Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Produtos Relacionados

Conventions

Informações de Apoio

Configurar

Diagrama de Rede

Adicionando rede ao túnel IPSec

Removendo a rede do túnel IPSec

Verificar

Troubleshoot

Informações Relacionadas

Introduction

Este documento fornece uma configuração de exemplo de como adicionar uma nova rede a um túnel VPN existente.

Prerequisites

Requirements

Verifique se você tem um PIX/ASA Security Appliance com código 7.x antes de tentar esta configuração.

Componentes Utilizados

As informações neste documento são baseadas em dois dispositivos do Cisco 5500 Security Appliance.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Produtos Relacionados

Essa configuração também pode ser usada com o PIX 500 Security Appliance.

Conventions

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Informações de Apoio

Atualmente, existe um túnel VPN de LAN para LAN (L2L) entre o escritório da NY e da TN. O escritório da NY acabou de adicionar uma nova rede para ser usada pelo grupo de desenvolvimento da CSI. Esse grupo exige acesso a recursos que residem no escritório da TN. A tarefa em questão é adicionar a nova rede ao túnel VPN já existente.

Configurar

Nesta seção, você encontrará informações para configurar os recursos descritos neste documento.

Nota: Use a Command Lookup Tool (somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Diagrama de Rede

Este documento utiliza a seguinte configuração de rede:

Adicionando rede ao túnel IPSec

Este documento utiliza esta configuração:

Configuração do firewall NY (HQ)

ASA-NY-HQ#show running-config

: Saved

:

ASA Version 7.2(2)

!

hostname ASA-NY-HQ

domain-name corp2.com

enable password WwXYvtKrnjXqGbu1 encrypted

names

!

interface Ethernet0/0

nameif outside

security-level 0

ip address 192.168.11.2 255.255.255.0

!

interface Ethernet0/1

nameif inside

security-level 100

ip address 172.16.1.2 255.255.255.0

!

interface Ethernet0/2

nameif Cisco

security-level 70

ip address 172.16.40.2 255.255.255.0

!

interface Ethernet0/3

shutdown

no nameif

no security-level

no ip address

!

interface Management0/0

shutdown

no nameif

no security-level

no ip address

!

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

dns server-group DefaultDNS

domain-name corp2.com

access-list inside_nat0_outbound extended permit ip 172.16.1.0

255.255.255.0 10.10.10.0 255.255.255.0

!--- You must be sure that you configure the !--- opposite of these access control lists !--- on the other end of the VPN tunnel.

access-list inside_nat0_outbound extended permit ip 172.16.40.0

255.255.255.0 10.10.10.0 255.255.255.0

access-list outside_20_cryptomap extended permit ip 172.16.1.0

255.255.255.0 10.10.10.0 255.255.255.0

!--- You must be sure that you configure the !--- opposite of these access control lists !--- on the other end of the VPN tunnel.

access-list outside_20_cryptomap extended permit ip 172.16.40.0

255.255.255.0 10.10.10.0 255.255.255.0

!--- Output is suppressed.

nat-control

global (outside) 1 interface

nat (inside) 0 access-list inside_nat0_outbound

nat (inside) 1 172.16.1.0 255.255.255.0

!--- The new network is also required to have access to the Internet. !--- So enter an entry into the NAT statement for this new network.

nat (inside) 1 172.16.40.0 255.255.255.0

route outside 0.0.0.0 0.0.0.0 192.168.11.100 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout uauth 0:05:00 absolute

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac

crypto map outside_map 20 match address outside_20_cryptomap

crypto map outside_map 20 set peer 192.168.10.10

crypto map outside_map 20 set transform-set ESP-3DES-SHA

crypto map outside_map interface outside

crypto isakmp enable outside

crypto isakmp policy 10

authentication pre-share

encryption 3des

hash sha

group 2

lifetime 86400

crypto isakmp nat-traversal  20

tunnel-group 192.168.10.10 type ipsec-l2l

tunnel-group 192.168.10.10 ipsec-attributes

pre-shared-key *

!--- Output is suppressed.

: end

ASA-NY-HQ#

Removendo a rede do túnel IPSec

Siga estas etapas para remover a rede da configuração do túnel IPSec.Aqui, considere que a rede 172.16.40.0/24 foi removida da configuração do NY (HQ) Security Appliance.

1. Antes de remover a rede do túnel, remova a conexão IPSec, que também limpa as associações de segurança relacionadas à fase 2.

ASA-NY-HQ# clear crypto ipsec sa

Limpa as associações de segurança relacionadas à fase 1 da seguinte forma

ASA-NY-HQ# clear crypto isakmp sa

2. Remova a ACL de tráfego interessante para o túnel IPSec.

ASA-NY-HQ(config)# no access-list outside_20_cryptomap extended permit ip 172.16.40.0

255.255.255.0 10.10.10.0 255.255.255.0

3. Remova a ACL (inside_nat0_outbound), já que o tráfego é excluído da nat.

ASA-NY-HQ(config)# no access-list inside_nat0_outbound extended permit ip 172.16.40.0

255.255.255.0 10.10.10.0 255.255.255.0

4. Limpe a tradução NAT como mostrado

ASA-NY-HQ# clear xlate

5. Quando você modificar a configuração do túnel, remova e reaplique esses comandos de criptografia para obter a configuração mais recente na interface externa

ASA-NY-HQ(config)# crypto map outside_map interface outside

ASA-NY-HQ(config)# crypto isakmp enable outside

6. Salve a configuração ativa na flash "write memory".

7. Siga o mesmo procedimento para a outra extremidade - TN Security Appliance remover as configurações.

8. Inicie o túnel IPSec e verifique a conexão.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

A Output Interpreter Tool ( somente clientes registrados) (OIT) oferece suporte a determinados comandos show. Use a OIT para exibir uma análise da saída do comando show.

- ping inside 172.16.40.20

- show crypto isakmp sa

- show crypto ipsec sa

Troubleshoot

Consulte estes documentos para obter mais informações sobre solução de problemas:

- Soluções de problemas de VPN IPsec

- Entendendo e usando comandos debug

- Troubleshooting de conexões via PIX e ASA

Informações Relacionadas

- Uma introdução à criptografia do protocolo de segurança IP (IPSEC)

- Página do suporte de protocolo do IPsec Negotiation/IKE

- Referência de comando do Security Appliance

- Configurando listas de acesso de IP

- Suporte Técnico e Documentação - Cisco Systems