Configurar o Anyconnect VPN para FTD via IKEv2 com ISE

Introdução

Este documento descreve a configuração básica da VPN de acesso remoto com autenticação IKEv2 e ISE no FTD gerenciado pelo FMC.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• VPN básica, TLS e Internet Key Exchange versão 2 (IKEv2)
• Autenticação, Autorização e Tarifação Básicas (AAA - Basic Authentication, Authorization, and Accounting) e RADIUS 
• Experiência com o Firepower Management Center (FMC)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software:

• Defesa contra ameaças do Cisco Firepower (FTD) 7.2.0
• Cisco FMC 7.2.0
• AnyConnect 4.10.07073
• Cisco ISE 3.1

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

IKEv2 e Secure Sockets Layer (SSL) são protocolos usados para estabelecer conexões seguras, particularmente no contexto de VPNs. O IKEv2 fornece métodos de criptografia e autenticação fortes, oferecendo um alto nível de segurança para conexões VPN.

Este documento fornece um exemplo de configuração para FTD versão 7.2.0 e posterior, que permite VPN de acesso remoto para usar Transport Layer Security (TLS) e IKEv2. Como um cliente, o Cisco AnyConnect pode ser usado, que é suportado em várias plataformas.

Configurar

1. Importar o Certificado SSL

Os certificados são essenciais quando o AnyConnect é configurado.

Há limitações para o registro manual de certificados:
1. No FTD, é necessário um certificado de Autoridade de Certificação (CA) antes de gerar uma CSR (Certificate Signing Request, Solicitação de Assinatura de Certificado).
2. Se o CSR for gerado externamente, um método diferente de PKCS12 será usado.

Há vários métodos para obter um certificado no dispositivo FTD, mas o seguro e fácil é criar um CSR e obtê-lo assinado por uma CA. Veja como fazer isso:

1. Navegue atéObjects > Object Management > PKI > Cert Enrollmente clique emAdd Cert Enrollment.
2. Informe o nomeRAVPN-SSL-certdo ponto confiável .

3. NaCA Informationguia, escolha Tipo de inscrição comoManuale cole o certificado CA como mostrado na imagem.

Certificado FMC - CA

4. EmCertificate Parameters, informe o nome do assunto. Por exemplo:

FMC - Parâmetros do certificado

5. NaKey guia, escolha o tipo de chave e forneça um nome e um tamanho de bit. Para RSA, 2048 bits é o mínimo.

6. Clique emSave.

FMC - Chave de certificado

7. Navegue atéDevices > Certificates > Add > New Certificate.

8. EscolhaDevice. EmCert Enrollment, escolha o ponto de confiança criado e cliqueAddcomo mostrado na imagem.

FMC - Inscrição de Certificado no FTD

9. Clique emIDe um prompt para gerar CSR será exibido. EscolhaYes.

FMC - Certificado CA registrado

FMC - Gerar CSR

10. É gerada uma CSR que pode ser compartilhada com a CA para obter o certificado de identidade.

11. Depois de receber o certificado de identidade da CA no formato base64, escolha-o no disco clicando emBrowse Identity CertificateImporte conforme mostrado na imagem.

FMC - Certificado de identidade de importação

12. Quando a importação for bem-sucedida, o ponto de confiançaRAVPN-SSL-certserá visto como:

FMC - Registro de Trustpoint Bem-sucedido

2. Configurar o Servidor RADIUS

2.1. Gestão do FTD no CVP

1. Navegue atéObjects > Object Management > RADIUS Server Group > Add RADIUS Server Group.

2. Insira o nomeISEe adicione Servidores RADIUS clicando em+.

FMC - Configuração do servidor Radius

3. Mencione o endereço IP do servidor ISE Radius junto com o segredo compartilhado (chave) que é o mesmo do servidor ISE.

4. EscolhaRouting ouSpecific Interfaceatravés do qual o FTD se comunica com o servidor ISE.

5. CliqueSave  conforme mostrado na imagem.

FMC - Servidor ISE

 6. Uma vez salvo, o Servidor é adicionado sob oRADIUS Server Group  como mostrado na imagem.

FMC - Grupo de servidores RADIUS

2.2. Gestão do DTF no ISE

1. Navegue atéNetwork Devices  e clique emAdd.

2. Insira o Nome 'Cisco-Radius' do servidor eIP Addressdo cliente radius que é a interface de comunicação do FTD.

3. EmRadius Authentication Settings, adicione oShared Secret.

4. Clique emSave.

ISE - Dispositivos de rede

5. Para criar usuários, navegue atéNetwork Access > Identities > Network Access Userse clique em Add.

6. Crie um NomedeUsuário eSenha de Logon conforme necessário.

ISE - Usuários

7. Para configurar a política básica, navegue atéPolicy > Policy Sets > Default > Authentication Policy > Default, escolhaAll_User_ID_Stores.

8. Navegue atéPolicy > Policy Sets > Default > Authorization Policy > Basic_Authenticated_Access, e escolhaPermitAccesscomo mostrado na imagem.

ISE - Política de autenticação

ISE - Política de autorização

3. Criar um pool de endereços para usuários de VPN no FMC

1. Navegue atéObjects > Object Management > Address Pools > Add IPv4 Pools.
2. Informe o nomeRAVPN-Poole a Faixa de Endereços, a máscara é opcional.
3. Clique em Salvar.

FMC - Pool de endereços

4. Carregar imagens do AnyConnect

1. Navegue atéObjects > Object Management > VPN > AnyConnect File > Add AnyConnect File.
2. Insira o nomeanyconnect-win-4.10.07073-webdeploye cliqueBrowse para escolher o arquivo Anyconnect do disco, clique em Save como mostrado na imagem.

FMC - Imagem do Anyconnect Client

5. Criar Perfil XML

5.1. Sobre o Editor de perfis

1. Faça o download do Editor de perfis nosoftware.cisco.come abra-o.
2. Navegue até Server List > Add...

3. Informe o Nome para ExibiçãoRAVPN-IKEV2eFQDNjuntamente com o Grupo de Usuários (nome do alias).

4. Escolha o protocolo primário conforme IPsec , clica  Ok  conforme mostrado na imagem.

Editor de perfis - Lista de servidores

5. A Lista de Servidores é adicionada. Salve-o comoClientProfile.xml.

Editor de perfis - ClientProfile.xml

5.2. No CVP

1. Navegue atéObjects > Object Management > VPN > AnyConnect File > Add AnyConnect File.
2. Insira um NomeClientProfilee cliqueBrowse para escolherClientProfile.xmlarquivo do disco.
3. Clique em  Save .

FMC - Perfil de VPN do Anyconnect

6. Configurar Acesso Remoto

1. Navegue atéDevices > VPN > Remote Accesse clique em+para adicionar um Perfil de Conexão conforme mostrado na imagem.

FMC - Remote Access Connection Profile (Perfil de conexão de acesso remoto)

2. Informe o nomeRAVPN-IKEV2do perfil de conexão e crie uma política de grupo clicando em  +como  Group Policymostrado na imagem.

FMC - Política de grupo

3. Insira o nomeRAVPN-group-policye escolha os protocolos VPN  SSL and IPsec-IKEv2  conforme mostrado na imagem.

FMC - Protocolos VPN

4. EmAnyConnect > Profile, escolha o perfil XMLClientProfileno menu suspenso e clique emSaveconforme mostrado na imagem.

FMC - Perfil do Anyconnect

5. Adicione o PoolRAVPN-Poolde Endereços clicando em+ as shown in the image.

FMC - Atribuição de endereço de cliente

6. Navegue atéAAA > Authentication Methode escolhaAAA Only.

7. EscolhaAuthentication ServercomoISE (RADIUS).

FMC - Autenticação AAA

8. Navegue atéAliases , insira um Nome de AliasRAVPN-IKEV2, que é usado como um grupo de usuários noClientProfile.xml.

9. Clique emSave.

FMC - Alcunhas

10. Navegue atéAccess Interfacese escolha a interface onde RAVPN IKEv2 deve ser habilitado.

11. Escolha o certificado de identidade para SSL e IKEv2.

12. Clique emSave.

FMC - Interfaces de acesso

13. Navegue até Advanced .

14. Adicione as imagens do Anyconnect Client clicando em+.

FMC - Pacote do cliente Anyconnect

15. EmIPsec, adicione oCrypto Mapscomo mostrado na imagem.

FMC - Mapas de criptografia

16. EmIPsec , adicione oIKE Policy clicando em+.

FMC - Política IKE

17. EmIPsec , adicione oIPsec/IKEv2 Parameters.

FMC - Parâmetros IPsec/IKEv2

18. EmConnection Profile, é criado um novo perfilRAVPN-IKEV2.

19.SaveClickas mostrado na imagem.

FMC - Perfil de conexão RAVPN-IKEV2

20. Implante a configuração.

FMC - Implantação do FTD

7. Configuração do perfil do Anyconnect

Perfil no PC, salvo em  C:\ProgramData\Cisco\Cisco Anyconnect Secure Mobility Client\Profile .

<?xml version="1.0" encoding="UTF-8"?>
<AnyConnectProfile xmlns="http://schemas[dot]xmlsoap<dot>org/encoding/" xmlns:xsi="http://www[dot]w3<dot>org/2001/XMLSchema-instance" xsi:schemaLocation="http://schemas[dot]xmlsoap[dot]org/encoding/ AnyConnectProfile.xsd">
   <ClientInitialization>
	  <UseStartBeforeLogon UserControllable="true">false</UseStartBeforeLogon>
	  <AutomaticCertSelection UserControllable="true">false
      </AutomaticCertSelection>
	  <ShowPreConnectMessage>false</ShowPreConnectMessage>
	  <CertificateStore>All</CertificateStore>
	  <CertificateStoreOverride>false</CertificateStoreOverride>
	  <ProxySettings>Native</ProxySettings>
	  <AllowLocalProxyConnections>true</AllowLocalProxyConnections>
	  <AuthenticationTimeout>12</AuthenticationTimeout>
	  <AutoConnectOnStart UserControllable="true">false</AutoConnectOnStart>
	  <MinimizeOnConnect UserControllable="true">true</MinimizeOnConnect>
	  <LocalLanAccess UserControllable="true">false</LocalLanAccess>
	  <ClearSmartcardPin UserControllable="true">true</ClearSmartcardPin>
	  <AutoReconnect UserControllable="false">true
		 <AutoReconnectBehavior UserControllable="false">DisconnectOnSuspend 
 		  </AutoReconnectBehavior>
	  </AutoReconnect>
	  <AutoUpdate UserControllable="false">true</AutoUpdate>
	  <RSASecurIDIntegration UserControllable="true">Automatic
      </RSASecurIDIntegration>
	  <WindowsLogonEnforcement>SingleLocalLogon</WindowsLogonEnforcement>
	  <WindowsVPNEstablishment>LocalUsersOnly</WindowsVPNEstablishment>
	  <AutomaticVPNPolicy>false</AutomaticVPNPolicy>
	  <PPPExclusion UserControllable="false">Disable
		 <PPPExclusionServerIP UserControllable="false"></PPPExclusionServerIP>
	  </PPPExclusion>
	  <EnableScripting UserControllable="false">false</EnableScripting>
	  <EnableAutomaticServerSelection UserControllable="false">false
		 <AutoServerSelectionImprovement>20</AutoServerSelectionImprovement>
		 <AutoServerSelectionSuspendTime>4</AutoServerSelectionSuspendTime>
	  </EnableAutomaticServerSelection>
	  <RetainVpnOnLogoff>false
	  </RetainVpnOnLogoff>
	</ClientInitialization>
	<ServerList>
		<HostEntry>
			
    
    
      RAVPN-IKEV2 
    
			
    
    
      ftd.cisco.com 
    
			
    
    
      RAVPN-IKEV2 
    
		        
    
    
      IPsec 
    
		</HostEntry>
	</ServerList>
</AnyConnectProfile>

Verificar

Você pode usar esta seção para confirmar se sua configuração funciona corretamente.

1. Para a primeira conexão, use o FQDN/IP para estabelecer uma conexão SSL do PC do usuário através do Anyconnect.
2. Se o protocolo SSL estiver desativado e a etapa anterior não puder ser executada, certifique-se de que o perfil do clienteClientProfile.xmlesteja presente no PC no caminhoC:\ProgramData\Cisco\Cisco Anyconnect Secure Mobility Client\Profile.
3. Informe o nome de usuário e a senha para a autenticação quando solicitado.
4. Após a autenticação bem-sucedida, o perfil do cliente é baixado no PC do usuário.
5. Desconecte do Anyconnect.
6. Depois que o Perfil for baixado, use a lista suspensa para escolher o nome de host mencionado no perfil do cliente  RAVPN-IKEV2  para se conectar ao Anyconnect usando IKEv2/IPsec.
7. Clique emConnect.

Menu suspenso do Anyconnect

8. Insira o nome de usuário e a senha para a autenticação criada no servidor ISE.

Conexão do Anyconnect

9. Verifique se o Perfil e o Protocolo (IKEv2/IPsec) usados foram conectados.

Anyconnect conectado

Saídas CLI de FTD:

firepower# show vpn-sessiondb detail anyconnect 

Session Type: AnyConnect

Username : ikev2-user                    Index        : 9
Assigned IP  : 10.1.1.1                  Public IP    : 10.106.55.22
Protocol     : IKEv2 IPsecOverNatT AnyConnect-Parent
License      : AnyConnect Premium
Encryption   : IKEv2: (1)AES256 IPsecOverNatT: (1)AES-GCM-256 AnyConnect-Parent: (1)none
Hashing      : IKEv2: (1)SHA512 IPsecOverNatT: (1)none AnyConnect-Parent: (1)none
Bytes Tx     : 450                         Bytes Rx     : 656
Pkts Tx      : 6                           Pkts Rx      : 8
Pkts Tx Drop : 0                           Pkts Rx Drop : 0
Group Policy : RAVPN-group-policy          Tunnel Group : RAVPN-IKEV2
Login Time   : 07:14:08 UTC Thu Jan 4 2024
Duration     : 0h:00m:08s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                          VLAN         : none
Audt Sess ID : 0ac5e205000090006596618c
Security Grp : none                         Tunnel Zone  : 0

IKEv2 Tunnels: 1
IPsecOverNatT Tunnels: 1
AnyConnect-Parent Tunnels: 1

AnyConnect-Parent:
Tunnel ID    : 9.1
Public IP    : 10.106.55.22
Encryption.  : none.                           Hashing     : none 

Auth Mode    : userPassword 
Idle Time out: 30 Minutes                      Idle TO Left : 29 Minutes 
Client OS    : win 
Client OS Ver: 10.0.15063 
Client Type  : AnyConnect 
Client Ver   : 4.10.07073 

IKEv2:
Tunnel ID : 9.2
UDP Src Port : 65220                            UDP Dst Port : 4500
Rem Auth Mode: userPassword
Loc Auth Mode: rsaCertificate
Encryption   : AES256                            Hashing      : SHA512
Rekey Int (T): 86400 Seconds                     Rekey Left(T): 86391 Seconds
PRF : SHA512                                     D/H Group    : 19
Filter Name  : 
Client OS    : Windows Client                    Type         : AnyConnect 

IPsecOverNatT:
Tunnel ID    : 9.3
Local Addr   : 0.0.0.0/0.0.0.0/0/0
Remote Addr  : 10.1.1.1/255.255.255.255/0/0
Encryption   : AES-GCM-256                       Hashing       : none 
Encapsulation: Tunnel 
Rekey Int (T): 28800 Seconds                     Rekey Left(T) : 28791 Seconds 
Idle Time Out: 30 Minutes                        Idle TO Left  : 29 Minutes 
Bytes Tx     : 450 Bytes                         Rx            : 656 
Pkts Tx      : 6                                 Pkts Rx       : 8 



firepower# show crypto ikev2 sa 

IKEv2 SAs:

Session-id:6, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                         Remote                                           fvrf/ivrf            Status     Role
16530741  10.197.167.5/4500             10.106.55.22/65220                                                    READY      RESPONDER
Encr: AES-CBC, keysize: 256, Hash: SHA512, DH Grp:19, Auth sign: RSA, Auth verify: EAP
Life/Active Time: 86400/17 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 10.1.1.1/0 - 10.1.1.1/65535
ESP spi in/out: 0x6f7efd61/0xded2cbc8 


firepower# show crypto ipsec sa 

interface: Outside
    Crypto map tag: CSM_Outside_map_dynamic, seq num: 30000, local addr: 10.197.167.5
    
      Protected vrf: 
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (10.1.1.1/255.255.255.255/0/0)
      current_peer: 10.106.55.22, username: ikev2-user
      dynamic allocated peer ip: 10.1.1.1
      dynamic allocated peer ip(ipv6): 0.0.0.0
     
      #pkts encaps: 6, #pkts encrypt: 6, #pkts digest: 6
      #pkts decaps: 8, #pkts decrypt: 8, #pkts verify: 8
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #TFC rcvd: 0, #TFC sent: 0
      #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
      #send errors: 0, #recv errors: 0

      local crypto endpt.: 10.197.167.5/4500, remote crypto endpt.: 10.106.55.22/65220
      path mtu 1468, ipsec overhead 62(44), media mtu 1500
      PMTU time remaining (sec): 0, DF policy: copy-df
      ICMP error validation: disabled, TFC packets: disabled
      current outbound spi: DED2CBC8
      current inbound spi : 6F7EFD61

  inbound esp sas:
     spi: 0x6F7EFD61 (1870593377)
     SA State: active
     transform: esp-aes-gcm-256 esp-null-hmac no compression 
     in use settings ={RA, Tunnel, NAT-T-Encaps, IKEv2, }
     slot: 0, conn_id: 9, crypto-map: CSM_Outside_map_dynamic
     sa timing: remaining key lifetime (sec): 28723
     IV size: 8 bytes
     replay detection support: Y
     Anti replay bitmap: 
     0x00000000 0x000001FF

  outbound esp sas:
    spi: 0xDED2CBC8 (3738356680)
    SA State: active
    transform: esp-aes-gcm-256 esp-null-hmac no compression 
    in use settings ={RA, Tunnel, NAT-T-Encaps, IKEv2, }
    slot: 0, conn_id: 9, crypto-map: CSM_Outside_map_dynamic
    sa timing: remaining key lifetime (sec): 28723
    IV size: 8 bytes
    replay detection support: Y
    Anti replay bitmap: 
    0x00000000 0x00000001

Logs ISE:

ISE - Registros ao vivo

Troubleshooting

Esta seção disponibiliza informações para a solução de problemas de configuração.

debug radius all
debug crypto ikev2 platform 255
debug crypto ikev2 protocol 255
debug crypto ipsec 255