Configurer un client VPN Anyconnect sur FTD : Serveur DHCP pour l'attribution d'adresses

Introduction

Ce document fournit un exemple de configuration pour Firepower Threat Defense (FTD) sur la version 6.4, qui permet aux sessions VPN d'accès à distance d'obtenir une adresse IP attribuée par un serveur DHCP (Dynamic Host Configuration Protocol) tiers.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• FTD
• Centre de gestion Firepower (FMC).
• DHCP

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions logicielles suivantes :

• FMC 6,5
• DFT 6,5
• Windows Server 2016

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informations générales

Ce document ne décrira pas la configuration complète de l'accès à distance, mais seulement la configuration requise dans le FTD afin de passer du pool d'adresses locales à l'attribution d'adresses DHCP.

Si vous recherchez le document d'exemple de configuration AnyConnect, reportez-vous à "Configurer le client VPN AnyConnect sur FTD : Hairpining and NAT Exemption".

Configurer

Étape 1 : configuration de l’étendue DHCP sur le serveur DHCP

Dans ce scénario, le serveur DHCP est situé derrière l'interface interne du FTD.

1. Ouvrez le Gestionnaire de serveur dans Windows Server et sélectionnez Tools comme indiqué dans l'image.

2. Sélectionnez DHCP :

3. Sélectionnez IPv4, cliquez dessus avec le bouton droit de la souris et sélectionnez New Scope comme indiqué dans l'image.

4. Suivez l'Assistant comme indiqué dans l'image.

5. Attribuez un nom à l'étendue comme indiqué dans l'image.

6. Configurez la plage d’adresses comme indiqué dans l’image.

7. (Facultatif) Configurez les exclusions comme indiqué dans l'image.

8. Configurez la durée du bail comme indiqué dans l'image.

9. (Facultatif) Configurez les options d'étendue DHCP :

10: Sélectionnez Finish comme indiqué dans l'image.

11: Cliquez avec le bouton droit de la souris dans l'étendue que vous venez de créer et sélectionnez Activer comme illustré dans l'image.

Étape 2 : configuration d’Anyconnect

Une fois l’étendue DHCP configurée et activée, la procédure suivante s’effectue dans le FMC.

Étape 2.1. Configuration du profil de connexion

1. Dans la section DHCP Servers, sélectionnez le  et créez un objet avec l'adresse IP du serveur DHCP.

2. Sélectionnez l'objet en tant que serveur DHCP afin de demander une adresse IP à partir de comme indiqué dans l'image. 

Étape 2.2. Configuration de la stratégie de groupe

1. Dans le menu Group Policy, accédez à General > DNS/WINS, il y a une section DHCP Network Scope comme indiqué dans l'image.

2. Créez un nouvel objet, qui doit avoir la même étendue réseau que le serveur DHCP.

Remarque : Il doit s'agir d'un objet hôte et non d'un sous-réseau.

3. Sélectionnez l'objet d'étendue DHCP et sélectionnez Save comme indiqué dans l'image.

Étape 2.3. Configuration de la stratégie d’attribution d’adresses

1. Accédez à Advanced > Address Assignment Policy et assurez-vous que l'option Use DHCP est activée comme indiqué dans l'image.

2. Enregistrez les modifications et déployez la configuration.

Scénario IP Helper

Lorsque le serveur DHCP se trouve derrière un autre routeur du réseau local (LAN), une « assistance IP » est nécessaire pour transférer les requêtes au serveur DHCP.

Comme l’illustre l’image, une topologie illustre le scénario et les modifications nécessaires dans le réseau.

Vérifier

Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.

Cette section décrit les paquets DHCP échangés entre le FTD et le serveur DHCP.

• Découverte : Il s'agit d'un paquet de monodiffusion envoyé depuis l'interface interne du FTD au serveur DHCP.
  • Dans la charge utile, une adresse IP d'agent de relais spécifie l'étendue du serveur DHCP comme indiqué dans l'image.

• Offre : Ce paquet est une réponse du serveur DHCP. Il est fourni avec la source du serveur DHCP et la destination de l'étendue DHCP dans le FTD.
• Demande : Il s'agit d'un paquet de monodiffusion envoyé de l'interface interne de FTD au serveur DHCP.
• ACK : Ce paquet est une réponse du serveur DHCP. Il est fourni avec la source du serveur DHCP et la destination de l'étendue DHCP dans le FTD.

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Étape 1 : téléchargement et activation de Wireshark sur le serveur DHCP

Étape 2 : application de DHCP comme filtre de capture, comme illustré dans l’image

Étape 3. Connectez-vous à Anyconnect, la négociation DHCP doit être vue comme indiqué dans l’image.

Informations connexes

• Cette vidéo présente l'exemple de configuration de FTD, qui permet aux sessions VPN d'accès à distance d'obtenir une adresse IP attribuée par un serveur DHCP tiers.

• Assistance et documentation techniques - Cisco Systems