Criação de túnel redundante entre firewalls usando PDM

Opções de download

PDF (1.3 MB)
Ver no Adobe Reader em vários dispositivos
ePub (1.4 MB)
Ver em vários aplicativos no iPhone, iPad, Android, Sony Reader ou Windows Phone
Mobi (Kindle) (1.6 MB)
Ver no dispositivo Kindle ou no aplicativo Kindle em vários dispositivos

Atualizado:2 de fevereiro de 2006

ID do documento:66166

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

Introduction

Prerequisites

Requirements

Componentes Utilizados

Diagrama de Rede

Conventions

Informações de Apoio

Configuração

Procedimento de configuração

Verificar

Troubleshoot

Informações Relacionadas

Introduction

Este documento descreve o procedimento usado para configurar túneis entre dois firewalls PIX usando o Cisco PIX Device Manager (PDM). Os PIX Firewalls são colocados em dois locais diferentes. Em caso de falha ao alcançar o caminho principal, é desejável lançar o túnel através de um link redundante. O IPsec é uma combinação de padrões abertos que fornece confidencialidade de dados, integridade de dados e autenticação de origem de dados entre pares IPsec.

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

Firewalls Cisco Secure PIX 515E com 6.x e PDM versão 3.0

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Diagrama de Rede

Este documento utiliza a seguinte configuração de rede:

Conventions

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Informações de Apoio

A negociação de IPsec pode ser dividida em cinco etapas e inclui duas fases de Internet Key Exchange (IKE).

Um túnel de IPSec é iniciado por um tráfego interessante. O tráfego é considerado interessante quando ele é transmitido entre os peers IPSec.

Na Fase 1 IKE, os correspondentes IPSec negociam a política de Associação de segurança (SA) IKE estabelecida. Quando os peers são autenticados, um túnel seguro é criado com o uso do Internet Security Association and Key Management Protocol (ISAKMP).

Em IKE Phase 2, os correspondentes de IPSec utilizam o túnel autenticado e seguro para negociar transformações de IPSec AS. A negociação da política compartilhada determina como o túnel de IPSec é estabelecido.

O túnel de IPSec é criado e os dados são transferidos entre peers de IPSec com base nos parâmetros de IPSec configurados em grupos de transformação do IPSec.

O túnel de IPSec finaliza quando os IPSec SAs são excluídos ou quando sua vida útil expira.

Observação: a negociação de IPsec entre os dois PIXes falhará se os SAs em ambas as fases de IKE não coincidirem com os correspondentes.

Configuração

Este procedimento o orienta na configuração de um dos firewalls PIX para disparar o túnel quando houver tráfego interessante. Essa configuração também ajuda a estabelecer o túnel através do link de backup através do roteador 2 (R2), quando não há conectividade entre o PIX-01 e o PIX-02 através do roteador 1 (R1). Este documento mostra a configuração do PIX-01 usando PDM. Você pode configurar PIX-02 em linhas semelhantes.

Este documento pressupõe que você já configurou o roteamento.

Para apenas um link estar ativo por vez, faça com que R2 anuncie uma métrica pior para a rede 192.168.1.0 e para a rede 172.30.0.0. Por exemplo, se você usa o RIP para o roteamento, o R2 tem essa configuração além de outros anúncios de rede:

R2(config)#router rip
R2(config-router)#offset-list 1 out 2 s1 
R2(config-router)#offset-list 2 out 2 e0
R2(config-router)#exit 
R2(config)#access-list 1 permit 172.30.0.0 0.0.255.255
R2(config)#access-list 2 permit 192.168.1.0 0.0.0.255

Procedimento de configuração

Quando você digita https://<Inside_IP_Address_on_PIX> para iniciar o PDM e clicar na guia VPN pela primeira vez, as informações sobre o Assistente automático de VPN são exibidas.

Selecione Assistentes > Assistente de VPN.
O assistente VPN é iniciado e solicita o tipo de VPN que você deseja configurar. Escolha VPN site a site, selecione a interface externa como a interface na qual a VPN será habilitada e clique em Avançar.
Digite o endereço IP do peer, onde o túnel IPsec deve terminar. Neste exemplo, o túnel termina na interface externa do PIX-02. Clique em Next.
Insira os parâmetros da política IKE que você escolhe para usar e clique em Avançar.
Forneça os parâmetros de criptografia e autenticação para o conjunto de transformações e clique em Avançar.
Selecione a rede local e as redes remotas que você precisa proteger usando o IPsec para selecionar o tráfego interessante que você precisa proteger.

Verificar

Se houver tráfego interessante para o peer, o túnel é estabelecido entre PIX-01 e PIX-02.

Para verificar isso, desligue a interface serial R1 para a qual o túnel está estabelecido entre PIX-01 e PIX-02 via R2 quando o tráfego interessante existe.

Visualize o Status da VPN em Home no PDM (realçado em vermelho) para verificar a formação do túnel.

Você também pode verificar a formação de túneis usando CLI em Ferramentas no PDM. Emita o comando show crypto isakmp sa para verificar a formação de túneis e emita o comando show crypto ipsec sa para observar o número de pacotes encapsulados, criptografados e assim por diante.

A Output Interpreter Tool ( somente clientes registrados) (OIT) oferece suporte a determinados comandos show. Use a OIT para exibir uma análise da saída do comando show.

Consulte o Cisco PIX Device Manager 3.0 para obter mais informações sobre a configuração do PIX Firewall usando PDM.