Konfigurieren des Cisco VPN-Clients für PIX mit AES

Einführung

Diese Beispielkonfiguration zeigt, wie eine VPN-Verbindung für den Remote-Zugriff von einem Cisco VPN-Client zu einer PIX-Firewall mithilfe von Advanced Encryption Standard (AES) für die Verschlüsselung eingerichtet wird. In diesem Beispiel wird mithilfe von Cisco Easy VPN der sichere Kanal eingerichtet, und die PIX-Firewall wird als Easy VPN-Server konfiguriert.

In der Cisco Secure PIX Firewall-Software 6.3 und höher wird der neue internationale Verschlüsselungsstandard AES für die Sicherung von Site-to-Site- und Remote Access-VPN-Verbindungen unterstützt. Zusätzlich zu den Verschlüsselungsalgorithmen DES (Data Encryption Standard) und 3DES (3DES). Die PIX-Firewall unterstützt AES-Schlüsselgrößen von 128, 192 und 256 Bit.

Der VPN-Client unterstützt AES als Verschlüsselungsalgorithmus ab Version 3.6.1 des Cisco VPN-Clients. Der VPN-Client unterstützt nur Schlüsselgrößen von 128 Bit und 256 Bit.

Voraussetzungen

Anforderungen

Bei dieser Beispielkonfiguration wird davon ausgegangen, dass das PIX vollständig betriebsbereit ist und mit den erforderlichen Befehlen konfiguriert ist, um den Datenverkehr gemäß den Sicherheitsrichtlinien der Organisation zu verarbeiten.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

• PIX Softwareversion 6.3(1)

  Hinweis: Diese Konfiguration wurde mit Version 6.3(1) der PIX-Software getestet und soll auch mit allen späteren Versionen funktionieren.

• Cisco VPN Client Version 4.0.3(A)

  Hinweis: Dieses Setup wurde mit VPN Client Version 4.0.3(A) getestet, funktioniert jedoch mit früheren Versionen bis 3.6.1 und bis zur aktuellen Version.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).

Hintergrundinformationen

VPNs für Remote-Zugriff erfüllen die Anforderung mobiler Mitarbeiter, eine sichere Verbindung zum Netzwerk des Unternehmens herzustellen. Mobile Benutzer können mithilfe der auf ihren PCs installierten VPN Client-Software eine sichere Verbindung herstellen. Der VPN-Client initiiert eine Verbindung zu einem Gerät an einem zentralen Standort, das so konfiguriert ist, dass er diese Anfragen annimmt. In diesem Beispiel ist das Gerät des zentralen Standorts eine PIX-Firewall, die als Easy VPN-Server konfiguriert ist und dynamische Kryptozuordnungen verwendet.

Cisco Easy VPN vereinfacht die VPN-Bereitstellung, da die Konfiguration und Verwaltung von VPNs vereinfacht wird. Sie besteht aus dem Cisco Easy VPN-Server und dem Cisco Easy VPN Remote. Für Easy VPN Remote ist eine minimale Konfiguration erforderlich. Easy VPN Remote initiiert eine Verbindung. Bei erfolgreicher Authentifizierung überträgt der Easy VPN-Server die VPN-Konfiguration auf diese. Weitere Informationen zur Konfiguration einer PIX-Firewall als Easy VPN-Server finden Sie unter Verwalten des VPN-Remote-Zugriffs.

Dynamische Kryptokarten werden für die IPsec-Konfiguration verwendet, wenn einige Parameter, die für die Einrichtung des VPN erforderlich sind, nicht vorgegeben werden können, wie dies bei mobilen Benutzern der Fall ist, die dynamisch zugewiesene IP-Adressen beziehen. Die dynamische Crypto Map fungiert als Vorlage, und die fehlenden Parameter werden während der IPsec-Aushandlung festgelegt. Weitere Informationen zu dynamischen Crypto Maps finden Sie unter Dynamic Crypto Maps.

Konfigurationen

In diesem Abschnitt erhalten Sie Informationen zum Konfigurieren der in diesem Dokument beschriebenen Funktionen.

Hinweis: Verwenden Sie das Command Lookup Tool (nur registrierte Kunden), um weitere Informationen zu den in diesem Abschnitt verwendeten Befehlen zu erhalten.

Netzwerkdiagramm

In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet:

Konfigurieren des PIX

Die erforderliche Konfiguration für die PIX-Firewall wird in dieser Ausgabe angezeigt. Die Konfiguration gilt nur für VPN.

PIX Version 6.3(1)
interface ethernet0 auto
interface ethernet1 auto
interface ethernet2 auto shutdown
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 intf2 security4
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname Pixfirewall
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol ils 389
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
names


!--- Define the access list to enable split tunneling.

access-list 101 permit ip 10.10.10.0 255.255.255.0 10.10.8.0 255.255.255.0
access-list 101 permit ip 10.10.11.0 255.255.255.0 10.10.8.0 255.255.255.0


!--- Define the access list to avoid network address !--- translation (NAT) on IPsec packets.


access-list 102 permit ip 10.10.10.0 255.255.255.0 10.10.8.0 255.255.255.0
access-list 102 permit ip 10.10.11.0 255.255.255.0 10.10.8.0 255.255.255.0

pager lines 24
mtu outside 1500
mtu inside 1500
mtu intf2 1500

!--- Configure the IP address on the interfaces.

ip address outside 172.16.10.1 255.255.255.0
ip address inside 10.10.10.2 255.255.255.0
no ip address intf2
ip audit info action alarm
ip audit attack action alarm

!--- Create a pool of addresses from which IP addresses are assigned !--- dynamically to the remote VPN Clients. 

ip local pool vpnpool1 10.10.8.1-10.10.8.254
pdm history enable
arp timeout 14400

!--- Disable NAT for IPsec packets.

nat (inside) 0 access-list 102
route outside 0.0.0.0 0.0.0.0 172.16.10.2 1
route inside 10.10.11.0 255.255.255.0 10.10.10.1 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable

!--- Permit packet that came from an IPsec tunnel to pass through without !--- checking them against the configured conduits/access lists.

sysopt connection permit-ipsec

!--- Define the transform set to be used during IPsec !--- security association (SA) negotiation. Specify AES as the encryption algorithm.

crypto ipsec transform-set trmset1 esp-aes-256 esp-sha-hmac

!--- Create a dynamic crypto map entry !--- and add it to a static crypto map.

crypto dynamic-map map2 10 set transform-set trmset1
crypto map map1 10 ipsec-isakmp dynamic map2

!--- Bind the crypto map to the outside interface.

crypto map map1 interface outside

!--- Enable Internet Security Association and Key Management !--- Protocol (ISAKMP) negotiation on the interface on which the IPsec !--- peer communicates with the PIX Firewall.

isakmp enable outside
isakmp identity address

!--- Define an ISAKMP policy to be used while !--- negotiating the ISAKMP SA. Specify !--- AES as the encryption algorithm. The configurable AES !--- options are aes, aes-192 and aes-256. !--- Note: AES 192 is not supported by the VPN Client.

isakmp policy 10 authentication pre-share
isakmp policy 10 encryption aes-256
isakmp policy 10 hash sha
isakmp policy 10 group 2
isakmp policy 10 lifetime 86400

!--- Create a VPN group and configure the policy attributes which are !--- downloaded to the Easy VPN Clients.

vpngroup groupmarketing address-pool vpnpool1
vpngroup groupmarketing dns-server 10.10.11.5
vpngroup groupmarketing wins-server 10.10.11.5
vpngroup groupmarketing default-domain org1.com
vpngroup groupmarketing split-tunnel 101
vpngroup groupmarketing idle-time 1800
vpngroup groupmarketing password ********
telnet timeout 5
ssh timeout 5
console timeout 0
terminal width 80
Cryptochecksum:c064abce81996b132025e83e421ee1c3
: end

Hinweis: In dieser Konfiguration wird empfohlen, aes-192 nicht anzugeben, während Sie den Transformationssatz oder die ISAKMP-Richtlinie konfigurieren. VPN-Clients unterstützen keine AES-192-Verschlüsselung.

Hinweis: Bei früheren Versionen waren die Befehle isakmp client configuration address-pool und crypto map client-configuration erforderlich. Bei neueren Versionen (3.x und höher) sind diese Befehle jedoch nicht mehr erforderlich. Mehrere Adresspools können jetzt mit dem Befehl vpngroup address-pool angegeben werden.

Hinweis: Bei VPN-Gruppennamen wird die Groß- und Kleinschreibung beachtet. Dies bedeutet, dass die Benutzerauthentifizierung fehlschlägt, wenn der im PIX angegebene Gruppenname und der Gruppenname im VPN-Client in Bezug auf Groß- oder Kleinschreibung unterschiedlich sind.

Hinweis: Wenn Sie z. B. den Gruppennamen GroupMarketing auf einem Gerät eingeben und Groupmarketing auf einem anderen Gerät eingeben, funktioniert das Gerät nicht.

Konfigurieren des VPN-Clients

Nachdem Sie den VPN-Client auf dem PC installiert haben, erstellen Sie eine neue Verbindung, wie in den folgenden Schritten gezeigt:

1. Starten Sie die VPN-Client-Anwendung, und klicken Sie auf Neu, um einen neuen Verbindungseintrag zu erstellen.

   

2. Neues Dialogfeld mit dem Titel VPN Client | Neuen VPN-Verbindungseintrag erstellen wird angezeigt. Geben Sie Konfigurationsinformationen für die neue Verbindung ein.

   1. Weisen Sie dem neu erstellten Eintrag im Feld Verbindungseintrag einen Namen zu.

   2. Geben Sie im Feld Host (Host) die IP-Adresse der öffentlichen Schnittstelle des PIX ein.

   3. Wählen Sie die Registerkarte Authentifizierung aus, und geben Sie dann den Gruppennamen und das Kennwort (zweimal - zur Bestätigung) ein. Dies muss mit dem Befehl vpngroup password den auf dem PIX eingegebenen Informationen entsprechen.

   4. Klicken Sie auf Speichern, um die eingegebenen Informationen zu speichern. Die neue Verbindung wird jetzt erstellt.

      

3. Um über den neuen Verbindungseintrag eine Verbindung zum Kabelmodem herzustellen, wählen Sie den Verbindungseintrag aus, indem Sie einmal darauf klicken und dann auf das Symbol Verbinden klicken. Ein Doppelklick auf den Verbindungseintrag hat dieselbe Wirkung.

   

Überprüfen

Auf dem VPN-Client wird eine erfolgreich eingerichtete Verbindung zum Remote-Gateway durch folgende Elemente angezeigt:

• Ein gelbes geschlossenes Sperrsymbol wird beim aktiven Verbindungseintrag angezeigt.

• Das Symbol Connect (Verbinden) in der Symbolleiste (neben der Registerkarte Connection Entries) ändert sich in Disconnect (Verbindung trennen).

• Die Statuszeile am Ende des Fensters zeigt den Status als "Verbunden mit" gefolgt vom Namen des Verbindungs-Eintrags an.

  

Hinweis: Sobald die Verbindung hergestellt ist, minimiert der VPN Client standardmäßig ein geschlossenes Symbol im Systembereich in der unteren rechten Ecke der Windows-Taskleiste. Doppelklicken Sie auf das Sperrsymbol, um das Fenster des VPN-Clients erneut anzuzeigen.

Auf der PIX-Firewall können diese show-Befehle verwendet werden, um den Status der eingerichteten Verbindungen zu überprüfen.

Hinweis: Bestimmte show-Befehle werden vom Output Interpreter Tool (nur registrierte Kunden) unterstützt, mit dem Sie eine Analyse der show-Befehlsausgabe anzeigen können.

• show crypto ipsec sa - Zeigt alle aktuellen IPsec-SAs auf dem PIX an. Darüber hinaus zeigt die Ausgabe die tatsächliche IP-Adresse des Remote-Peers, die zugewiesene IP-Adresse, die lokale IP-Adresse und -Schnittstelle sowie die angewendete Crypto Map an.

  Pixfirewall#show crypto ipsec sa
  
  interface: outside
      Crypto map tag: map1, local addr. 172.16.10.1
  
     local  ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
     remote ident (addr/mask/prot/port): (10.10.8.1/255.255.255.255/0/0)
     current_peer: 172.16.12.3:500
     dynamic allocated peer ip: 10.10.8.1
  
       PERMIT, flags={}
      #pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0
      #pkts decaps: 25, #pkts decrypt: 25, #pkts verify 25
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0
      #send errors 0, #recv errors 0
  
       local crypto endpt.: 172.16.10.1, remote crypto endpt.: 172.16.12.3
       path mtu 1500, ipsec overhead 64, media mtu 1500
       current outbound spi: cbabd0ce
  
       inbound esp sas:
        spi: 0x4d8a971d(1300928285)
          transform: esp-aes-256 esp-sha-hmac ,
          in use settings ={Tunnel, }
          slot: 0, conn id: 2, crypto map: map1
          sa timing: remaining key lifetime (k/sec): (4607996/28685)
          IV size: 16 bytes
          replay detection support: Y
  
  
       inbound ah sas:
  
  
       inbound pcp sas:
  
  
       outbound esp sas:
        spi: 0xcbabd0ce(3417034958)
          transform: esp-aes-256 esp-sha-hmac ,
          in use settings ={Tunnel, }
          slot: 0, conn id: 1, crypto map: map1
          sa timing: remaining key lifetime (k/sec): (4608000/28676)
          IV size: 16 bytes
          replay detection support: Y
  
  
       outbound ah sas:
  
  
       outbound pcp sas:

• show crypto isakmp sa: Zeigt den Status der ISAKMP SA an, die zwischen Peers erstellt wurde.

  Pixfirewall#show crypto isakmp sa
  Total     : 1
  Embryonic : 0
          dst               src        state     pending     created
       172.16.10.1      172.16.12.3    QM_IDLE         0           1

Fehlerbehebung

Dieser Abschnitt enthält Informationen zur Fehlerbehebung in Ihrer Konfiguration.

Diese Debugbefehle können bei der Fehlerbehebung von Problemen mit der VPN-Einrichtung helfen.

Hinweis: Lesen Sie vor dem Ausgabe von Debug-Befehlen unter Wichtige Informationen zu Debug-Befehlen nach.

• debug crypto isakmp - Zeigt die erstellte ISAKMP SA und die ausgehandelten IPsec-Attribute an. Während der ISAKMP SA-Aushandlung kann der PIX möglicherweise mehrere Vorschläge als "nicht akzeptabel" verwerfen, bevor er sie annimmt. Sobald die ISAKMP SA vereinbart ist, werden die IPsec-Attribute ausgehandelt. Wieder können mehrere Vorschläge abgelehnt werden, bevor sie angenommen werden, wie in dieser Debugausgabe gezeigt.

  crypto_isakmp_process_block:src:172.16.12.3, dest:172.16.10.1 spt:500 dpt:500
  OAK_AG exchange
  ISAKMP (0): processing SA payload. message ID = 0
  
  ISAKMP (0): Checking ISAKMP transform 1 against priority 10 policy
  ISAKMP:      encryption AES-CBC
  ISAKMP:      hash SHA
  ISAKMP:      default group 2
  ISAKMP:      extended auth pre-share (init)
  ISAKMP:      life type in seconds
  ISAKMP:      life duration (VPI) of  0x0 0x20 0xc4 0x9b
  ISAKMP:      keylength of 256
  
  !--- Proposal is rejected since extended auth is not configured.
  
  ISAKMP (0): atts are not acceptable. Next payload is 3
  ISAKMP (0): Checking ISAKMP transform 2 against priority 10 policy
  ISAKMP:      encryption AES-CBC
  ISAKMP:      hash MD5
  ISAKMP:      default group 2
  ISAKMP:      extended auth pre-share (init)
  ISAKMP:      life type in seconds
  ISAKMP:      life duration (VPI) of  0x0 0x20 0xc4 0x9b
  ISAKMP:      keylength of 256
  
  !--- Proposal is rejected since MD5 is not specified as the hash algorithm.
  
  ISAKMP (0): atts are not acceptable. Next payload is 3
  ISAKMP (0): Checking ISAKMP transform 3 against priority 10 policy
  ISAKMP:      encryption AES-CBC
  ISAKMP:      hash SHA
  ISAKMP:      default group 2
  ISAKMP:      auth pre-share
  ISAKMP:      life type in seconds
  ISAKMP:      life duration (VPI) of  0x0 0x20 0xc4 0x9b
  ISAKMP:      keylength of 256
  
  !--- This proposal is accepted since it matches ISAKMP policy 10.
  
  ISAKMP (0): atts are acceptable. Next payload is 3
  ISAKMP (0): processing KE payload. message ID = 0
  
  !--- Output is suppressed.
  
  OAK_QM exchange
  oakley_process_quick_mode:
  OAK_QM_IDLE
  ISAKMP (0): processing SA payload. message ID = 3348522173
  
  ISAKMP : Checking IPSec proposal 1
  
  ISAKMP: transform 1, ESP_AES
  ISAKMP:   attributes in transform:
  ISAKMP:      authenticator is HMAC-MD5
  ISAKMP:      key length is 256
  ISAKMP:      encaps is 1
  ISAKMP:      SA life type in seconds
  ISAKMP:      SA life duration (VPI) of  0x0 0x20 0xc4 0x9b
  
   !--- This proposal is not accepted since transform-set !--- trmset1 does not use MD5.
  
  ISAKMP (0): atts not acceptable. Next payload is 0
  ISAKMP (0): skipping next ANDed proposal (1)
  ISAKMP : Checking IPSec proposal 2
  
  ISAKMP: transform 1, ESP_AES
  ISAKMP:   attributes in transform:
  ISAKMP:      authenticator is HMAC-SHA
  ISAKMP:      key length is 256
  ISAKMP:      encaps is 1
  ISAKMP:      SA life type in seconds
  ISAKMP:      SA life duration (VPI) of  0x0 0x20 0xc4 0x9b
  
  !--- This proposal is accepted since it matches !--- transform-set trmset1.
  
  ISAKMP (0): atts are acceptable.
  ISAKMP (0): bad SPI size of 2 octets!
  ISAKMP : Checking IPSec proposal 3
  
  !--- Output is suppressed.
  
  

• debug crypto ipsec: Zeigt Informationen über IPsec SA-Aushandlungen an.

  IPSEC(key_engine_delete_sas): rec'd delete notify from ISAKMP
  IPSEC(key_engine_delete_sas): delete all SAs shared with     172.16.12.3
  IPSEC(validate_proposal): transform proposal (prot 3, trans 12, hmac_alg 1) not
  supported
  IPSEC(validate_proposal): transform proposal (prot 3, trans 12, hmac_alg 1) not
  supported
  IPSEC(validate_proposal): transform proposal (prot 3, trans 12, hmac_alg 2) not
  supported
  IPSEC(validate_proposal): transform proposal (prot 3, trans 12, hmac_alg 1) not
  supported
  IPSEC(validate_proposal_request): proposal part #1,
    (key eng. msg.) dest= 172.16.10.1, src= 172.16.12.3,
      dest_proxy= 0.0.0.0/0.0.0.0/0/0 (type=4),
      src_proxy= 10.10.8.1/255.255.255.255/0/0 (type=1),
      protocol= ESP, transform= esp-aes-256 esp-sha-hmac ,
      lifedur= 0s and 0kb,
      spi= 0x0(0), conn_id= 0, keysize= 256, flags= 0x4
  IPSEC(key_engine): got a queue event...
  IPSEC(spi_response): getting spi 0xfb0cb69(263244649) for SA
          from     172.16.12.3 to     172.16.10.1 for prot 3
  IPSEC(key_engine): got a queue event...
  IPSEC(initialize_sas): ,
    (key eng. msg.) dest= 172.16.10.1, src= 172.16.12.3,
      dest_proxy= 0.0.0.0/0.0.0.0/0/0 (type=4),
      src_proxy= 10.10.8.1/0.0.0.0/0/0 (type=1),
      protocol= ESP, transform= esp-aes-256 esp-sha-hmac ,
      lifedur= 2147483s and 0kb,
      spi= 0xfb0cb69(263244649), conn_id= 2, keysize= 256, flags= 0x4
  IPSEC(initialize_sas): ,
    (key eng. msg.) src= 172.16.10.1, dest= 172.16.12.3,
      src_proxy= 0.0.0.0/0.0.0.0/0/0 (type=4),
      dest_proxy= 10.10.8.1/0.0.0.0/0/0 (type=1),
      protocol= ESP, transform= esp-aes-256 esp-sha-hmac ,
      lifedur= 2147483s and 0kb,
      spi= 0xda6c054a(3664512330), conn_id= 1, keysize= 256, flags= 0x4

Mit den in diesem Dokument gezeigten Konfigurationen kann der VPN-Client mithilfe von AES erfolgreich eine Verbindung mit dem PIX am zentralen Standort herstellen. Es wird gelegentlich beobachtet, dass der VPN-Tunnel erfolgreich eingerichtet wurde, Benutzer jedoch nicht in der Lage sind, gängige Aufgaben wie das Pingen von Netzwerkressourcen, die Anmeldung bei der Domäne oder das Durchsuchen der Netzwerkumgebung auszuführen. Weitere Informationen zur Behebung solcher Probleme finden Sie unter Fehlerbehebung bei Microsoft Network Neighborhood After Setup a VPN Tunnel With the Cisco VPN Client.

Zugehörige Informationen

• Advanced Encryption Standard (AES)
• Eine Einführung in die IP Security (IPSec)-Verschlüsselung
• IP Security Troubleshooting - Understanding and Using debug Commands
• Support-Seite für IPsec-Aushandlung/IKE-Protokolle
• PIX-Support-Seite
• Support-Seite für Cisco VPN-Clients
• PIX-Befehlsreferenz
• Technischer Support und Dokumentation - Cisco Systems