Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Antecedentes

Configurar

Configurar la política FlexConfig y el objeto FlexConfig

Verificación

Troubleshoot

Información Relacionada

Introducción

Este documento describe cómo modificar el atributo vpn-idle-timeout de una VPN con políticas FlexConfig en Cisco Firepower Management Center (FMC) para evitar el tiempo de inactividad del túnel debido a la inactividad o el tiempo de espera inactivo.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Firepower Threat Defense (FTD)

- FMC

- Políticas de FlexConfig

- Topologías VPN de sitio a sitio

Componentes Utilizados

La información que contiene este documento se basa en estas versiones de software:

- FMCv - 6.5.0.4 (compilación 57)

- FTDv - 6.4.0.10 (compilación 95)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Tanto las VPN basadas en políticas (mapa criptográfico) basadas en el intercambio de claves de Internet versión 1 (IKEv1) como las de la versión 2 del intercambio de claves de Internet (IKEv2) son túneles a demanda. De forma predeterminada, el FTD finaliza la conexión VPN si no hay actividad de comunicación sobre el túnel en un período determinado llamado vpn-idle-timeout. Este temporizador se establece en 30 minutos de forma predeterminada.

Configurar

Configurar la política FlexConfig y el objeto FlexConfig

Paso 1. En Devices > FlexConfig, cree una nueva política FlexConfig (si aún no existe) y adáptela al FTD donde se configura la VPN de sitio a sitio.

or

Paso 2. Dentro de esa política, cree un objeto FlexConfig de la siguiente manera:

Nombre: S2S_Idle_TimeOut

Implementación: En cualquier momento

Tipo: Anexar

atributos de política de grupo .DefaultS2SGroupPolicy

vpn-idle-timeout none

y guárdelo.

Paso 3. En el panel izquierdo, busque y arrástrelo al panel derecho con el botón >.

Guarde los cambios y implemente.

Paso 3.1 (Opcional) Como paso intermedio, después de haber guardado los cambios de configuración, puede elegir Vista previa de configuración para asegurarse de que los comandos FlexConfig estén listos para ser empujados al final de la configuración.

Verificación

Una vez que se complete la implementación, puede ejecutar este comando en LINA (> system support diagnostic-cli) para confirmar que la nueva configuración está ahí:

firepower# show running-config group-policy .DefaultS2SGroupPolicy

group-policy .DefaultS2SGroupPolicy internal

group-policy .DefaultS2SGroupPolicy attributes

vpn-idle-timeout none <<<--------------

<omitted output>

Precaución: Tenga en cuenta que este cambio afecta a todas las VPN S2S del FTD. NO es una configuración por túnel sino una global.

Aunque la configuración está ahí, el túnel activo necesita ser rebotado (clear crypto ipsec sa peer <Remote_Peer_IP_Address>) para que el cambio surta efecto cuando el túnel se restablezca nuevamente. Puede confirmar que el cambio está en vigor con este comando:

firepower# show vpn-sessiondb detail l2l filter ipaddress

Session Type: LAN-to-LAN Detailed

Connection : X.X.X.X

Index : 7 IP Addr : X.X.X.X

Protocol : IKEv1 IPsec

Encryption : IKEv1: (1)AES256 IPsec: (1)AES256

Hashing : IKEv1: (1)SHA1 IPsec: (1)SHA1

Bytes Tx : 400 Bytes Rx : 400

Login Time : 22:06:56 UTC Tue Jun 15 2021

Duration : 0h:18m:00s

Tunnel Zone : 0

IKEv1 Tunnels: 1

IPsec Tunnels: 1

IKEv1:

Tunnel ID : 7.1

UDP Src Port : 500 UDP Dst Port : 500

IKE Neg Mode : Main Auth Mode : preSharedKeys

Encryption : AES256 Hashing : SHA1

Rekey Int (T): 86400 Seconds Rekey Left(T): 85319 Seconds

D/H Group : 5

Filter Name :

IPsec:

Tunnel ID : 7.2

Local Addr : A.A.A.A/255.255.255.255/0/0

Remote Addr : B.B.B.B/255.255.255.128/0/0

Encryption : AES256 Hashing : SHA1

Encapsulation: Tunnel

Rekey Int (T): 28800 Seconds Rekey Left(T): 27719 Seconds

Rekey Int (D): 4608000 K-Bytes Rekey Left(D): 4608000 K-Bytes

Idle Time Out: 0 Minutes Idle TO Left : 0 Minutes <<<<<<<---------------

Bytes Tx : 400 Bytes Rx : 400

Pkts Tx : 4 Pkts Rx : 4

El contador de tiempo de espera inactivo debe establecerse en 0 Minutos en lugar de 30 minutos y la VPN debe permanecer activa independientemente de la actividad/tráfico que se esté ejecutando sobre ella.

Nota: Al momento de escribir este artículo, existe un Bug de mejora para integrar la capacidad de modificar esta configuración directamente en FMC sin la necesidad de Flexconfig. Consulte Cisco bug ID CSCvr82274 - ENH: haga configurable vpn-idle-timeout

Troubleshoot

Actualmente no hay información específica disponible para resolver problemas.

Información Relacionada

- Guía de Configuración de Firepower Management Center, Versión 7.0 - Capítulo: Políticas FlexConfig para Firepower Threat Defense

- Guía de Configuración de Firepower Management Center, Versión 7.0 - Capítulo: VPN de sitio a sitio para Firepower Threat Defense

- Soporte Técnico y Documentación - Cisco Systems