Configuration du tunnel site à site IKEv2 IPv6 entre ASA et FTD

Introduction

Ce document fournit un exemple de configuration pour configurer un tunnel site à site IPv6 entre un ASA (Adaptive Security Appliance) et FTD (Firepower Threat Defense) à l'aide du protocole IKEv2 (Internet Key Exchange version 2). La configuration inclut une connectivité réseau IPv6 de bout en bout avec ASA et FTD comme périphériques de terminaison VPN.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Connaissances fondamentales de la configuration CLI ASA
• Connaissances fondamentales des protocoles IKEv2 et IPSEC
• Compréhension de l'adressage et du routage IPv6
• Compréhension de base de la configuration FTD via FMC

Composants utilisés

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Cisco ASAv 9.6(4)12
• Cisco FTDv version 6.5.0
• Cisco FMCv version 6.6.0

Configurer

Diagramme du réseau

Configuration ASA

Cette section décrit la configuration requise sur l'ASA. 

Étape 1 : configuration des interfaces ASA

interface GigabitEthernet0/0
nameif outside
security-level 0
ipv6 address 2001:bbbb::1/64
ipv6 enable

interface GigabitEthernet0/1
nameif inside
security-level 100
ipv6 address 2001:aaaa::1/64
ipv6 enable

Étape 2 : définition d'une route par défaut IPv6

ipv6 route outside ::/0 2001:bbbb::2

Étape 3 : configuration de la stratégie IKEv2 et activation d’IKEv2 sur l’interface externe

crypto ikev2 policy 1
encryption aes-256
integrity sha256
group 14
prf sha256
lifetime seconds 86400

crypto ikev2 enable outside

Étape 4 : configuration du groupe de tunnels

tunnel-group 2001:cccc::1 type ipsec-l2l
tunnel-group 2001:cccc::1 ipsec-attributes
ikev2 remote-authentication pre-shared-key cisco123
ikev2 local-authentication pre-shared-key cisco123

Étape 5. Créez les objets et la liste de contrôle d’accès (ACL) correspondant au trafic intéressant. 

object-group network local-network
network-object 2001:aaaa::/64

object-group network remote-network
network-object 2001:dddd::/64

access-list CRYPTO_ACL extended permit ip object-group local-network object-group remote-network

Étape 6 : configuration des règles de traduction d’adresses de réseau (NAT) d’identité pour le trafic intéressant 

nat (inside,outside) source static local-network local-network destination static remote-network remote-network no-proxy-arp route-lookup

Étape 7 : configuration de la proposition IPSec IKEv2

crypto ipsec ikev2 ipsec-proposal ikev2_aes256
protocol esp encryption aes-256
protocol esp integrity sha-1

Étape 8. Définition de la carte de chiffrement et application à l’interface externe 

crypto map VPN 1 match address CRYPTO_ACL
crypto map VPN 1 set peer 2001:cccc::1
crypto map VPN 1 set ikev2 ipsec-proposal ikev2_aes256
crypto map VPN 1 set reverse-route

crypto map VPN interface outside

Configuration FTD

Cette section fournit des instructions pour configurer un FTD à l'aide de FMC. 

Définition de la topologie VPN

Étape 1. Accédez à Devices > VPN > Site To Site.

Sélectionnez « Add VPN » et choisissez « Firepower Threat Defense Device », comme illustré dans cette image.

Étape 2. La boîte de dialogue « Créer une nouvelle topologie VPN » s’affiche. Donnez au VPN un nom facilement identifiable.

Topologie du réseau : Point à point

Version IKE : IKEv2

Dans cet exemple, lorsque vous sélectionnez les points d'extrémité, le noeud A est le FTD. Le noeud B est l'ASA. Cliquez sur le bouton plus vert pour ajouter des périphériques à la topologie.

Étape 3 : ajout du FTD comme premier point d’extrémité

Sélectionnez l'interface à laquelle la carte de chiffrement est appliquée. L'adresse IP doit être renseignée automatiquement à partir de la configuration du périphérique.

Cliquez sur l'icône plus verte sous Protected Networks pour sélectionner les sous-réseaux qui sont chiffrés via ce tunnel VPN. Dans cet exemple, l'objet réseau « Proxy local » sur FMC comprend le sous-réseau IPv6 « 2001:DDD::/64 ».

Avec l'étape ci-dessus, la configuration du point d'extrémité FTD est terminée.

Étape 4. Cliquez sur l’icône plus verte du noeud B, qui est un ASA dans l’exemple de configuration. Les périphériques qui ne sont pas gérés par le FMC sont considérés comme des périphériques extranet. Ajoutez un nom de périphérique et une adresse IP.

Étape 5. Sélectionnez l’icône plus verte pour ajouter des réseaux protégés.

Étape 6. Sélectionnez les sous-réseaux ASA qui doivent être chiffrés et ajoutez-les aux réseaux sélectionnés.

« Remote Proxy » est le sous-réseau ASA « 2001:AAAA::/64 » dans cet exemple.

Configuration des paramètres IKE

Étape 1. Sous l’onglet IKE, spécifiez les paramètres à utiliser pour l’échange initial IKEv2. Cliquez sur l'icône plus verte pour créer une nouvelle stratégie IKE.

Étape 2. Dans la nouvelle stratégie IKE, spécifiez un numéro de priorité ainsi que la durée de vie de la phase 1 de la connexion. Ce guide utilise les paramètres suivants pour l'échange initial :
Intégrité (SHA256)
Cryptage (AES-256),
PRF (SHA256), et
Groupe Diffie-Hellman (Groupe 14).

Toutes les stratégies IKE du périphérique seront envoyées à l'homologue distant, quel que soit le contenu de la section de stratégie sélectionnée. Le premier correspondant de l'homologue distant sera sélectionné pour la connexion VPN.

[Facultatif] Choisissez la stratégie à envoyer en premier à l'aide du champ de priorité. La priorité 1 est envoyée en premier.

Étape 3. Une fois les paramètres ajoutés, sélectionnez la stratégie configurée ci-dessus et choisissez le type d’authentification.

Sélectionnez l'option Clé manuelle pré-partagée. Pour ce guide, la clé pré-partagée « cisco123 » est utilisée.

Configuration des paramètres IPSEC

Étape 1. Accédez à l’onglet IPsec et créez une nouvelle proposition IPsec en cliquant sur l’icône représentant un crayon pour modifier le jeu de transformation.

Étape 2. Créez une nouvelle proposition IKEv2 IPsec en sélectionnant l’icône plus verte et en saisissant les paramètres de la phase 2, comme indiqué ci-dessous :

Hachage ESP : SHA-1

Chiffrement ESP : AES-256

Étape 3. Une fois la nouvelle proposition IPsec créée, ajoutez-la aux jeux de transformation sélectionnés.

Étape 4. La proposition IPsec nouvellement sélectionnée figure désormais dans la liste des propositions IPsec IKEv2.

Si nécessaire, la durée de vie de la phase 2 et le PFS peuvent être modifiés ici. Dans cet exemple, la durée de vie est définie par défaut et PFS est désactivé.


Vous devez configurer les étapes ci-dessous pour contourner le contrôle d'accès ou créer des règles de stratégie de contrôle d'accès pour autoriser les sous-réseaux VPN via FTD.

Contourner le contrôle d'accès

Si sysopt permit-vpn n'est pas activé alors une politique de contrôle d'accès doit être créée pour permettre le trafic VPN à travers le périphérique FTD. Si sysopt permit-vpn est activé, ignorez la création d'une stratégie de contrôle d'accès. Cet exemple de configuration utilise l'option « Bypass Access Control ».

Le paramètre sysopt permit-vpn peut être activé sous Advanced > Tunnel.

Mise en garde : Cette option supprime la possibilité d'utiliser la politique de contrôle d'accès pour inspecter le trafic provenant des utilisateurs. Les filtres VPN ou les listes de contrôle d’accès téléchargeables peuvent toujours être utilisés pour filtrer le trafic utilisateur. Il s'agit d'une commande globale qui s'applique à tous les VPN si cette case est cochée.

Configurer l'exemption NAT

Configurez une instruction d'exemption NAT pour le trafic VPN. Une exemption NAT doit être en place pour empêcher le trafic VPN de correspondre à une autre instruction NAT et de traduire incorrectement le trafic VPN.

Étape 1. Accédez à Devices > NAT et créez une nouvelle stratégie en cliquant sur New Policy > Threat Defense NAT.

Étape 2. Cliquez sur Add Rule.

Étape 3 : création d’une nouvelle règle NAT statique manuelle

Référencez les interfaces interne et externe pour la règle NAT. La spécification des interfaces dans l'onglet Objets d'interface empêche ces règles d'affecter le trafic provenant d'autres interfaces. 

Accédez à l'onglet Traduction et sélectionnez les sous-réseaux source et de destination. Comme il s'agit d'une règle d'exemption NAT, assurez-vous que la source/destination d'origine et la source/destination traduite sont identiques.

Cliquez sur l'onglet Advanced et activez no-proxy-arp et route-lookup.

Enregistrez cette règle et confirmez l'instruction NAT finale dans la liste NAT.

Étape 4. Une fois la configuration terminée, enregistrez-la et déployez-la sur le FTD.

Vérifier

Lancez le trafic intéressant à partir de la machine LAN ou exécutez la commande packet-tracer ci-dessous sur l'ASA.

packet-tracer input inside icmp 2001:aaaa::23 128 0 2001:dddd::33 detail

Remarque: Ici, le type = 128 et le code = 0 représentent la « requête d'écho » ICMPv6.

La section ci-dessous décrit les commandes que vous pouvez exécuter sur l'interface CLI ASAv ou FTD LINA pour vérifier l'état du tunnel IKEv2.

Voici un exemple d'une sortie de l'ASA :

ciscoasa# show crypto ikev2 sa

IKEv2 SAs:

Session-id:3, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                                               Remote                                                  Status         Role
  6638313 2001:bbbb::1/500                                    2001:cccc::1/500                                         READY    INITIATOR
      Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK
      Life/Active Time: 86400/224 sec
Child sa: local selector  2001:aaaa::/0 - 2001:aaaa::ffff:ffff:ffff:ffff/65535
          remote selector 2001:dddd::/0 - 2001:dddd::ffff:ffff:ffff:ffff/65535
          ESP spi in/out: 0xa0fd3fe6/0xd95ecdb8 


ciscoasa# show crypto ipsec sa detail
interface: outside
    Crypto map tag: VPN, seq num: 1, local addr: 2001:bbbb::1

      access-list CRYPTO_ACL extended permit ip 2001:aaaa::/64 2001:dddd::/64
      local ident (addr/mask/prot/port): (2001:aaaa::/64/0/0)
      remote ident (addr/mask/prot/port): (2001:dddd::/64/0/0)
      current_peer: 2001:cccc::1

      #pkts encaps: 11, #pkts encrypt: 11, #pkts digest: 11
      #pkts decaps: 11, #pkts decrypt: 11, #pkts verify: 11
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #TFC rcvd: 0, #TFC sent: 0
      #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
      #pkts no sa (send): 0, #pkts invalid sa (rcv): 0
      #pkts encaps failed (send): 0, #pkts decaps failed (rcv): 0
      #pkts invalid prot (rcv): 0, #pkts verify failed: 0
      #pkts invalid identity (rcv): 0, #pkts invalid len (rcv): 0
      #pkts invalid pad (rcv): 0,
      #pkts invalid ip version (rcv): 0,
      #pkts replay rollover (send): 0, #pkts replay rollover (rcv): 0
      #pkts replay failed (rcv): 0
      #pkts min mtu frag failed (send): 0, #pkts bad frag offset (rcv): 0
      #pkts internal err (send): 0, #pkts internal err (rcv): 0

      local crypto endpt.: 2001:bbbb::1/500, remote crypto endpt.: 2001:cccc::1/500
      path mtu 1500, ipsec overhead 94(64), media mtu 1500
      PMTU time remaining (sec): 0, DF policy: copy-df
      ICMP error validation: disabled, TFC packets: disabled
      current outbound spi: D95ECDB8
      current inbound spi : A0FD3FE6

    inbound esp sas:
      spi: 0xA0FD3FE6 (2700951526)
         transform: esp-aes-256 esp-sha-hmac no compression
         in use settings ={L2L, Tunnel, IKEv2, }
         slot: 0, conn_id: 1937408, crypto-map: VP
         sa timing: remaining key lifetime (kB/sec): (4055040/28535)
         IV size: 16 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001
    outbound esp sas:
      spi: 0xD95ECDB8 (3646868920)
         transform: esp-aes-256 esp-sha-hmac no compression
         in use settings ={L2L, Tunnel, IKEv2, }
         slot: 0, conn_id: 1937408, crypto-map: VPN
         sa timing: remaining key lifetime (kB/sec): (4193280/28535)
         IV size: 16 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001


ciscoasa# show vpn-sessiondb detail l2l filter name 2001:cccc::1 

Session Type: LAN-to-LAN Detailed

Connection   : 2001:cccc::1
Index        : 473                    IP Addr      : 2001:cccc::1
Protocol     : IKEv2 IPsec
Encryption   : IKEv2: (1)AES256  IPsec: (1)AES256
Hashing      : IKEv2: (1)SHA256  IPsec: (1)SHA1
Bytes Tx     : 352                     Bytes Rx     : 352
Login Time   : 12:27:36 UTC Sun Apr 12 2020
Duration     : 0h:06m:40s

IKEv2 Tunnels: 1
IPsec Tunnels: 1

IKEv2:
  Tunnel ID    : 473.1
  UDP Src Port : 500                    UDP Dst Port : 500
  Rem Auth Mode: preSharedKeys
  Loc Auth Mode: preSharedKeys
  Encryption   : AES256                 Hashing      : SHA256
  Rekey Int (T): 86400 Seconds          Rekey Left(T): 86000 Seconds
  PRF          : SHA256                 D/H Group    : 14
  Filter Name  :

IPsec:
  Tunnel ID    : 473.2
  Local Addr   : 2001:aaaa::/64/0/0
  Remote Addr  : 2001:dddd::/64/0/0
  Encryption   : AES256                 Hashing      : SHA1                   
  Encapsulation: Tunnel                 
  Rekey Int (T): 28800 Seconds          Rekey Left(T): 28400 Seconds          
  Rekey Int (D): 4608000 K-Bytes        Rekey Left(D): 4608000 K-Bytes        
  Idle Time Out: 30 Minutes             Idle TO Left : 23 Minutes             
  Bytes Tx     : 352                    Bytes Rx     : 352                     
  Pkts Tx      : 11                     Pkts Rx      : 11      

Dépannage

Pour résoudre les problèmes d'établissement de tunnel IKEv2 sur ASA et FTD, exécutez les commandes debug suivantes :

debug crypto condition peer <peer IP>
debug crypto ikev2 protocol 255
debug crypto ikev2 platform 255

Voici un exemple de débogages IKEv2 fonctionnels pour référence :
https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/115935-asa-ikev2-debugs.html

Références

https://www.cisco.com/c/en/us/support/docs/security-vpn/ipsec-negotiation-ike-protocols/119425-configure-ipsec-00.html
https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/81824-common-ipsec-trouble.html