ASDM 6.4 : Tunnel VPN de site à site avec l'exemple de la configuration IKEv2

Options de téléchargement

PDF (92.9 KB)
Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
ePub (74.2 KB)
Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
Mobi (Kindle) (75.7 KB)
Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils

Mis à jour:30 mars 2012

ID du document:113486

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

Contenu

Introduction

Conditions préalables

Conditions requises

Composants utilisés

Conventions

Informations générales

Configurez

Diagramme du réseau

Configuration ASDM sur HQ-ASA

Vérifiez

Dépannez

Dépannage des commandes

Informations connexes

Introduction

Ce document décrit comment configurer un tunnel VPN de site à site entre deux dispositifs de sécurité adaptable Cisco (ASA) utilisant la version 2 d'échange de clés Internet (IKE). Il décrit les étapes utilisées pour configurer le tunnel VPN utilisant un assistant d'interface utilisateur d'Adaptive Security Device Manager (ASDM).

Conditions préalables

Conditions requises

Assurez-vous que Cisco ASA a été configuré avec les paramètres de base.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

Dispositifs de sécurité adaptatifs dédiés de la gamme Cisco ASA 5500 exécutant la version de logiciel 8.4 et plus tard
Version de logiciel 6.4 de Cisco ASDM et plus tard

Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Informations générales

IKEv2, est une amélioration au protocole IKEv1 existant qui inclut ces avantages :

Moins échanges de message entre les pairs d'IKE
Méthodes d'authentification unidirectionnelle
Prise en charge intégrée pour Dead Peer Detection (DPD) et le NAT-Traversal
Utilisation de Protocole EAP (Extensible Authentication Protocol) pour l'authentification
Élimine le risque d'attaques DoS simples utilisant les Témoins anticolmatants

Ouvrez une session à l'ASDM, et allez aux assistants > aux assistants VPN > à l'assistant du site à site VPN.
Une fenêtre d'installation de connexion VPN de site à site apparaît. Cliquez sur Next (Suivant).
Spécifiez l'interface d'adresse IP et d'accès VPN de pair. Cliquez sur Next (Suivant).
Sélectionnez les deux versions d'IKE, et cliquez sur Next.

Remarque: Les deux versions d'IKE sont configurées ici parce que le demandeur pourrait avoir une sauvegarde d'IKEv2 à IKEv1 quand IKEv2 échoue.
Spécifiez le réseau local et le réseau distant de sorte que le trafic entre ces réseaux soient chiffrés et avez traversé le tunnel VPN. Cliquez sur Next (Suivant).
Spécifiez les clés pré-partagées pour les deux versions d'IKE.

La difference majeure entre les versions 1 et 2 d'IKE se trouve en termes de méthode d'authentification qu'ils permettent. IKEv1 permet seulement un type d'authentification aux deux extrémités VPN (c'est-à-dire, l'un ou l'autre de clé ou de certificat pré-partagée). Cependant, IKEv2 permet des méthodes d'authentification asymétriques à configurer (c'est-à-dire, authentification de pre-shared-key pour le créateur, mais authentification de certificat pour le responder) utilisant les gens du pays distincts et l'authentification à distance CLIs.

De plus, vous pouvez avoir différentes clés pré-partagées aux deux extrémités. La clé pré-partagée locale à l'extrémité HQ-ASA devient la clé pré-partagée distante à l'extrémité BQ-ASA. De même, la clé pré-partagée distante à l'extrémité HQ-ASA devient la clé pré-partagée locale à l'extrémité BQ-ASA.
Spécifiez les algorithmes de chiffrement pour les deux versions 1 et 2 d'IKE. Ici, les valeurs par défaut sont reçues :
Le clic parviennent… afin de modifier la stratégie IKE.

Remarque:
- La stratégie IKE dans IKEv2 est synonyme à la stratégie ISAKMP dans IKEv1.
- La proposition d'IPsec dans IKEv2 est synonyme au jeu de transformations dans IKEv1.
Ce message apparaît quand vous essayez de modifier la stratégie existante :

Cliquez sur OK afin de poursuivre.
Sélectionnez la stratégie IKE spécifiée, et cliquez sur Edit.
Vous pouvez modifier les paramètres des valeurs tels que la priorité, le cryptage, le groupe de D-H, les informations parasites d'intégrité, PRF informations parasites, et vie. Cliquez sur OK une fois terminé.

IKEv2 tient compte pour que l'algorithme d'intégrité soit négocié séparément du pseudo algorithme aléatoire de la fonction (PRF). Ceci a pu être configuré dans la stratégie IKE avec des options disponibles en cours étant SHA-1 ou MD5.

Vous ne pouvez pas modifier les paramètres de proposition d'IPsec qui sont définis par défaut. Clic choisi à côté du champ de proposition d'IPsec afin d'ajouter de nouveaux paramètres. La difference majeure entre IKEv1 et IKEv2, en termes de propositions d'IPsec, est qu'IKEv1 reçoit le jeu de transformations en termes de combinaisons des algorithmes de cryptage et d'authentification. IKEv2 reçoit les paramètres de cryptage et d'intégrité individuellement, et fait finalement tout le possible OU combinaisons de ces derniers. Vous pourriez visualiser ces derniers à l'extrémité de cet assistant, dans la glissière récapitulative.
Cliquez sur Next (Suivant).
Spécifiez les détails, sauter tels que le nat exemption, le PFS, et d'interface ACL. Choisissez ensuite.
Un résumé de la configuration peut être vu ici :

Cliquez sur Finish afin de se terminer l'assistant de tunnel VPN de site à site. Un nouveau profil de connexion est créé avec les paramètres configurés.

Vérifiez

Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.

L'Outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .

affichez cryptos ikev2 SA - Affiche la base de données d'exécution SA IKEv2.
affichez le détail l2l de VPN-sessiondb - Affiche les informations sur des sessions VPN de site à site.

Dépannez

Dépannage des commandes

L'Outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .

Remarque: Référez-vous aux informations importantes sur les commandes de débogage avant d'utiliser les commandes de débogage.