Configuración de Secure Access con FTD y ASA seguros para acceso privado con NAT

Opciones de descarga

  • PDF     (3.9 MB)
    Visualice con Adobe Reader en una variedad de dispositivos
  • ePub     (3.9 MB)
    Visualice en diferentes aplicaciones en iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (3.0 MB)
    Visualice en dispositivo Kindle o aplicación Kindle en múltiples dispositivos
Actualizado:19 de junio de 2026
ID del documento:226196

Lenguaje no discriminatorio

El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.

Acerca de esta traducción

Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).

Introducción

Este documento describe cómo configurar Secure Access Network Tunnel Group con Network Address Translation .

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

  • Centro de gestión de firewall de Cisco
  • Cisco Secure Firewall Threat Defence
  • Acceso seguro de Cisco
  • Cisco Adaptive Security Appliance 
  • Traducción de direcciones de red
  • Routing basado en políticas
  • Capturas de paquetes en firewall

Componentes Utilizados

La información de este documento se basa en:

  • Cisco Firewall Management Center 7.10
  • Cisco Secure Firewall Threat Defence 7.10
  • Acceso seguro de Cisco
  • Cisco Adaptive Security Appliance 9.22
  • Routers de Cisco

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Cisco Secure Access ofrece funciones Secure Service Edge nativas de la nube, como Secure Internet Access (SIA) y Secure Private Access (SPA). Para las organizaciones que amplían el acceso de aplicaciones privadas a usuarios remotos sin redirigir todo el tráfico a través de un Data Center, Secure Access utiliza los grupos de túnel de red (NTG) IPsec para crear túneles cifrados entre los dispositivos de red en las instalaciones, como Cisco Firewall Threat Defense (FTD), Adaptive Security Appliance (ASA) y los puntos de presencia (PoP) en la nube de Cisco Secure Access.

Este documento detalla cómo establecer un túnel IPsec basado en rutas usando IKEv2 entre Cisco FTD , ASA y Cisco Secure Access, permitiendo que la Traducción de direcciones de red (NAT) en Secure Access y el Ruteo basado en políticas (PBR) en el FTD y ASA dirija solamente el tráfico de acceso privado hacia el túnel.

Diagrama de la red

alt-tag-for-image

Topología de red

Configurar

Secure Access y Secure Firewall Thread Defense - VPN dinámica (BGP) basada en ruta con PBR

Configuración del Grupo de Túnel de Red en Acceso Seguro 

1. Inicie sesión en el panel de acceso seguro Acceso seguro
2. Navegue hasta Connect > Network Connections > Network Tunnel Groups y haga clic en +Add para configurar el Network Tunnel Group

alt-tag-for-image

Acceso seguro - Grupos de túnel de red

3. Configure el Grupo de Túnel de Red: Parámetros Generales

  • Configurar el nombre del grupo de túnel, la región y el tipo de dispositivo 
  • Haga clic en Next (Siguiente)
    alt-tag-for-image

Acceso seguro - Configuración general de los grupos de túnel de red

4. Configure la ID de túnel y la frase de paso.

  • Configure el ID de túnel y la frase de paso. 
  • Haga clic en Siguiente

alt-tag-for-image

Acceso seguro: ID de grupos de túnel de red y frase de paso

5. Configuración del enrutamiento

  • Configurar número AS del dispositivo
  • Haga clic en Save (Guardar).

alt-tag-for-image

Acceso seguro: enrutamiento de grupos de túnel de red

6. Guarde la configuración del grupo de túnel de red 

alt-tag-for-image

Acceso seguro - Grupos de túnel de red 

Configuración de VPN IPsec basada en ruta dinámica en Secure Firewall Threat Defence (FTD) con PBR 

1. Inicie sesión en Firewall Management Center (FMC) 

2. Configure Virtual Tunnel Interface VTI

  • Vaya a Devices > Device Management .

alt-tag-for-image

Administración segura de firewall - Panel

  • Haga clic en el icono Lápiz junto al dispositivo y navegue hasta la sección Interfaz 
  • Haga clic en Add interfaces y seleccione Virtual Tunnel Interface

alt-tag-for-image

Gestión segura de firewall - Configuración de FTD VTI 

  • Configuración de VTI 

alt-tag-for-image

alt-tag-for-image

Gestión segura de firewall - Configuración de FTD VTI 

  • Configure también VTI-2 para VPN IPsec secundaria con acceso seguro 

alt-tag-for-image

Gestión segura de firewall - Configuración de FTD VTI 

3. Navegue hasta Conexiones seguras > VPN de sitio a sitio y SD-WAN y haga clic en Agregar para configurar la VPN

alt-tag-for-image

Gestión de firewall seguro - Configuración de VPN FTD

  • Crear topología de VPN 

alt-tag-for-image

Gestión de firewall seguro - Configuración de VPN FTD

  • En el paso 6 de Configure Network Tunnel Group on Secure Access, obtenga los ID de túnel y las direcciones IP para los Data Centers primarios y secundarios.
  • Haga clic en Terminales
  • En Nodo A, haga clic en Dispositivo y seleccione el dispositivo FTD
  • Haga clic en Virtual Tunnel Interface (Interfaz de túnel virtual) y seleccione la primera interfaz VTI creada en el paso anterior
  • Haga clic en la opción Send Local Identity to Peers (Enviar identidad local a pares) y seleccione Email ID (ID de correo electrónico). Introduzca el ID de túnel principal (de "Save Network Tunnel Group Configuration" (Guardar configuración de grupo de túnel de red) en Configure Network Tunnel Group on Secure Access )
  • En Nodo B, haga clic en Dispositivo y seleccione Extranet
  • Haga clic en Device Name (Nombre de dispositivo) y asígnele un nombre 
  • Haga clic en Endpoint IP Addresses (Direcciones IP de terminal) e introduzca las direcciones IP primaria y secundaria de acceso seguro separadas por una coma (en "Save Network Tunnel Group Configuration" [Guardar la configuración del grupo de túnel de red] en Configure Network Tunnel Group on Secure Access )
  • Haga clic en Agregar VTI de respaldo
  • Haga clic en Virtual Tunnel Interface (Interfaz de túnel virtual) y seleccione la segunda interfaz VTI creada en el paso anterior
  • Haga clic en la opción Send Local Identity to Peers (Enviar identidad local a pares) y seleccione Email ID (ID de correo electrónico). Introduzca el ID de túnel secundario (de "Save Network Tunnel Group Configuration" (Guardar configuración de grupo de túnel de red) en Configure Network Tunnel Group on Secure Access )
  • Haga clic en Guardar

alt-tag-for-image

FTD seguro - Configuración de terminales VPN

alt-tag-for-image

FTD seguro - Configuración de terminales VPN

  • Configure los Valores de IKEv2 según los Parámetros IPsec Soportados
    • Seleccionar políticas como Umbrella-AES-GCM-256
    • Seleccione el tipo de autenticación como clave manual precompartida

alt-tag-for-image

FTD seguro: configuración IKE de VPN

  • Configurar IPsec 
    • Seleccione Propuestas IKEv2 IPsec como Umbrella-AES-GCM-256
    • Active PFS como select Modulus Group as 20

alt-tag-for-image

FTD seguro: configuración de VPN IPsec 

  • Configuración avanzada 
  • Haga clic en Save (Guardar).

alt-tag-for-image

FTD seguro: configuración avanzada de VPN 

Routing basado en políticas FTD 

En el ruteo tradicional, los paquetes se rutean según la dirección IP de destino. Cambiar el ruteo de tráfico específico en un sistema de ruteo basado en el destino es difícil. El routing basado en políticas (PBR) amplía y complementa los mecanismos proporcionados por los protocolos de routing, lo que le proporciona un mayor control sobre el routing.

PBR le permite establecer la precedencia IP. También le permite especificar una trayectoria para cierto tráfico, como el tráfico prioritario sobre un link de alto costo. Con PBR, puede definir el ruteo basado en criterios distintos de la red de destino, como el puerto de origen, la dirección de destino, el puerto de destino, el protocolo, las aplicaciones o una combinación de estos objetos. Para obtener más información, consulte Ruteo Basado en Políticas

1. Configurar lista de acceso 

  • Vaya a Objetos > Lista de acceso > Extendido 
  • Haga clic en Add Extended Access List .  alt-tag-for-image

FTD seguro: lista de acceso ampliada 

  • Dé el nombre de la lista de acceso 
  • Definir la acción 
    • Permiso. - El tráfico definido se enviará al túnel IPsec 
    • Bloquear: el tráfico se omitirá del túnel IPsec 
    • La regla coincidirá según el número de secuencia (de menor a mayor) 
    • Haga clic en Agregar
    • Haga clic en Save (Guardar).

alt-tag-for-image

FTD seguro: lista de acceso ampliada 

alt-tag-for-image

FTD seguro: lista de acceso ampliada 

2. Configuración del routing basado en políticas 

  • Vaya a Devices > Device Management > FTD > Routing . 

alt-tag-for-image

FTD seguro: routing basado en políticas

  • Haga clic en Agregar 
  • Seleccione Interfaz de ingreso - Interfaz de ingreso para la subred que definimos en la Lista de acceso 

alt-tag-for-image

FTD seguro: routing basado en políticas

  • Definición de Criterios de Coincidencia e Interfaz de Salida 
    • Haga clic en Agregar
    • Seleccione la ACL de coincidencia 
    • Seleccione Enviar a como dirección IP 
    • Agregue la dirección IP de próximo salto. - Las direcciones IP de la interfaz VTI son. 169.254.2.130 y. 169.254.2.5/30. Por lo tanto, las direcciones IP de salto siguiente para VTI -1 y VTI-2 serían 169.254.2.2 y 169.254.2.2. 169.254.2.6, respectivamente 
    • Haga clic en Guardar

alt-tag-for-image

FTD seguro: routing basado en políticas

alt-tag-for-image

FTD seguro: routing basado en políticas

Configuración de BGP en FTD 

1. Activar BGP 

  • Vaya a Devices > Device Management > FTD > Routing > General Settings > BGP
  • Habilite BGP y agregue el número AS (número AS local de FTD)
  • Haga clic en Save (Guardar).

alt-tag-for-image

FTD seguro: routing BGP

  • Vaya a BGP > IPv4

2. Add BGP Neighbor - Los peers BGP Secure Access son 169.254.0.5 y 169.254.0.5. 169.254.0.9

alt-tag-for-image

FTD seguro: routing BGP

alt-tag-for-image

FTD seguro: routing BGP

3. Agregue Redes: Redes que deben anunciarse a Acceso seguro. 

  • Haga clic en OK (Aceptar).

alt-tag-for-image

FTD seguro: routing BGP

  • Guardar e implementar los cambios 

Verificar el estado del túnel 

En Secure Access 

alt-tag-for-image

FTD seguro - Estado del túnel IPsec

En FMC 

alt-tag-for-image

Secure FMC - Estado del túnel IPsec

Configuración de VPN IPsec basada en ruta estática en el dispositivo de seguridad adaptable (ASA) con PBR 

Configuración de VPN en Secure Access

1. Inicie sesión en el panel de acceso seguro Acceso seguro
2. Navegue hasta Connect > Network Connections > Network Tunnel Groups y haga clic en +Add para configurar el Network Tunnel Group

alt-tag-for-image

Acceso seguro - Grupos de túnel de red

3. Configure el Grupo de Túnel de Red: Parámetros Generales

  • Configurar el nombre del grupo de túnel, la región y el tipo de dispositivo 
  • Haga clic en Next (Siguiente)

alt-tag-for-image

Acceso seguro - Configuración general de los grupos de túnel de red

4. Configure la ID de túnel y la frase de paso.

  • Configure el ID de túnel y la frase de paso. 
  • Haga clic en Siguiente

alt-tag-for-image

Acceso seguro - Grupos de túnel de red

5. Habilitar traducción de direcciones de red (NAT)

alt-tag-for-image

Acceso seguro - Grupos de túnel de red Configuración de NAT

6. Agregar asignación NAT de destino 

Flujo 1: del router 1 al router 2 (acceso seguro a sitios)

Flujo 2: del router 2 al router 1 (acceso seguro al sitio)

alt-tag-for-image

Acceso seguro - Grupos de túnel de red Configuración de NAT

caution-icon

Precaución: Cuando NAT está habilitado, BGP no es posible . Además, configure VPN estática en los dispositivos periféricos del cliente

tip-icon

Consejo: Recuerde siempre hacer ping a una IP traducida .
      La IP traducida va en el CIDR traducido y la IP real va en el CIDR original.

alt-tag-for-image

Acceso seguro - Grupos de túnel de red Configuración de NAT

Haga clic en Guardar

tip-icon

Consejo: Para el tráfico que va de 'Sitio A' a 'Sitio B', desde el punto de vista de CNHE-1 la dirección es 'Sitio-> SecureAccess'
      Para el tráfico que va desde el 'sitio B' al 'sitio A', desde el punto de vista de CNHE-1 la dirección es 'SecureAccess -> Sitio'

Configuración de VPN en ASA

1. Inicie sesión en ASA CLI, ingrese al modo enable y verifique la conectividad IP básica hacia Internet

ASA# sh ip
Direcciones IP del sistema:
Nombre de interfaz Dirección IP Método de máscara de subred
GigabitEthernet0/0 fuera 192.168.1.40 255.255.255.0 manual
GigabitEthernet0/1 inside 10.10.10.1 255.255.255.0 manual

Direcciones IP actuales:
Nombre de interfaz Dirección IP Método de máscara de subred
GigabitEthernet0/0 fuera 192.168.1.40 255.255.255.0 manual
GigabitEthernet0/1 inside 10.10.10.1 255.255.255.0 manual

ASA# ping 8.8.8.8
Ingrese escape sequence para abortar.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/28/30 ms
ASA#

2. Configure la política IKEv2 y habilite IKEv2 en la interfaz externa

crypto ikev2 policy 10
encryption aes-gcm-256
integridad nula
grupo 19
lifetime seconds 86400
crypto ikev2 enable outside​

3. Configurar la propuesta de IPSec

crypto ipsec ikev2 ipsec-offer Ipsec-Propuesta-primary
protocol esp encryption aes-gcm-256

4. Configuración del perfil IPsec

crypto ipsec profile csa-profile-primary
set ikev2 ipsec-offer Ipsec-posed-primary
set ikev2 local-identity email-id <primary tunnel-id>

5. Configure la directiva de grupo y habilite el protocolo IKEv2 en el atributo.

group-policy csa-policy-primary internal
group-policy csa-policy-primary attributes
vpn-tunnel-protocol ikev2​

6. Configure el Grupo de Túnel.

tunnel-group 44.228.138.150 type ipsec-l2l
tunnel-group 44.228.138.150 general-attributes
default-group-policy csa-policy-primary
tunnel-group 44.228.138.150 ipsec-attributes
ikev2 remote-authentication pre-shared-key <pre-shared-key>
ikev2 local-authentication pre-shared-key <pre-shared-key>

7. Configuración de la interfaz de túnel virtual (VTI)

  • Nameif puede ser si su elección
  • La dirección IP asignada a VTI no debe solaparse con ninguna otra interfaz en el ASA
  • El origen del túnel debe ser la interfaz externa del firewall
  • El destino del túnel debe ser la dirección IP del Data Center

interface Tunnel1
nameif VTI-1
ip address 169.254.2.1 255.255.255.252
tunnel source interface outside
tunnel destination 44.228.138.150
tunnel mode ipsec ipv4
tunnel protection ipsec profile csa-profile-primary

8. Configure el ruteo de manera que el tráfico a la dirección IP o subred asignada se rutee dentro de la interfaz VTI. El salto siguiente debe buscar IP dentro del alcance de VTI.

route VTI-1 0.0.0.0 0.0.0.0 169.254.2.2 5. (para tráfico CGNAT, conjunto RAVPN o basado en Internet)

or 

route VTI-1 172.16.10.101 255.255.255.255 169.254.2.2 5

Routing basado en políticas 

1. Lista de acceso 

access-list PBR extended permit ip 10.10.10.0 255.255.255.0 any

2. Mapa de ruta 

route-map RM-CSA permit 10
match ip address PBR
set ip next-hop 169.254.2.2 169.254.2.6

3. Aplicar mapa de ruta en la interfaz de ingreso 

interface GigabitEthernet0/1
nameif inside
security-level 100
IP address 10.10.10.1 255.255.255.0
policy-route route-map RM-CSA

Verificación

alt-tag-for-image

Estado de disponibilidad de GW e interfaz del router 

alt-tag-for-image

Prueba 1: Router2 —> Router1. - Prueba de ping

alt-tag-for-image

Captura de paquetes en ASA (FW local)

alt-tag-for-image


Captura de paquetes en FTD (FW remoto)

alt-tag-for-image

Prueba 2.  - Router 2 —> Router 1 ping test 

alt-tag-for-image

Captura de paquetes FTD (FW local)

 

alt-tag-for-image

Captura de paquetes ASA (FW remoto)

alt-tag-for-image

Historial de revisiones

Revisión Fecha de publicación Comentarios
1.0
29-Jul-2026
Versión inicial
TAC Authored

Con la colaboración de ingenieros de Cisco

  • Jaikishan Yadav

¿Resultó útil este documento?

FeedbackComentarios

Contacte a Cisco

Este documento se aplica a estos productos