 o=cisco
 c=US
 Subject:
 Name: CISCO_LAB_ROUTER.cisco
 hostname=CISCO_LAB_ROUTER.cisco
 Validity Date:
 start date: 18:04:26 UTC Nov 24 2015
 end date: 18:01:09 UTC Sep 19 2016
 Associated Trustpoints: router
 Storage: nvram:ASA#3.cer 

CA Certificate
 Status: Available
 Certificate Serial Number (hex): 01
 Certificate Usage: Signature
 Issuer:
 cn=ASA
 ou=VPN
 o=cisco
 c=US
 Subject:
 cn=ASA
 ou=VPN
 o=cisco
 c=US
 Validity Date:
 start date: 18:01:09 UTC Nov 24 2015
 end date: 18:01:09 UTC Sep 19 2016
 Associated Trustpoints: ASA router
 Storage: nvram:ASA#1CA.cer

ASA

CISCO_LAB_ASA# show crypto ca certificates
Certificate
 Status: Available
 Certificate Serial Number: 02
 Certificate Usage: General Purpose
 Public Key Type: RSA (1024 bits)
 Signature Algorithm: MD5 with RSA Encryption
 Issuer Name:
 cn=ASA
 ou=VPN
 o=cisco
 c=US
 Subject Name:
 hostname=CISCO_LAB_ASA
 Validity Date:
 start date: 18:03:21 UTC Nov 24 2015
 end date: 18:01:09 UTC Sep 19 2016
 Associated Trustpoints: ASA 

CA Certificate
 Status: Available
 Certificate Serial Number: 01
 Certificate Usage: Signature
 Public Key Type: RSA (1024 bits)
 Signature Algorithm: MD5 with RSA Encryption
 Issuer Name:
 cn=ASA
 ou=VPN
 o=cisco
 c=US
 Subject Name:
 cn=ASA
 ou=VPN
 o=cisco
 c=US
 Validity Date:
 start date: 18:01:09 UTC Nov 24 2015
 end date: 18:01:09 UTC Sep 19 2016
 Associated Trustpoints: ASA

터널이 작동 중인지 확인하려면

라우터

1단계 확인:

 CISCO_LAB_ROUTER # show crypto isakmp sa 

 IPv4 Crypto ISAKMP SA
 dst             src             state          conn-id status 
 11.11.11.111    11.11.11.11     QM_IDLE           1114 ACTIVE

2단계 확인:



CISCO_LAB_ROUTER# show crypto ipsec sa

 interface: GigabitEthernet0/0 
     Crypto map tag: GigabitEthernet0/0-head-0, local addr 11.11.11.11 

   protected vrf: (none)
    local  ident (addr/mask/prot/port): (10.106.69.0/255.255.255.0/0/0) 
    remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0) 
    current_peer 11.11.11.111 port 500 
      PERMIT, flags={origin_is_acl,} 
     #pkts encaps: 5, #pkts encrypt: 5, #pkts digest: 5 
     #pkts decaps: 5, #pkts decrypt: 5, #pkts verify: 5

ASA

1단계 확인:

 CISCO_LAB_ASA# show crypto isakmp sa    

 IKEv1 SAs: 

    Active SA: 1 
     Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey) 
 Total IKE SA: 1 

 1   IKE Peer: 11.11.11.11 
     Type    : user            Role    : responder 
     Rekey   : no              State   : MM_ACTIVE  --------------> MM denotes main mode 

 IPv6 Crypto ISAKMP SA

2단계 확인:



CISCO_LAB_ASA#show  crypto ipsec sa
interface: CERT
    Crypto map tag: dynmap, seq num: 10, local addr: 11.11.11.111

        local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (10.106.69.0/255.255.255.0/0/0)
      current_peer: 11.11.11.11, username: cisco
      dynamic allocated peer ip: 0.0.0.0

        #pkts encaps: 5, #pkts encrypt: 5, #pkts digest: 5
       #pkts decaps: 5, #pkts decrypt: 5, #pkts verify: 5

문제 해결

  

ASA의 디버깅

주의:ASA에서는 다양한 디버그 레벨을 설정할 수 있습니다.기본적으로 level 1이 사용됩니다.디버그 수준을 변경하면 디버그의 세부 정보가 증가할 수 있습니다.

단일 피어에 대해서만 디버깅을 보려면 조건부 디버그를 사용하는 것이 좋습니다.

debug crypto condition peer <peer ip address>

특히 프로덕션 환경에서 주의하여 수행합니다.

터널 협상을 위한 ASA 디버그는 다음과 같습니다.


 debug crypto ikev1 <0-255> 
 debug crypto ipsec <0-255>

인증서 인증을 위한 ASA 디버그:


 debug crypto ca

라우터의 디버그

터널 협상을 위한 라우터 디버깅은 다음과 같습니다.


 debug crypto ikev1 
 debug crypto ikev1 error 
 debug crypto ikev1 internal

인증서 인증을 위한 라우터 디버깅:


 debug crypto pki validation 
 debug crypto pki transaction 
 debug crypto pki messages
TAC Authored

Cisco 엔지니어가 작성

이 문서가 도움이 되셨습니까?

Feedback피드백

지원 문의

이 문서가 적용되는 제품