Inleiding
Dit document beschrijft de migratie van op beleid gebaseerde tunnels naar op route gebaseerde tunnels op ASA.
Voorwaarden
Vereisten
Cisco raadt u aan deze onderwerpen te kennen:
- Basiskennis van IKEv2-IPSec VPN-concepten.
- Kennis van IPSec VPN op ASA en de configuratie ervan.
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
- Cisco ASA: ASA-codeversie 9.8(1) of hoger.
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Configureren
Stappen voor migratie:
1. Bestaande op beleid gebaseerde VPN-configuratie verwijderen
2. IPsec-profiel configureren
3. Virtual Tunnel Interface (VTI) configureren
4. Statische routing of dynamisch routingprotocol configureren
Configuraties
Bestaande op beleid gebaseerde tunnel:
1. Interfaceconfiguratie:
Uitgaande interface waar de cryptokaart gebonden is.
interface GigabitEthernet0/0
nameif outside
security-level 0
ip address 10.10.10.10 255.255.255.0
2. IKEv2-beleid:
Het definieert de parameters voor fase 1 van het IPsec-onderhandelingsproces.
crypto ikev2 policy 10
encryption aes-256
integrity sha256
group 20
prf sha256
lifetime seconds 86400
3. Tunnelgroep:
Het definieert parameters voor VPN-verbindingen. Tunnelgroepen zijn essentieel voor het configureren van site-to-site VPN’s, omdat ze informatie bevatten over de peer, verificatiemethoden en verschillende verbindingsparameters.
tunnel-group 10.20.20.20 type ipsec-l2l
tunnel-group 10.20.20.20 ipsec-attributes
ikev2 remote-authentication pre-shared-key *****
ikev2 local-authentication pre-shared-key *****
4. Crypto ACL:
Het bepaalt het verkeer dat versleuteld en door de tunnel gestuurd moet worden.
object-group network local-network
network-object 192.168.0.0 255.255.255.0
object-group network remote-network
network-object 172.16.10.0 255.255.255.0
access-list asa-vpn extended permit ip object-group local-network object-group remote-network
5. Crypto IPSec-voorstel:
Het definieert het IPsec-voorstel, dat de coderings- en integriteitsalgoritmen voor fase 2 van de IPsec-onderhandeling specificeert.
crypto ipsec ikev2 ipsec-proposal IKEV2_TSET
protocol esp encryption aes-256
protocol esp integrity sha-256
6. Crypto Map Config:
Het definieert het beleid voor IPsec VPN-verbindingen, inclusief het verkeer dat versleuteld moet worden, de peers en het ipsec-voorstel dat eerder is geconfigureerd. Het is ook gebonden aan de interface die het VPN-verkeer verwerkt.
crypto map outside_map 10 match address asa-vpn
crypto map outside_map 10 set peer 10.20.20.20
crypto map outside_map 10 set ikev2 ipsec-proposal IKEV2_TSET
crypto map outside_map interface outside
Migratie van beleidstunnels naar routecontracten:
-
Bestaande op beleid gebaseerde VPN-configuratie verwijderen:
Verwijder eerst de bestaande, op beleid gebaseerde VPN-configuratie. Dit omvat de crypto-kaartvermeldingen voor die peer, ACL’s en alle bijbehorende instellingen.
no crypto map outside_map 10 match address asa-vpn
no crypto map outside_map 10 set peer 10.20.20.20
no crypto map outside_map 10 set ikev2 ipsec-proposal IKEV2_TSET
- IPsec-profiel configureren:
Definieer een IPsec-profiel met de bestaande IKEv2 ipsec-voorstel of transformatie-set.
crypto ipsec profile PROPOSAL_IKEV2_TSET
set ikev2 ipsec-proposal IKEV2_TSET
- Configureer de Virtual Tunnel Interface (VTI):
Maak een Virtual Tunnel Interface (VTI) en pas het IPsec-profiel erop toe.
interface Tunnel1
nameif VPN-BRANCH
ip address 10.1.1.2 255.255.255.252
tunnel source interface outside
tunnel destination 10.20.20.20
tunnel mode ipsec ipv4
tunnel protection ipsec profile PROPOSAL_IKEV2_TSET
- Configuratie van statische routing of dynamisch routingprotocol:
Voeg statische routes toe of vorm een dynamisch routeringsprotocol om verkeer door de tunnelinterface te leiden. In dit scenario maken we gebruik van statische routing.
Statische routing:
route VPN-BRANCH 172.16.10.0 255.255.255.0 10.1.1.10
Verifiëren
Na het migreren van een op beleid gebaseerde VPN naar een route gebaseerde VPN met Virtual Tunnel Interfaces (VTI’s) op een Cisco ASA, is het cruciaal om te verifiëren dat de tunnel correct is geïnstalleerd en werkt. Hier zijn verschillende stappen en opdrachten die u kunt gebruiken om de status te verifiëren en indien nodig problemen op te lossen.
1. Controleer de tunnelinterface
Controleer de status van de tunnelinterface om er zeker van te zijn dat deze is ingesteld.
ciscoasa# show interface Tunnel1
Interface Tunnel1 "VPN-BRANCH", is up, line protocol is up
Hardware is Virtual Tunnel Interface
Description: IPsec VPN Tunnel to Remote Site
Internet address is 10.1.1.2/24
MTU 1500 bytes, BW 10000 Kbit/sec, DLY 500000 usec
65535 packets input, 4553623 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants, 0 throttles
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
65535 packets output, 4553623 bytes, 0 underruns
0 output errors, 0 collisions, 0 interface resets
0 late collisions, 0 deferred
0 input reset drops, 0 output reset drops
Tunnel source 10.10.10.10, destination 10.20.20.20
Tunnel protocol/transport IPSEC/IP
Tunnel protection IPsec profile PROPOSAL_IKEV2_TSET
Deze opdracht geeft informatie over de tunnelinterface, waaronder de operationele status, IP-adres en tunnelbron/bestemming. Zoek deze indicatielampjes:
· De interfacestatus is omhoog.
· De status van het lijnprotocol is omhoog.
2. Controleer IPsec Security Associations (SA’s)
Controleer de status van de IPsec SA’s om er zeker van te zijn dat de tunnel succesvol is onderhandeld.
ciscoasa# show crypto ipsec sa
interface: Tunnel1
Crypto map tag: Tunnel1-head-0, seq num: 1, local addr: 10.10.10.10
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
current_peer: 10.20.20.20
#pkts encaps: 1000, #pkts encrypt: 1000, #pkts digest: 1000
#pkts decaps: 1000, #pkts decrypt: 1000, #pkts verify: 1000
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 1000, #pkts compr. failed: 0, #pkts decompress failed: 0
local crypto endpt.: 10.10.10.10/500, remote crypto endpt.: 10.20.20.20/500
path mtu 1500, ipsec overhead 74, media mtu 1500
current outbound spi: 0xC0A80101(3232235777)
current inbound spi : 0xC0A80102(3232235778)
inbound esp sas:
spi: 0xC0A80102(3232235778)
transform: esp-aes-256 esp-sha-256-hmac no compression
in use settings ={Tunnel, }
slot: 0, conn id: 2001, flow_id: CSR:1, crypto map: Tunnel1-head-0
sa timing: remaining key lifetime (kB/sec): (4608000/3540)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
outbound esp sas:
spi: 0xC0A80101(3232235777)
transform: esp-aes-256 esp-sha-256-hmac no compression
in use settings ={Tunnel, }
slot: 0, conn id: 2002, flow_id: CSR:2, crypto map: Tunnel1-head-0
sa timing: remaining key lifetime (kB/sec): (4608000/3540)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
Deze opdracht geeft de status weer van de IPsec SA’s, inclusief tellers voor ingekapselde en gedecapsuleerde pakketten. Zorg ervoor dat:
· Er zijn actieve SA's voor de tunnel.
· De inkapselings- en decapsulatietellers worden steeds hoger, wat op de doorstroming van het verkeer wijst.
Voor meer gedetailleerde informatie kunt u gebruik maken van:
ciscoasa# show crypto ikev2 sa
IKEv2 SAs:
Session-id:2, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote Status Role
3363898555 10.10.10.10/500 10.20.20.20/500 READY INITIATOR
Encr: AES-CBC, keysize: 256, PRF: SHA256, Hash: SHA256, DH Grp:20, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/259 sec
Deze opdracht toont de status van de IKEv2 SA's, die zich in de Ready-status bevindt.
3. Controleer de routing
Controleer de routeringstabel om er zeker van te zijn dat de routes door de tunnelinterface worden gericht.
ciscoasa# show route
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF Intra, IA - OSPF Inter, E1 - OSPF External Type 1
E2 - OSPF External Type 2, N1 - OSPF NSSA External Type 1, N2 - OSPF NSSA External Type 2
i - IS-IS, su - IS-IS summary null, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route, H - NHRP, l - LISP
+ - replicated route, % - next hop override
S 0.0.0.0 0.0.0.0 [1/0] via 203.0.113.2, outside
C 10.1.1.0 255.255.255.0 is directly connected, Tunnel1
S 172.16.10.0 255.255.255.0 [1/0] via 10.1.1.10, Tunnel1
Zoek routes die door de tunnelinterface worden geleid.
Problemen oplossen
Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.
1. Controleer de routeconfiguratie van de ASA.
2. Om problemen op te lossen in de IKEv2-tunnel, kunt u deze debugs gebruiken:
debug crypto condition peer <peer IP address>
debug crypto ikev2 platform 255
debug crypto ikev2 protocol 255
debug crypto ipsec 255
3. Om de verkeerskwestie op de ASA op te lossen, neemt u pakketopname en controleert u de configuratie.
Feedback