Avez-vous un compte?
Cette configuration d'échantillon explique comment former un tunnel d'IPSec avec des clés pré-partagées pour joindre deux réseaux privés. Dans notre exemple, les réseaux joints sont le réseau 192.168.1.X privé à l'intérieur du Pare-feu Cisco Secure de Pix (PIX) et le réseau 10.32.50.X privé à l'intérieur du point de reprise. On le suppose que le trafic de l'intérieur du PIX et de l'intérieur que le pare-feu Checkpoint 4.1 à l'Internet (représenté ici par les réseaux 172.18.124.X) circule avant de commencer cette configuration.
Aucune spécification déterminée n'est requise pour ce document.
Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :
Version du logiciel PIX 5.3.1
Pare-feu Checkpoint 4.1
Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.
Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.
Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.
Remarque: Pour obtenir des informations supplémentaires sur les commandes utilisées dans ce document, utilisez l'Outil de recherche de commande (clients enregistrés seulement).
Ce document utilise la configuration réseau indiquée dans le diagramme suivant :
Ce document utilise les configurations affichées dans cette section.
Puisque l'IKE et les vies par défaut d'IPSec diffèrent entre les constructeurs, Properties choisi > le cryptage pour placer les durées de vie du point de contrôle pour être d'accord avec le PIX se transfère.
Le durée de vie IKE par défaut du PIX est de 86400 secondes (minutes =1440), de modifiable par cette commande : stratégie d'ISAKMP # vie 86400
La vie d'IKE PIX peut être configurée entre 60-86400 secondes.
La vie d'IPSec de par défaut PIX est de 28800 secondes, de modifiable par cette commande : le crypto ipsec security-association lifetime seconde #
Vous pouvez configurer une vie PIX IPSec entre 120-86400 secondes.
Choisi gérez > des objets de réseau > nouveau (ou éditez) > réseau pour configurer l'objet pour (« cpinside ») le réseau interne derrière le point de reprise.
Ceci doit être conforme au réseau de destination (en second lieu) dans cette commande PIX : IP 192.168.1.0 255.255.255.0 10.32.50.0 255.255.255.0 d'autorisation de la liste d'accès 115
Choisi gérez > des objets de réseau > éditent pour éditer l'objet pour point final de passerelle (point de reprise le « RTPCPVPN ») ce les points PIX à dans cette commande : le nom de carte de chiffrement # a placé des ip_address de pair
Sous l'emplacement, interne choisi. Pour le type, passerelle choisie. Sous des modules installés, sélectionnez la case à cocher VPN-1 et FireWall-1, et sélectionnez également la case à cocher de station de Gestion :
Choisi gérez > des objets de réseau > nouveau > réseau pour configurer l'objet pour (« inside_cisco ») le réseau externe derrière le PIX.
Ceci doit être conforme au premier) réseau de source (dans cette commande PIX : IP 192.168.1.0 255.255.255.0 10.32.50.0 255.255.255.0 d'autorisation de la liste d'accès 115
Choisi gérez > des objets de réseau > nouveau > poste de travail pour ajouter un objet pour (« cisco_endpoint ») la passerelle PIX externe. C'est l'interface PIX à laquelle cette commande est appliquée : interface de nom de carte de chiffrement dehors
Sous l'emplacement, externe choisi. Pour le type, passerelle choisie.
Remarque: Ne sélectionnez pas la case à cocher VPN-1/FireWall-1.
Choisi gérez > des objets de réseau > éditent pour éditer onglet VPN de point d'extrémité de passerelle avec point de contrôle (appelé le le « RTPCPVPN »). Sous le domaine, sélectionnez autre et puis sélectionnez l'intérieur du réseau de points de contrôle (appelé le « cpinside ») de la liste déroulante. Sous des structures de chiffrement définies, l'IKE choisi, et cliquent sur Edit alors.
Changez les propriétés IKE pour le chiffrement DES pour être d'accord avec cette commande :
DES de stratégie # de cryptage d'ISAKMP
Changez les propriétés IKE au hachage SHA1 pour être d'accord avec cette commande :
stratégie d'ISAKMP # SHA d'informations parasites
Changez ces configurations :
Retirez le mode agressif.
Sélectionnez la case à cocher de sous-réseaux de supports.
Sous la méthode d'authentification, sélectionnez la case à cocher secrète pré-partagée. Ceci est conforme à cette commande :
stratégie # authentication pre-share d'ISAKMP
Cliquez sur Edit les secrets pour placer la clé pré-partagée pour être d'accord avec la commande PIX :
netmask principal principal de netmask d'address address d'ISAKMP
Choisi gérez > des objets de réseau > éditent pour éditer l'onglet VPN de « cisco_endpoint ». Sous le domaine, sélectionnez autre, et puis sélectionnez l'intérieur du réseau PIX (appelé le « inside_cisco »). Sous des structures de chiffrement définies, l'IKE choisi, et cliquent sur Edit alors.
Changez le chiffrement DES de propriétés IKE pour être d'accord avec cette commande :
DES de stratégie # de cryptage d'ISAKMP
Changez les propriétés IKE au hachage SHA1 pour être d'accord avec cette commande :
crypto isakmp policy # SHA d'informations parasites
Changez ces configurations :
Retirez le mode agressif.
Sélectionnez la case à cocher de sous-réseaux de supports.
Sous la méthode d'authentification, sélectionnez la case à cocher secrète pré-partagée. Cette action est conforme à cette commande :
stratégie # authentication pre-share d'ISAKMP
Cliquez sur Edit les secrets pour placer la clé pré-partagée pour être d'accord avec cette commande PIX :
netmask principal principal de netmask d'address address d'ISAKMP
Dans la fenêtre de l'éditeur de stratégie, insérez une règle avec la source et la destination en tant que le « inside_cisco » et « cpinside » (bidirectionnel). Placez Service=Any, Action=Encrypt, et Track=Long.
Sous le titre d'action, cliquez sur l'icône verte chiffrement et choisi éditez les propriétés pour configurer des stratégies de chiffrement.
L'IKE choisi, et cliquent sur Edit alors.
Sur les propriétés IKE examinez, changez ces propriétés pour être d'accord avec le PIX IPSec transforme dans cette commande :
ESP-SHA-hmac ESP-DES de myset de crypto ipsec transform-set
Sous transformez, cryptage + intégrité des données choisis (ESP). L'algorithme de chiffrement doit être DES, intégrité des données doit être SHA1, et la passerelle homologue permise doit être la passerelle PIX externe (appelée le « cisco_endpoint »). Cliquez sur OK.
Après que le point de reprise soit configuré, la stratégie choisie > installent sur le menu du point de contrôle pour que les modifications les prennent effet.
Cette section présente des informations que vous pouvez utiliser pour vous assurer que votre configuration fonctionne correctement.
Certaines commandes show sont prises en charge par l'Output Interpreter Tool (clients enregistrés uniquement), qui vous permet de voir une analyse de la sortie de la commande show.
Avant d'émettre des commandes debug, reportez-vous aux Informations importantes sur les commandes de débogage.
debug crypto engine — Affichez les messages de débogage au sujet des moteurs de chiffrement, qui exécutent le cryptage et le déchiffrement.
debug crypto isakmp — Messages d'affichage au sujet des événements d'IKE.
debug crypto ipsec — Événements d'IPSec d'affichage.
show crypto isakmp sa — Visualisez toutes les associations de sécurité en cours d'IKE (SAS) à un pair.
show crypto ipsec sa — Visualisez les configurations utilisées par les associations de sécurité en cours.
clear crypto isakmp SA — (du mode de configuration) effacez toutes les connexions actives d'IKE.
clear crypto ipsec sa — (du mode de configuration) supprimez toutes les associations de sécurité d'IPSec.
Puisque le cheminement a été placé pour long dans la fenêtre de l'éditeur de stratégie affichée dans l'étape 14, refusée le trafic apparaît en rouge dans le visualiseur de log. Un plus bavard mettent au point peut être obtenu en entrant :
C:\WINNT\FW1\4.1\fwstop C:\WINNT\FW1\4.1\fw d -d
et dans une autre fenêtre :
C:\WINNT\FW1\4.1\fwstart
Remarque: C'était une installation de NT de Microsoft Windows.
Vous pouvez effacer SAS sur le point de reprise avec ces commandes :
fw tab -t IKE_SA_table -x fw tab -t ISAKMP_ESP_table -x fw tab -t inbound_SPI -x fw tab -t ISAKMP_AH_table -x
et répondant oui au êtes-vous sure ? demande.
Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.
Quand des réseaux intérieurs adjacents de multiple sont configurés dans le domaine de cryptage sur le point de reprise, le périphérique peut automatiquement les récapituler en ce qui concerne le trafic intéressant. Si le crypto ACL sur le PIX n'est pas configuré pour s'assortir, le tunnel échoue vraisemblablement. Par exemple, si les réseaux intérieurs de 10.0.0.0 /24 et de 10.0.1.0 /24 sont configurés pour être inclus dans le tunnel, ils peuvent être récapitulés à 10.0.0.0 /23.
cisco_endpoint# show debug debug crypto ipsec 1 debug crypto isakmp 1 debug crypto engine debug fover status tx Off rx Off open Off cable Off txdmp Off rxdmp Off ifc Off rxip Off txip Off get Off put Off verify Off switch Off fail Off fmsg Off cisco_endpoint# term mon cisco_endpoint# ISAKMP (0): beginning Quick Mode exchange, M-ID of 2112882468:7df00724IPSEC(key_engine): got a queue event... IPSEC(spi_response): getting spi 0x9d71f29c(2641490588) for SA from 172.18.124.157 to 172.18.124.35 for prot 3 70 crypto_isakmp_process_block: src 172.18.124.157, dest 172.18.124.35 OAK_QM exchange oakley_process_quick_mode: OAK_QM_IDLE ISAKMP (0): processing SA payload. message ID = 2112882468 ISAKMP : Checking IPSec proposal 1 ISAKMP: transform 1, ESP_DES ISAKMP: attributes in transform: ISAKMP: encaps is 1 ISAKMP: SA life type in seconds ISAKMP: SA life duration (basic) of 28800 ISAKMP: SA life type in kilobytes ISAKMP: SA life duration (VPI) of 0x0 0x46 0x50 0x0 ISAKMP: authenticator is HMAC-SHA ISAKMP (0): atts are acceptable.IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) dest= 172.18.124.157, src= 172.18.124.35, dest_proxy= 10.32.50.0/255.255.255.0/0/0 (type=4), src_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4), protocol= ESP, transform= esp-des esp-sha-hmac , lifedur= 0s and 0kb, spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4 ISAKMP (0): processing NONCE payload. message ID = 2112882468 ISAKMP (0): processing ID payload. message ID = 2112882468 ISAKMP (0): processing ID payload. message ID = 2112882468map_alloc_entry: allocating entry 3 map_alloc_entry: allocating entry 4 ISAKMP (0): Creating IPSec SAs inbound SA from 172.18.124.157 to 172.18.124.35 (proxy 10.32.50.0 to 192.168.1.0) has spi 2641490588 and conn_id 3 and flags 4 lifetime of 28800 seconds lifetime of 4608000 kilobytes outbound SA from 172.18.124.35 to 172.18.124.157 (proxy 192.168.1.0 to 10.32.50.0) has spi 3955804195 and conn_id 4 and flags 4 lifetime of 28800 seconds lifetime of 4608000 kilobytesIPSEC(key_engine): got a queue event... IPSEC(initialize_sas): , (key eng. msg.) dest= 172.18.124.35, src= 172.18.124.157, dest_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4), src_proxy= 10.32.50.0/255.255.255.0/0/0 (type=4), protocol= ESP, transform= esp-des esp-sha-hmac , lifedur= 28800s and 4608000kb, spi= 0x9d71f29c(2641490588), conn_id= 3, keysize= 0, flags= 0x4 IPSEC(initialize_sas): , (key eng. msg.) src= 172.18.124.35, dest= 172.18.124.157, src_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4), dest_proxy= 10.32.50.0/255.255.255.0/0/0 (type=4), protocol= ESP, transform= esp-des esp-sha-hmac , lifedur= 28800s and 4608000kb, spi= 0xebc8c823(3955804195), conn_id= 4, keysize= 0, flags= 0x4 return status is IKMP_NO_ERROR2303: sa_request, (key eng. msg.) src= 172.18.124.35, dest= 172.18.124.157, src_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4), dest_proxy= 10.32.50.0/255.255.255.0/0/0 (type=4), protocol= ESP, transform= esp-des esp-sha-hmac , lifedur= 28800s and 4608000kb, spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4004 602301: sa created, (sa) sa_dest= 172.18.124.35, sa_prot= 50, sa_spi= 0x9d71f29c(2641490588), sa_trans= esp-des esp-sha-hmac , sa_conn_id= 3 602301: sa created, (sa) sa_dest= 172.18.124.157, sa_prot= 50, sa_spi= 0xebc8c823(3955804195), sa_trans= esp-des esp-sha-hmac , sa_conn_id= 4 cisco_endpoint# sho cry ips sa interface: outside Crypto map tag: rtpmap, local addr. 172.18.124.35 local ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0) remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0) current_peer: 172.18.124.157 PERMIT, flags={origin_is_acl,} #pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0 #pkts decaps: 0, #pkts decrypt: 0, #pkts verify 0 #pkts compressed: 0, #pkts decompressed: 0 #pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0 #send errors 0, #recv errors 0 local crypto endpt.: 172.18.124.35, remote crypto endpt.: 172.18.124.157 path mtu 1500, ipsec overhead 0, media mtu 1500 current outbound spi: 0 inbound esp sas: inbound ah sas: inbound pcp sas: outbound esp sas: outbound ah sas: outbound pcp sas: local ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0) remote ident (addr/mask/prot/port): (10.32.50.0/255.255.255.0/0/0) current_peer: 172.18.124.157 PERMIT, flags={origin_is_acl,} #pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4 #pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4 #pkts compressed: 0, #pkts decompressed: 0 #pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0 #send errors 1, #recv errors 0 local crypto endpt.: 172.18.124.35, remote crypto endpt.: 172.18.124.157 path mtu 1500, ipsec overhead 56, media mtu 1500 current outbound spi: ebc8c823 inbound esp sas: spi: 0x9d71f29c(2641490588) transform: esp-des esp-sha-hmac , in use settings ={Tunnel, } slot: 0, conn id: 3, crypto map: rtpmap sa timing: remaining key lifetime (k/sec): (4607999/28777) IV size: 8 bytes replay detection support: Y inbound ah sas: inbound pcp sas: outbound esp sas: spi: 0xebc8c823(3955804195) transform: esp-des esp-sha-hmac , in use settings ={Tunnel, } slot: 0, conn id: 4, crypto map: rtpmap sa timing: remaining key lifetime (k/sec): (4607999/28777) IV size: 8 bytes replay detection support: Y outbound ah sas: outbound pcp sas: cisco_endpoint# sho cry is sa dst src state pending created 172.18.124.157 172.18.124.35 QM_IDLE 0 2