Konfigurieren von Site-to-Site-VPN auf FMC-verwaltetem FTD

Einleitung

In diesem Dokument wird die Konfiguration eines statischen, routenbasierten Site-to-Site-VPN-Tunnels auf dem von FMC verwalteten Cisco Secure FTD beschrieben.

---

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Navigation der FMC-Weboberfläche (Geräte, Richtlinien, Bereitstellung)
• Grundlegender IPsec-Site-to-Site-VPN-Betrieb (IKE Phase 1/2, Tunnelaufbau)
• Statisches Routing auf FTD (optional BGP/OSPF/EIGRP für dynamische Routing-basierte Designs)

---

Verwendete Komponenten

Das routenbasierte VPN verwendet Virtual Tunnel Interfaces (VTIs) und Routing (statisch oder dynamisch) anstelle von Krypto-ACLs, um festzustellen, welcher Datenverkehr verschlüsselt wird. Dieses Dokument behandelt statisches VTI (SVTI) Point-to-Point- oder Extranet-Peering. Informationen zu skalierbaren "Hub-and-Spoke"-Designs finden Sie im Abschnitt zum dynamischen VTI (DVTI) in den entsprechenden Dokumenten am Ende dieses Artikels.

---

In Beispielen verwendete Laborversionen: 

Komponente	Version
Cisco Secure Firewall Management Center	7.4 oder höher (Beispiele kompatibel mit 7.6)
Cisco Secure Firewall - Schutz vor Bedrohungen	7.4 oder höher (Beispiele kompatibel mit 7.6)

---

Static VTI Route-Based VPN wurde auf FTD 6.7 eingeführt. DVTI, erweiterte Routing-Protokoll-Unterstützung IPv6 VTI und höher, und VTI-Skalierung erfordert FTD 7.3+ / FMC 7.3+. Versionsspezifische Unterschiede werden im Abschnitt "Einschränkungen und Einschränkungen" beschrieben.

---

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

---

Hintergrundinformationen

Routenbasiertes VPN (VTI-basiert) verschlüsselt den Datenverkehr, der an die Tunnelschnittstelle weitergeleitet wird. Anders als richtlinienbasiertes (Crypto-Map) VPN wird eindeutiger Datenverkehr von der ACL am Headend nicht ausgewählt. Stattdessen leitet die Routing-Tabelle den Datenverkehr an den VTI weiter. Für statische VTIs sind IPsec-Datenverkehrsselektoren quasi Any-to-Any (0.0.0.0/0.0.0.0 für IPv4). Jedes an die Tunnelschnittstelle geroutete Paket wird unabhängig vom Quell-/Ziel-Subnetz verschlüsselt und unterliegt der Zugriffskontrolle und dem Routing auf dem Peer.

---

Das richtlinienbasierte VPN verwendet weiterhin explizite Proxy-IDs/Crypto-ACLs. Routenbasiertes VPN wird bevorzugt für:

• Dynamisches Routing (BGP, OSPF, EIGRP) über den Tunnel
• Cloud-Verbindung (AWS, Azure, GCP)
• Vereinfachtes Domain-Management für Verschlüsselung
• Migration von älteren Crypto-Map-Designs

---

Statische und dynamische VTI

Typ	Anwendungsfall	FTD-Mindestwert
Statische VTI (SVTI)	Point-to-Point, Extranet-Peer, Spoke in Hub-and-Spoke	6.7
Dynamische VTI (DVTI)	Hub mit vielen Stationen (eine virtuelle Vorlage auf dem Hub)	7.3

Dieses Dokument beschreibt Schritt für Schritt den SVTI. Informationen zu DVTI Hub-and-Spoke mit Multi-SA finden Sie unter Konfigurieren von DVTI mit Multi-SA auf einer sicheren Firewall (Dokument-ID: 220322).

---

Einschränkungen und Einschränkungen

Sehen Sie sich die aktuellen Plattformbeschränkungen im FMC Device Configuration Guide — Site-to-Site VPN / VTI Guidelines für Ihre FMC-Version an. Die Zusammenfassung im nächsten Abschnitt enthält FMC/FTD 7.4-7.6, sofern nicht anders angegeben.

---

Allgemeine VTI-Einschränkungen (FTD)

Einschränkung	Details
Tunnelmodus	Nur IPsec. GRE over VTI wird auf FTD nicht unterstützt.
Firewall-Modus	VTI wird nur im Routing-Modus unterstützt.
Clustering	VTI wird in FTD-Cluster-Bereitstellungen nicht unterstützt.
HA (Aktiv/Standby)	Static VTI wird in FTD HA (High Availability)-Paaren unterstützt. Dynamisches Routing über VTI in HA: Es ist möglich, dass der Standby-Modus Subnetze nicht über VTI-Tunnel erreicht, die mit der aktiven Geräte-IP erstellt wurden (Routing entsprechend planen). Für >400 VTIs in HA die Haltezeit auf 45 Sekunden einstellen.
Skalierung	Bis zu 1.024 statische und dynamische VTIs pro Gerät (7.x). In der ursprünglichen 6.7-Dokumentation wurden 100 VTIs pro Schnittstelle angegeben. beträgt derzeit 1024 pro Gerät. Überprüfen Sie dies hinsichtlich Ihrer Plattform und Version.
IPsec-Profile	Maximal 20 eindeutige IPsec-Profile (statisches VTI).
sysopt-Verbindung permit-vpn	Gilt nicht für routenbasiertes VPN. Sie müssen Zugriffskontrollrichtlinien (ACP)-Regeln für den entschlüsselten Datenverkehr in beide Richtungen konfigurieren.
Plattformeinstellungen	VTI-Tunnelschnittstellen werden für die Auswahl von SNMP oder Syslog in den Plattformeinstellungen nicht unterstützt.
Remote Access-VPN	Eine VTI-Schnittstelle kann nicht als Netzwerkschnittstelle für eine VPN-Richtlinie für den Remotezugriff verwendet werden.

---

Routing Protocol-Unterstützung (7.x - Aktualisiert von 6.7)

In der ursprünglichen FTD 6.7-Dokumentation wurde nur BGP angegeben. Die aktuelle FTD unterstützt diese Routing-Methoden über VTI:

---

Protokolle	Support
Statische Routen	Ja
BGP	IPv4 und IPv6
OSPF	OSPFv2 und OSPFv3
EIGRP	IPv4

---

BGP-Richtlinien: Wenn Sie BGP über VTI verwenden, legen Sie in der Routing-Konfiguration die TTL-Hop-Anzahl auf > 1 fest.

ECMP: Statische VTIs für Spokes können in einer ECMP-Zone für Lastenausgleich und Failover angeordnet werden. Dynamic VTI unterstützt ECMP nicht.

---

IPv6 (7.x - Aktualisiert von 6.7)

In der ursprünglichen FTD 6.7-Dokumentation wurde angegeben, dass nur IPv4 unterstützt wird und dass aktuelle Versionen Folgendes unterstützen:

• IPv6-Adressen an der Tunnelquelle und VTI-Endpunkten
• Kombinationen: IPv4 über IPv4, IPv6 über IPv6, IPv4 über IPv6, IPv6 über IPv4
• Statische und dynamische IPv6-Adressen in der Tunnelquelle

Überprüfen Sie vor der Bereitstellung von IPv6 VTI die Peer-Funktionen und die FMC-Versionshinweise.

---

Zusätzliche Grenzwerte für dynamische VTIs (7.3+)

• Nur IKEv2 (kein IKEv1)
• Hub-and-Spoke-Topologie in FMC (empfohlen wird nur ein Hub pro Topologie)
• Kein ECMP, keine QoS, kein Clustering, keine VRF-in-Multi-Instance auf DVTI
• Maximal 1.000 DVTI-Sitzungen pro Gerät (plattformabhängig)
• Für den DVTI-Hub ist in den meisten Designs Loopback- (oder Borrow-IP-) Adressierung erforderlich.

---

NAT, QoS und Richtlinien

Richtlinie/Funktion	Statische VTI	Dynamisches VTI
Zugriffskontrollrichtlinie	Erforderlich (in beide Richtungen)	Erforderlich
NAT	Der VPN-Datenverkehr kann im Topologie-Assistenten ausgenommen werden. NAT-Regeln können auf Nicht-VPN-Datenverkehr angewendet werden. IKE/ESP darf nicht falsch NAT-verschlüsselt werden.	Ähnlich; siehe FMC NAT-Freistellungsoptionen
QoS	Eingeschränkte Plattformunterstützung; DVTI unterstützt QoS nicht.	Nicht unterstützt
Plattformeinstellungen (SNMP/Syslog auf VTI)	Nicht unterstützt.	Nicht unterstützt

---

Im ursprünglichen 6.7-Text wurde angegeben, dass VTI in den NAT/QoS/Plattformeinstellungsrichtlinien "nicht unterstützt" wird. Aktuelle Leitlinien: AKP ist obligatorisch; SNMP/Syslog auf VTI wird nicht unterstützt. QoS auf DVTI wird nicht unterstützt. Wenden Sie sich an das FMC, um Informationen zur NAT-Interaktion für Ihre Version zu erhalten.

---

Schwache kryptografische Algorithmen

Für neue VPN-Tunnel ab FMC/FTD 6.7 wurden schwache Algorithmen entfernt. In späteren Versionen werden starke Standardwerte für Verschlüsselung beibehalten. Diese werden für neue Tunnelkonfigurationen auf FTD 6.7+ nicht unterstützt:

---

IKE-Richtlinie - wird für neue Tunnel nicht unterstützt:

• Verschlüsselung: 3DES, DES, NULL
• Integrität: MD5
• PRF: MD5
• DH-Gruppen: 1, 2, 24

---

IPsec-Vorschlag — wird für neue Tunnel nicht unterstützt:

ESP-Verschlüsselung: DES, 3DES, AES-GMAC, AES-GMAC-192, AES-GMAC-256

---

Auswirkung des Upgrades (6.7+): Das Upgrade einer von FMC verwalteten FTD von einer Version vor 6.7 kann eine Vorabvalidierung auslösen, wenn eine bestehende VPN-Richtlinie entfernte Chiffren verwendet. Konfigurieren Sie IKE/IPsec-Richtlinien vor dem Upgrade mit zuverlässigen Algorithmen neu.

---

Szenario	Konfigurations-Benutzeroberfläche	Tunnel nach dem Upgrade
Neuinstallation (6.7+)	Schwache Chiffren sind sichtbar, können aber nicht auf FTD 6.7+ angewendet werden	–
Upgrade: FTD verwendet nur schwache Chiffren	Upgrade bis Neukonfiguration blockiert	Tunnel nach unten, falls erzwungen
Upgrade: Gemischte schwache/starke Chiffren	Upgrade bis Neukonfiguration blockiert	Tunnel kann wiederhergestellt werden, wenn der Peer starke Chiffren verwendet
Ausfuhrkontrollierte Lizenz (Klasse C)	DES kann die einzige Option ohne starke Verschlüsselungslizenz sein.	DES-Tunnel

---

Empfehlung: Verwenden Sie IKEv2, AES-256, SHA-256 oder SHA-512 und die DH-Gruppe 19/20/21 (oder eine höhere unterstützte Gruppe) für neue Bereitstellungen.

---

Lizenzierung

Über die FTD-Basisfunktionen hinaus ist für das routenbasierte VPN im Lizenz- oder Testmodus keine zusätzliche Lizenz erforderlich. Ohne Aktivierung der Export Controlled Features (starke Verschlüsselung) ist bei eingeschränkten Bereitstellungen nur DES als Verschlüsselungsalgorithmus verfügbar.

---

Konfigurationsschritte auf FMC

Diese Schritte werden in einem statischen, routenbasierten (VTI) Site-to-Site-VPN zwischen einem FTD (Knoten A) und einem Extranet-Peer, z. B. einem ASA (Knoten B), konfiguriert:

---

Demowerte für Übungen

Parameter	Wert
Topologiename	VTI-ASA
IKE-Version	IKEv2
VTI-Name	VTI-ASA
VTI-Zone	VTI-Zone
Tunnel-ID	1
VTI IP (FTD)	192.168.100.1/30
Tunnelquelle	GigabitEthernet0/0 (Außenbereiche)
Peer-Gerät	Extranet-ASA
Partnername	ASA-Peer
Peer-Endpunkt-IP	10.106.67.252
IKE-Richtlinienname	ASA-IKEv2-Richtlinie
IPsec-Angebotsname	ASA-IPSec-Richtlinie
PSK (nur für Übungen)	(Verwendung eines starken Schlüssels in der Produktion)

---

Schritt 1: Site-to-Site-VPN öffnen

1. Navigieren Sie zu Geräte > VPN > Site-to-Site

---

Schritt 2: VPN-Topologie hinzufügen

1. Klicken Sie auf VPN hinzufügen, und wählen Sie Firewall Threat Defense Device (oder Secure Firewall Threat Defense Device, je nach Version der FMC-Benutzeroberfläche).

---

---

Schritt 3: Topologiename, -typ und IKE-Version

1. Geben Sie einen Topologienamen an, und wählen Sie VPN-Typ Route Based (VTI) aus. IKE-Version auswählen (empfohlen: IKEv2)

• Topologiename: VTI-ASA
• Typ: Routenbasiert (VTI)
• IKE-Version: IKEv2

---

---

---

Schritt 4: Wählen Sie FTD Device und VTI

1. Wählen Sie das FTD-Gerät für Knoten A aus.
2. Fügen Sie eine neue virtuelle Tunnelschnittstelle hinzu (klicken Sie auf +), oder wählen Sie einen vorhandenen VTI aus. Für Hub-and-Spoke-Topologien mit DVTI auf dem Hub verwendet der Hub Dynamic VTI.

---

---

Schritt 5: Erstellen einer statischen virtuellen Tunnelschnittstelle

1. Definieren Sie die neuen VTI-Parameter, und klicken Sie auf OK.

---

Feld	Beispiel
Name	VTI-ASA
Beschreibung	VTI-Tunnel mit Extranet-ASA
Sicherheitszone	VTI-Zone
Tunnel-ID	1
IP-Adresse	192.168.100.1/30
Tunnelquelle	GigabitEthernet0/0 (Außenbereiche)
Tunnelmodus	IPsec IPv4

---

2. 

• Weisen Sie den VTI einer dedizierten Sicherheitszone zu, die in den ACP-Regeln verwendet wird.
• Wählen Sie für IPv6 den entsprechenden Tunnelmodus und die entsprechende Adressierung aus (7.x).
• Verwenden Sie keine borrow-IP-Schnittstelle als Tunnelquelladresse.

---

---

Schritt 6: VTI-Erstellung bestätigen

1. Klicken Sie auf OK, um die Erstellung des VTI zu bestätigen.

---

Schritt 7: Peer konfigurieren (Knoten B - Extranet)

1. Wählen Sie den in Schritt 5 erstellten VTI. Konfigurieren Sie Knoten B (Peer):

---

Feld	Beispiel
Gerätetyp	Extranet
Device Name (Gerätename)	ASA-Peer
Endpunkt-IP-Adresse	10.106.67.252

---

2. Konfigurieren Sie geschützte Netzwerke für Subnetze hinter jedem Peer. Geschützte Netzwerke definieren Datenverkehr, der VPN nutzen kann; Für ein routenbasiertes VPN sind weiterhin Routen erforderlich, die auf den VTI verweisen.

Optional (7.x):

• Aktivieren Sie NAT-Traversal, wenn ein NAT-Gerät zwischen Peers vorhanden ist.
• Befreien Sie ggf. VPN-Datenverkehr von NAT im Topologie-Assistenten.
• Senden der IP der virtuellen Tunnelschnittstelle an Peers, wenn der Peer die IP des VTI für das Routing benötigt (wie bei BGP/OSPF üblich)

---

Schritt 8: IKE-Registerkarte - IKE-Richtlinie auswählen oder erstellen

1. Öffnen Sie die Registerkarte IKE, und wählen Sie eine vorhandene IKEv2-Richtlinie aus, oder klicken Sie auf +, um eine neue Richtlinie zu erstellen.

---

Schritt 9: (Optional) IKEv2-Richtlinie erstellen

Feld	Empfohlenes Beispiel
Name	ASA-IKEv2-Richtlinie
Integrität	SHA-512 (oder SHA-256)
Verschlüsselung	AES-256
PRF	SHA-512 (oder SHA-256)
DH-Gruppe	21 (oder 19/20 pro Richtlinie)

---

1. Klicken Sie auf Speichern.

---

---

Schritt 10: IKE-Authentifizierung

1. Wählen Sie die IKE-Richtlinie aus. Wählen Sie den Authentifizierungstyp aus:

• Vorinstallierter manueller Schlüssel: Eingabe und Bestätigung des Schlüssels (nur Labor/Demo; starke PSK in der Produktion verwenden.)
• Pre-shared Automatic Key: Ist verfügbar, wenn beide Endpunkte vom selben FMC verwaltet werden.
• Certificate: Für PKI-basierte Authentifizierung.

---

Beispiel (Übung):

• Richtlinie: ASA-IKEv2-Richtlinie
• Authentifizierung: Vorinstallierter manueller Schlüssel

---

---

Schritt 11. Registerkarte "IPsec" - IPsec-Angebot

1. Öffnen Sie die Registerkarte IPsec. Wählen oder erstellen Sie ein IKEv2 IPsec-Angebot (klicken Sie auf Bearbeiten oder +).

---

Schritt 12. (Optional) Erstellen eines IKEv2 IPsec-Angebots

Feld	Empfohlenes Beispiel
Name	ASA-IPSec-Richtlinie
ESP-Hash	SHA-512 (oder SHA-256)
ESP-Verschlüsselung	AES-256

---

1. Klicken Sie auf Speichern.

---

---

Schritt 13. IPsec-Angebot auswählen

1. Wählen Sie das Angebot aus, und klicken Sie auf OK.

---

Schritt 14. Perfekte vorwärts Geheimhaltung und Lebenszeiten

1. Konfigurieren Sie optionales PFS und die Lebensdauer:

---

Feld	Beispiel
Perfektes Weiterleitungsgeheimnis	Gruppe 21
Lebensdauer	28800 Sekunden (Standard)
Lebenszeitgröße	4608000 KB (Standard)

---

2. Anpassung an Peer-Anforderungen und organisatorische Krypto-Standards

---

---

Schritt 15: VPN-Topologie speichern

Überprüfen Sie die Zusammenfassung, und klicken Sie auf Speichern.

---

Schritt 16: Konfigurieren der Zugriffskontrollrichtlinie (erforderlich)

1. Navigieren Sie zu Richtlinien > Zugriffskontrolle > Zugriffskontrolle. Bearbeiten Sie die auf FTD angewendete Richtlinie.

Richtung	Quellzone	Zielzone	Quellnetzwerke	Zielnetzwerke
Intern → Remote	In-Zone	VTI-Zone (oder Out-Zone)	Im Netzwerk	Remote-Netzwerk
Remote → intern	VTI-Zone	In-Zone	Remote-Netzwerk	Im Netzwerk

---

2. Passen Sie die Zonennamen an Ihr Design an. Für eine vollständige Konnektivität sind bidirektionale Regeln erforderlich.

---

Schritt 17: Hinzufügen einer statischen Route über VTI

1. Navigieren Sie zu Geräte > Geräteverwaltung. Bearbeiten Sie das FTD-Gerät.
2. Öffnen Sie Routing > Statische Route. Klicken Sie auf Route hinzufügen.

---

Feld	Beispiel
Schnittstelle	VTI-ASA
Netzwerk	Remote-Netzwerk
Gateway	192.168.100.2 (Peer-VTI-IP)

---

3. Verwenden Sie die IP-Adresse des Peer-Tunnels als Gateway, es sei denn, Ihr Design verwendet einen anderen Next-Hop, der über den VTI erreichbar ist.

4. Konfigurieren Sie für dynamisches Routing BGP, OSPF oder EIGRP auf dem VTI anstelle von (oder zusätzlich zu) statischen Routen. 

5. ECMP (optional, 7.x): Platzieren Sie mehrere statische VTIs in einer ECMP-Zone, und konfigurieren Sie statische ECMP-Routen für die Lastverteilung.

---

Schritt 18: Konfiguration bereitstellen

1. Navigieren Sie zu Deploy > Deployment (oder Deploy > Deployment Manager, je nach FMC-Version). Wählen Sie den FTD aus, und klicken Sie auf Bereitstellen. Warten Sie vor der Überprüfung auf eine erfolgreiche Bereitstellung.

---

Beispiel-CLI nach der Bereitstellung

Nach erfolgreicher Bereitstellung ähnelt die FTD CLI-Konfiguration:

crypto ikev2 policy 1
 encryption aes-256
 integrity sha512
 group 21
 prf sha512
 lifetime seconds 86400
crypto ikev2 enable Outside

crypto ipsec ikev2 ipsec-proposal CSM_IP_1
 protocol esp encryption aes-256
 protocol esp integrity sha-512

crypto ipsec profile FMC_IPSEC_PROFILE_1
 set ikev2 ipsec-proposal CSM_IP_1
 set pfs group21

group-policy .DefaultS2SGroupPolicy internal
group-policy .DefaultS2SGroupPolicy attributes
 vpn-idle-timeout 30
 vpn-idle-timeout alert-interval 1
 vpn-session-timeout none
 vpn-session-timeout alert-interval 1
 vpn-filter none
 vpn-tunnel-protocol ikev1 ikev2

tunnel-group 10.106.67.252 type ipsec-l2l
tunnel-group 10.106.67.252 general-attributes
 default-group-policy .DefaultS2SGroupPolicy
tunnel-group 10.106.67.252 ipsec-attributes
 ikev2 remote-authentication pre-shared-key *****
 ikev2 local-authentication pre-shared-key *****

interface Tunnel1
 description VTI Tunnel with Extranet ASA
 nameif VTI-ASA
 ip address 192.168.100.1 255.255.255.252
 tunnel source interface Outside
 tunnel destination 10.106.67.252
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile FMC_IPSEC_PROFILE_1

---

Die tatsächlichen Objektnamen und Richtliniennummern variieren je nach FMC-Bereitstellung.

---

Überprüfung

Von der FMC-GUI

1. Öffnen Sie Geräte > VPN > Site-to-Site, und wählen Sie die Topologie aus.
2. Verwenden Sie Check Status oder das Dashboard für die standortübergreifende Überwachung, um den Tunnelstatus anzuzeigen.

---

---

show crypto ipsec sa peer <Peer_IP>
show vpn-sessiondb detail l2l filter ipaddress <Peer_IP>

---

Von FTD CLI

show running-config crypto
show running-config interface Tunnel
show running-config route
show crypto ikev2 sa detailed
show crypto ipsec sa detailed
show crypto ipsec sa peer <Peer_IP>
show vpn-sessiondb detail l2l
show vpn-sessiondb detail l2l filter ipaddress <Peer_IP>

---

Für ältere Peers, die weiterhin IKEv1 verwenden:

show crypto ikev1 sa detailed

---

Routing-Überprüfung:

show route
show bgp summary
show ospfv3 neighbor

---

Ersetzen Sie Befehle durch die Befehle, die für das konfigurierte Routing-Protokoll erforderlich sind.

Kurzreferenz zur Fehlerbehebung

---

Symptom	Häufige Ursachen	Aktion
IKE fällt aus	PSK-Inkongruenz, UDP 500/4500 blockiert, Verschlüsselungsinkongruenz	IKE-Richtlinie/-Vorschlag mit Peer vergleichen NAT-T überprüfen
IPsec aktiv, kein Datenverkehr	Fehlende AKP-Regel	Zulassen von Regeln für VTI-Zone in beide Richtungen hinzufügen
IPsec aktiv, kein Datenverkehr	Fehlende oder falsche statische Route	Überprüfen der Route über VTI zum remote geschützten Netzwerk
Tunnel nach FMC-Upgrade herunterfahren	Schwache Chiffren entfernt	IKE/IPsec mit AES-256/SHA-256+ neu konfigurieren
BGP kein Peering über VTI	TTL/Sicherheitszone	TTL Hop > 1 setzen; Überprüfung der IP-Verfügbarkeit des VTI
GUI wird angezeigt, CLI wird angezeigt	Verzögerung der FMC-Statusaktualisierung	CLI verwenden; bei Verspätung erneut bereitstellen

---

Verwandte Dokumente

• Konfigurieren eines routenbasierten Site-to-Site-VPN-Tunnels auf einem von FMC verwalteten FTD (Cisco.com) — Dokument-ID: 216276
• Konfigurieren von DVTI mit Multi-SA auf einer sicheren Firewall — Dokument-ID 220322
• FMC 7.6 Gerätekonfigurationshandbuch - Site-to-Site-VPN
• DVTI-Anwendungsfall - Hub-and-Spoke mit OSPF/BGP
• Richtlinien für virtuelle Tunnelschnittstellen (Defense Orchestrator/FMC)
• Konfigurieren von dynamischem Split-Tunneling mit ASA/AnyConnect (Referenz für FQDN-Routing-Konzepte)

---

Revisionsverlauf

Revision	Datum	Kommentare
7.0	28. Juli 2026	Vollständige inhaltliche Aktualisierung: Secure Firewall-Branding, 7.x-Einschränkungen (OSPF/EIGRP/IPv6/1024 VTI-Skalierung), DVTI-Querverbindungen, ACP-Betonung, Korrektur von Tippfehlern, erweiterte Überprüfung/Fehlerbehebung
6.0	24. September 2024	Aktualisierte Einführung und Formatierung (Cisco.com)
5.0	27. Juni 2024	Einschränkungen und DVTI-Referenz-Update (Cisco.com)
1.0	23. November 2020	Erstveröffentlichung

---

Dokument gilt für

• Cisco Secure Firewall Threat Defense (FTD)
• Cisco Secure Firewall Management Center (FMC)
• Statisches, routenbasiertes Site-to-Site-VPN (SVTI)
• Extranet-Peers (ASA, IPsec-Geräte anderer Anbieter)

---

Betrifft nicht: FTD-Cluster VTI, GRE-Tunnel oder vollständiges DVTI-Hub-and-Spoke-Verfahren (siehe Dokument-ID 220322).

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
7.0	11-Aug-2026	Aktualisierter Titel, Einführung, Rechtschreibung, Grammatik, eingefügte horizontale Linien in separate Abschnitte zur besseren Lesbarkeit, feste CCW-Warnungen, alternativer Text.
6.0	24-Sep-2024	Einführung und Formatierung aktualisiert.
5.0	27-Jun-2024	Der Inhalt wurde auf Richtigkeit aktualisiert. Abschnitt "Einschränkungen" aktualisiert und Dokumentation zur DVTI-Konfiguration referenziert.
3.0	08-Aug-2023	Alternativer Text hinzugefügt. Einführung und Formatierung aktualisiert.
2.0	19-Jul-2022	Der Inhalt wurde auf Richtigkeit aktualisiert. Aktualisiert für Formatierung, Grundlagen, Haftungsausschluss, maschinelle Übersetzung usw. zur Einhaltung der Cisco Richtlinien.
1.0	23-Nov-2020	Erstveröffentlichung