Exemple de configuration de routeur Cisco en tant que serveur VPN distant à l'aide de SDM

Introduction

Ce document décrit comment utiliser Cisco Security Device Manager (SDM) pour configurer le routeur Cisco en tant que serveur Easy VPN. Cisco SDM vous permet de configurer votre routeur comme un serveur VPN pour le Client VPN Cisco à l'aide d'une interface de gestion basée sur le Web facile à utiliser. Une fois que la configuration du routeur Cisco est terminée, elle peut être vérifiée à l'aide du Client VPN Cisco.

Conditions préalables

Conditions requises

Ce document suppose que le routeur Cisco est complètement opérationnel et configuré pour permettre au Cisco SDM d'apporter des modifications de configuration.

Remarque: Référez-vous à Permettre l'accès HTTPS pour SDM afin de permettre au routeur d'être configuré par SDM.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Routeur Cisco 3640 avec logiciel Cisco IOS® version 12.3(14T)

• Security Device Manager v2.31

• Client VPN Cisco v4.8

Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Configurez

Dans cette section vous sont présentées les informations pour configurer la fonction serveur Easy VPN qui permet à un utilisateur final distant de communiquer à l'aide de IPsec avec n'importe quelle passerelle Cisco IOS® VPN.

Remarque: Utilisez l'outil Command Lookup Tool (clients enregistrés seulement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

Diagramme du réseau

Ce document utilise la configuration réseau suivante :

Procédure de configuration

Complétez ces étapes afin de configurer le routeur Cisco comme un serveur VPN distant à l'aide de SDM :

1. Sélectionnez Configure > VPN > Easy VPN Server dans la fenêtre d'accueil et cliquez sur Launch Easy VPN Server Wizard.

   

2. AAA doit être activé sur le routeur avant que la configuration du serveur Easy VPN ne démarre. Cliquez sur Yes pour poursuivre la configuration.

   Le message « AAA has been successfully enabled on the router » (activation AAA réussie sur le routeur) s'affiche. Cliquez sur OK pour commencer la configuration du serveur Easy VPN.

   

3. Cliquez sur Next to pour démarrer l'assistant Easy VPN Server.

   

4. Sélectionnez l'interface sur laquelle les connexions du client se terminent et le type d'authentification.

   

5. Cliquez sur Next to pour configurer les stratégies d'Échange de clés Internet (IKE) et utilisez le bouton Add pour créer la nouvelle stratégie.

   Les configurations des deux côtés du tunnel doivent correspondre exactement. Cependant, le Client VPN Cisco sélectionne automatiquement la configuration appropriée pour lui-même. Par conséquent, aucun configuration d´IKE n'est nécessaire sur le PC Client.

   

6. Cliquez sur Next pour choisir le jeu de transformations par défaut ou pour ajouter le nouveau jeu de transformations pour spécifier l'algorithme de cryptage et d'authentification. Dans ce cas, le jeu de transformations par défaut est utilisé.

   

7. Cliquez sur Next pour créer une nouvelle liste de méthodes de réseau d'autorisation AAA (authentification, autorisation et traçabilité) pour la recherche de stratégie de groupe ou pour choisir une liste de méthodes de réseau existant utilisée pour l'autorisation de groupe.

   

8. Configurez l'authentification des utilisateurs sur le serveur Easy VPN.

   Vous pouvez enregistrer les détails d'authentification des utilisateurs sur un serveur externe tel qu'un serveur RADIUS ou une base de données locale ou sur chacun des deux. Une liste de méthodes d'authentification de connexion AAA est utilisée pour décider de l'ordre dans lequel les détails d'authentification des utilisateurs devraient être recherchés.

   

9. Cette fenêtre vous permet d'ajouter, de modifier, de cloner ou de supprimer les stratégies de groupe d'utilisateurs sur la base de données locale.

   

10. Écrivez un nom pour le nom du groupe tunnel. Fournissez la clé pré-partagée utilisée pour les informations d'authentification.

    Créez un nouveau pool ou sélectionnez un pool existant utilisé pour allouer les adresses IP aux clients VPN.

    

11. Cette fenêtre montre un résumé des actions que vous avez prises. Cliquez sur Finish si vous êtes satisfait de votre configuration.

    

12. Le SDM envoie la configuration au routeur pour mettre à jour la configuration en cours. Cliquez sur OK pour terminer.

    

13. Une fois terminé, vous pouvez changer et modifier les modifications de la configuration, si nécessaire.

    

    Configuration du routeur (serveur VPN)

    Building configuration... Current configuration : 3336 bytes ! version 12.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname Router ! boot-start-marker boot-end-marker ! enable password cisco ! aaa new-model ! !--- In order to set AAA authentication at login, use the aaa authentication login !--- command in global configuration mode . aaa authentication login default local !--- Here, list name "sdm_vpn_xauth_ml_1" is specified for !--- the authentication of the clients. aaa authentication login sdm_vpn_xauth_ml_1 local aaa authorization exec default local aaa authorization network sdm_vpn_group_ml_1 local ! aaa session-id common ! resource policy ! ! ! ip cef ! ! ! ! !--- The RSA certificate generates after the !--- ip http secure-server command is enabled. crypto pki trustpoint TP-self-signed-392370502 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-392370502 revocation-check none rsakeypair TP-self-signed-392370502 ! ! crypto pki certificate chain TP-self-signed-392370502 certificate self-signed 01 3082023C 308201A5 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 30312E30 2C060355 04031325 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 33393233 37303530 32301E17 0D303530 39323130 30323135 375A170D 32303031 30313030 30303030 5A303031 2E302C06 03550403 1325494F 532D5365 6C662D53 69676E65 642D4365 72746966 69636174 652D3339 32333730 35303230 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100 ED61BD43 0AD90559 2C7D7DB1 BB3147AA 784F3B46 9E63E63C 5CD61976 6BC46596 DB1AEB44 46644B18 8A890604 489B0447 B4B5C702 98272464 FFFD5511 A4BA79EC 239BCEA2 823F94EE 438B2E0A 5D90E9ED 8158BC8D 04F67C21 AEE1DB6F 046A0EF3 4C8798BE 0A171421 3FD5A690 7C735751 E7C58AA3 FB4CCE4F 5930212D 90EB4A33 02030100 01A36630 64300F06 03551D13 0101FF04 05300301 01FF3011 0603551D 11040A30 08820652 6F757465 72301F06 03551D23 04183016 8014B278 183F02DF 5000A124 124FEF08 8B704656 15CD301D 0603551D 0E041604 14B27818 3F02DF50 00A12412 4FEF088B 70465615 CD300D06 092A8648 86F70D01 01040500 03818100 C12AB266 0E85DAF6 264AC86F 27761351 E31DF628 BE7792B2 991725ED AAB3BABE B1F1C6CA 7E5C0D19 B9793439 E5AECC78 C5ECBE56 871EB4D3 39B60AD1 AB0B97FE 515B4CC6 81BEE802 DC02BD1B A0D10EE9 0FD79D72 B44C0143 6E39C06B D9178590 57D02A8F 750DA100 ABEEB1F1 B02A8B1F B746942B 892D1514 B2CC9D58 A28F08E2 quit ! ! ! ! ! ! ! ! ! ! !--- Creates a user account with all privileges. username sdmsdm privilege 15 password 0 sdmsdm ! ! !--- Creates an isakmp policy 1 with parameters like !--- 3des encryption, pre-share key authentication, and DH group 2. crypto isakmp policy 1 encr 3des authentication pre-share group 2 crypto isakmp client configuration group vpn !--- Defines the pre-shared key as sdmsdm. key sdmsdm pool SDM_POOL_1 netmask 255.255.255.0 ! !--- Defines transform set parameters. crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac ! crypto dynamic-map SDM_DYNMAP_1 1 set transform-set ESP-3DES-SHA reverse-route ! !--- Specifies the crypto map parameters. crypto map SDM_CMAP_1 client authentication list sdm_vpn_xauth_ml_1 crypto map SDM_CMAP_1 isakmp authorization list sdm_vpn_group_ml_1 crypto map SDM_CMAP_1 client configuration address respond crypto map SDM_CMAP_1 65535 ipsec-isakmp dynamic SDM_DYNMAP_1 ! ! ! ! interface Ethernet0/0 no ip address shutdown half-duplex ! interface FastEthernet1/0 ip address 10.77.241.157 255.255.255.192 duplex auto speed auto ! interface Serial2/0 ip address 10.1.1.1 255.255.255.0 no fair-queue !--- Applies the crypto map SDM_CMAP1 to the interface. crypto map SDM_CMAP_1 ! interface Serial2/1 no ip address shutdown ! interface Serial2/2 no ip address shutdown ! interface Serial2/3 no ip address shutdown !--- Creates a local pool named SDM_POOL_1 for issuing IP !--- addresses to clients. ip local pool SDM_POOL_1 192.168.2.1 192.168.2.5 !--- Commands for enabling http and https required to launch SDM. ip http server ip http secure-server ! ! ! ! ! control-plane ! ! ! ! ! ! ! ! ! ! line con 0 line aux 0 line vty 0 4 password cisco ! ! end

Vérifiez

Essayez de vous connecter au routeur Cisco à l'aide de Client VPN Cisco afin de vérifier que le routeur Cisco est correctement configuré.

1. Sélectionnez Connection Entries > New.

   

2. Complétez les détails de votre nouvelle connexion.

   Le champ Host doit contenir l'adresse IP ou le nom d'hôte du point d'extrémité du tunnel du serveur Easy VPN (routeur Cisco). Les informations d'authentification de groupe doivent correspondre à celles utilisées à l'étape 9. Cliquez sur Save quand vous avez terminé.

   

3. Sélectionnez la connexion nouvellement créée et cliquez sur Connect.

   

4. Saisissez un nom d'utilisateur et un mot de passe pour une authentification étendue (Xauth). Ces informations sont déterminées par les paramètres Xauth à l'étape 7.

   

5. Une fois que la connexion est établie avec succès, sélectionnez Statistics dans le menu Status pour vérifier les données du tunnel.

   Cette fenêtre montre les informations de trafic et de cryptage :

   

   Cette fenêtre montre les informations split tunneling si celles-ci sont configurées :

   

6. Sélectionnez Log > Log Settings pour activer les niveaux de log dans le client VPN Cisco.

   

7. Sélectionnez Log > Log Windows pour afficher les entrées de journal dans le client VPN Cisco.

   

Informations connexes

• Téléchargement et installation du routeur Cisco et de Security Device Manager
• Cisco VPN Client Support Page
• Négociation IPSec/Protocoles IKE
• Support et documentation techniques - Cisco Systems