Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Informations générales

Configuration

Configurer la stratégie FlexConfig et l'objet FlexConfig

Vérification

Dépannage

Informations connexes

Introduction

Ce document décrit comment modifier l'attribut vpn-idle-timeout d'un VPN avec des stratégies FlexConfig dans Cisco Firepower Management Center (FMC) afin d'empêcher les temps d'arrêt du tunnel dus à l'inactivité ou au délai d'inactivité.

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

- Firepower Threat Defense (FTD)

- FMC

- Stratégies FlexConfig

- Topologies VPN site à site

Components Used

Les informations contenues dans ce document sont basées sur les versions de logiciel suivantes :

- FMCv - 6.5.0.4 (build 57)

- FTDv - 6.4.0.10 (build 95)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Les VPN de site à site basés sur une stratégie (Crypto map) d'échange de clés Internet version 1 (IKEv1) et de clé Internet version 2 (IKEv2) sont tous deux des tunnels à la demande. Par défaut, le FTD met fin à la connexion VPN s'il n'y a aucune activité de communication sur le tunnel dans une certaine période appelée vpn-idle-timeout. Ce compteur est défini sur 30 minutes par défaut.

Configuration

Configurer la stratégie FlexConfig et l'objet FlexConfig

Étape 1. Sous Devices > FlexConfig, créez une nouvelle stratégie FlexConfig (si elle n'existe pas déjà) et associez-la au FTD où le VPN site à site est configuré.

ou

Étape 2. Dans cette stratégie, créez un objet FlexConfig comme suit :

Name : S2S_Délai_InactifSortant

Déploiement : Partout

type : Ajouter

group-policy .DefaultS2SGroupPolicy attributs

vpn-idle-timeout none

et enregistrez-le.

Étape 3. Dans le volet gauche, recherchez-le et faites-le glisser vers le volet droit à l'aide du bouton >.

Enregistrez les modifications et Déployez.

Étape 3.1 (Facultatif) En tant qu'étape intermédiaire, après avoir enregistré les modifications de configuration, vous pouvez choisir Preview Config afin de vous assurer que les commandes FlexConfig sont prêtes à être poussées à la fin de la configuration.

Vérification

Une fois le déploiement terminé, vous pouvez exécuter cette commande dans LINA (> system support diagnostic-cli) afin de confirmer la nouvelle configuration :

firepower# show running-config group-policy .DefaultS2SGroupPolicy

group-policy .DefaultS2SGroupPolicy internal

group-policy .DefaultS2SGroupPolicy attributes

vpn-idle-timeout none <<<--------------

<omitted output>

Attention : Gardez à l'esprit que cette modification affecte tous les VPN S2S sur le FTD. Il ne s'agit PAS d'un paramètre par tunnel mais d'un paramètre global.

Même si la configuration est présente, le tunnel actif doit être renvoyé (clear crypto ipsec sa peer <Remote_Peer_IP_Address>) afin que la modification prenne effet lorsque le tunnel est rétabli. Vous pouvez confirmer que la modification est en vigueur avec cette commande :

firepower# show vpn-sessiondb detail l2l filter ipaddress

Session Type: LAN-to-LAN Detailed

Connection : X.X.X.X

Index : 7 IP Addr : X.X.X.X

Protocol : IKEv1 IPsec

Encryption : IKEv1: (1)AES256 IPsec: (1)AES256

Hashing : IKEv1: (1)SHA1 IPsec: (1)SHA1

Bytes Tx : 400 Bytes Rx : 400

Login Time : 22:06:56 UTC Tue Jun 15 2021

Duration : 0h:18m:00s

Tunnel Zone : 0

IKEv1 Tunnels: 1

IPsec Tunnels: 1

IKEv1:

Tunnel ID : 7.1

UDP Src Port : 500 UDP Dst Port : 500

IKE Neg Mode : Main Auth Mode : preSharedKeys

Encryption : AES256 Hashing : SHA1

Rekey Int (T): 86400 Seconds Rekey Left(T): 85319 Seconds

D/H Group : 5

Filter Name :

IPsec:

Tunnel ID : 7.2

Local Addr : A.A.A.A/255.255.255.255/0/0

Remote Addr : B.B.B.B/255.255.255.128/0/0

Encryption : AES256 Hashing : SHA1

Encapsulation: Tunnel

Rekey Int (T): 28800 Seconds Rekey Left(T): 27719 Seconds

Rekey Int (D): 4608000 K-Bytes Rekey Left(D): 4608000 K-Bytes

Idle Time Out: 0 Minutes Idle TO Left : 0 Minutes <<<<<<<---------------

Bytes Tx : 400 Bytes Rx : 400

Pkts Tx : 4 Pkts Rx : 4

Le compteur de temps d'inactivité doit être défini sur 0 minute au lieu de 30 minutes et le VPN doit rester actif indépendamment de l'activité/trafic qui le traverse.

Note: Au moment de l'écriture, il existe un bogue d'amélioration pour intégrer la possibilité de modifier ce paramètre directement sur FMC sans avoir besoin de Flexconfig. Voir l'ID de bogue Cisco CSCvr82274 - ENH : rendre le vpn-idle-timeout configurable

Dépannage

Aucune information spécifique n'est actuellement disponible pour le dépannage.

Informations connexes

- Guide de configuration de Firepower Management Center, version 7.0 - Chapitre : Stratégies FlexConfig pour la défense contre les menaces Firepower

- Guide de configuration de Firepower Management Center, version 7.0 - Chapitre : VPN site à site pour la défense contre les menaces Firepower

- Support et documentation techniques - Cisco Systems