Segurança e VPN : Negociação IPSec/Protocolos IKE

Exemplo de Configuração de Dinâmico para Estático do Roteador para PIX com o NAT

2 Abril 2008 - Tradução Manual
Outras Versões: Versão em PDFpdf | Tradução por Computador (29 Julho 2013) | Inglês (8 Março 2007) | Feedback


Índice

Introdução
Pré-requisitos
     Requisitos
     Componentes Usados
     Convenções
Configurar
     Diagrama de rede
     Configurações
Verificação
Solução de Problemas
     Comandos de Solução de Problemas
Discussões relacionadas da comunidade de suporte da Cisco
Informações Relacionadas

Introdução

Este documento fornece um exemplo de configuração que mostra como habilitar o roteador para aceitar conexões IPSec dinâmicas de um PIX. O roteador remoto executa a Network Address Translation (NAT) se a rede particular 10.0.0.x acessa a Internet. O tráfego de 10.0.0.x para a rede privada 10.1.0.x por trás do PIX é excluído do processo da NAT. O roteador pode iniciar conexões para o PIX, mas a recíproca não é verdadeira.

Pré-requisitos

Requisitos

Não existem requisitos específicos para este documento.

Componentes Usados

As informações neste documento são baseadas nestas versões de hardware e software:

  • Cisco IOS® Software Versão 12.3.(8)T5

  • Cisco PIX Firewall Software Versão 6.3.4

  • Cisco Secure PIX Firewall 515E

  • Router Cisco 2811

As informações apresentadas neste documento foram criadas a partir dos dispositivos em um ambiente de laboratório específico. Todos os dispositivos usados neste documento começaram com uma configuração vazia (padrão). Se a sua rede estiver ativa, certifique-se de entender o impacto potencial de todos os comandos.

Convenções

Consulte Convenções de Dicas Técnicas da Cisco para obter mais informações sobre as convenções de documentos.

Configurar

Nesta seção, você vai conhecer informações para configurar os recursos descritos neste documento.

Observação: Use a Ferramenta de Consulta de Comandos (clientes registrados somente) para encontrar informações adicionais sobre os comandos usados neste documento.

Diagrama de rede

Este documento usa esta configuração de rede:

router-pix-dynm-static-config-1.gif

Configurações

Este documento utiliza estas configurações:

PIX 515E

PIX Version 6.3(4)
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 shut
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 intf2 security4
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname PIX515E
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names


                     !--- A lista de controle de acesso (ACL) para evitar NAT nos pacotes Ipsec.
                  
                  access-list NO-NAT permit ip 10.1.0.0 255.255.255.0 10.0.0.0 255.255.255.0 
                  
                     !--- A ACL para aplicar ao crypto map.
!--- Inclua o tráfego de rede privada a rede privada
!--- no processo de criptografia.
                  
                  access-list 101 permit ip 10.1.0.0 255.255.255.0 10.0.0.0 255.255.255.0
pager lines 24
logging on
mtu outside 1500
mtu inside 1500
mtu intf2 1500
ip address outside 10.95.49.11 255.255.255.0
ip address inside 10.1.0.3 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
no failover
failover timeout 0:00:00
failover poll 15
no failover ip address outside
no failover ip address inside
no failover ip address intf2
pdm history enable
arp timeout 14400
interface global (exterior) 1
nat (interior) 0 access-list NO-NAT
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
route outside 10.0.0.0 255.255.255.0 10.95.49.21 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec

                  
                     !--- Configuração do Ipsec, Fase 2.
                  
                  crypto ipsec transform-set DYN-TS esp-des esp-md5-hmac
crypto map IPSEC 10 ipsec-isakmp
crypto map IPSEC 10 match address 101
crypto map IPSEC 10 set peer 10.95.49.21
crypto map IPSEC 10 set transform-set DYN-TS
crypto map IPSEC interface outside
                  
                     !--- Internet Security Association and Key Management Protocol (ISAKMP)
!--- política, Fase 1.
!--- Observação: Na saída real do comando show run, as chaves pré-compartilhadas aparecem como *******.
                  
                  isakmp enable outside
isakmp key cisco123 address 10.95.49.21 netmask 255.255.255.255
isakmp policy 10 authentication pre-share
isakmp policy 10 encryption des
isakmp policy 10 hash md5
isakmp policy 10 group 1
isakmp policy 10 lifetime 86400

telnet timeout 5
ssh timeout 5
console timeout 0
terminal width 80
Cryptochecksum:f0294298e214a947fc2e03f173e4a405
: end

R2 (Router Cisco 2811)

R2#show running-configuration
Building configuration...

Current configuration : 1916 bytes
!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname r1800
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
!
resource policy
!
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
ip cef
!
!
no ip dhcp use vrf connected
!
!
no ip ips deny-action ips-interface
!
no ftp-server write-enable
!
!

                     !--- ISAKMP política, Fase 1.
                  
                  crypto isakmp policy 10
hash md5
pré associação de autenticação
crypto isakmp key 6 cisco123 address 0.0.0.0 0.0.0.0
!
!

                     !--- IPsec política, Fase 2.
                  
                  crypto ipsec transform-set DYN-TS esp-des esp-md5-hmac
!
crypto dynamic-map DYN 10
set transform-set DYN-TS
match address 101
!
!
crypto map IPSEC 10 ipsec-isakmp dynamic DYN
!
!
!
interface FastEthernet0/0
ip address 10.95.49.21 255.255.255.0
ip nat outside
ip virtual-reassembly
load-interval 30
duplex auto
speed auto
crypto map IPSEC
!
interface FastEthernet0/1
ip address 10.0.0.1 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
!
ip classless
ip route 10.1.0.0 255.255.255.0 10.95.49.11
!
ip http server
no ip http secure-server

                     !--- Exclua a rede privada do processo NAT.
                  
                  ip nat inside source list 102 interface FastEthernet0/0 overload
!

                     !--- Inclua o tráfego de rede privada para rede privada
!--- no processo de cripotografia.
                  
                  access-list 101 permit ip 10.0.0.0 0.0.0.255 10.1.0.0 0.0.0.255

                  
                     !--- Exclua a rede privada do processo NAT.
                  
                  access-list 102 deny ip 10.0.0.0 0.0.0.255 10.1.0.0 0.0.0.255
access-list 102 permit ip 10.0.0.0 0.0.0.255 any
!
!
control-plane
!
!
line con 0
exec-timeout 0 0
line aux 0
line vty 0 4
exec-timeout 0 0
login
!
end

Verificação

Utilize esta seção para confirmar se a sua configuração está funcionando corretamente.

A Output Interpreter Tool (clientes registrados somente) (OIT) é compatível com alguns show comandos. Use a OIT para visualizar uma análise da saída do comando show.

  • show crypto isakmp sa - Mostra todas as associações de segurança (SAs) IKE atuais em um par.

  • show crypto ipsec sa - Mostra as configurações usadas pelas SAs (IPSec) atuais.

  • show crypto engine connections active - Mostra as conexões e informações atuais relativas aos pacotes criptografados e descriptografados (apenas roteador).

Você deve limpar as SAs nos dois pares.

Execute esses comandos do PIX no modo config.

  • clear crypto isakmp sa - Limpa as SAs da Fase 1.

  • clear crypto ipsec sa - Limpa as SAs da Fase 2.

Execute esses comandos do roteador no modo habilitar.

  • clear crypto isakmp - Limpa as SAs da Fase 1.

  • clear crypto sa - Limpa as SAs da Fase 2.

Solução de Problemas

Use esta seção para solucionar problemas de configuração.

Comandos de Solução de Problemas

A Output Interpreter Tool (clientes registrados somente) (OIT) é compatível com alguns show comandos. Use a OIT para visualizar uma análise da saída de comando show.

Observação: Consulte Informações Importantes sobre Comandos de Depuração antes de utilizar os comandos debug.

  • show crypto isakmp sa - Visualize todas as SAs IKE em um correspondente.

  • show crypto ipsec sa - Mostra as configurações usadas pelas SAs (IPSec) atuais.

  • show crypto engine connections active - Mostra as conexões e informações atuais relativas aos pacotes criptografados e descriptografados (apenas roteador).

Discussões relacionadas da comunidade de suporte da Cisco

A Comunidade de Suporte da Cisco é um fórum onde você pode perguntar e responder, oferecer sugestões e colaborar com colegas.


Informações Relacionadas


Document ID: 66173