Table des matières

Introduction

Conditions préalables

Exigences

Composants utilisés

Informations générales

Configurer

Configuration d'accès sécurisé

Configuration du groupe de tunnels réseau

Routage d'accès sécurisé

Routage basé sur des politiques

Enregistrer la configuration du groupe de tunnels réseau

Créer une ressource privée

Créer une règle de stratégie d'accès

Configuration de la défense pare-feu sécurisée contre les menaces (FTD)

Configuration des interfaces de tunnel virtuel

Configuration du tunnel IPsec

Configuration du routage FTD

Routage basé sur des politiques

Configuration de la politique d'accès

Vérifier

Vérifier dans FTD

État du tunnel dans FTD

Vérifier dans un accès sécurisé

État du tunnel dans Secure Access

Événements dans l'accès sécurisé

Informations connexes

Introduction

Ce document décrit comment configurer l'accès sécurisé avec FTD via IPsec pour l'accès privé sécurisé avec le routage basé sur la stratégie.

Conditions préalables

Exigences

- Connaissances de Cisco Secure Access

- Tableau de bord/locataire Cisco Secure Access

- Connaissances du Centre de gestion des pare-feu et de défense pare-feu

- Connaissances IPsec

- Connaissance du routage basé sur des politiques

Composants utilisés

- Pare-feu sécurisé exécutant 7.7.10 code

- Centre de gestion des pare-feu fourni dans le cloud. La configuration s’applique également au FMC virtuel type

- Tableau de bord Cisco Secure Access

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Les tunnels réseau dans Secure Access peuvent être utilisés à deux fins principales : Accès Internet sécurisé et accès privé sécurisé.

Pour un accès privé sécurisé, les entreprises peuvent tirer parti de ZTA (Zero Trust Access) et/ou VPN as a Service (VPNaaS) pour connecter les utilisateurs à des ressources privées telles que des applications internes ou des data centers. Les tunnels IPsec jouent un rôle clé dans cette architecture en chiffrant de manière sécurisée le trafic réseau entre les utilisateurs et les ressources privées, garantissant que les données sensibles restent protégées lorsqu'elles traversent des réseaux non fiables. En intégrant des tunnels IPsec avec ZTA ou VPNaaS, les entreprises peuvent fournir un accès transparent et sécurisé aux ressources internes tout en conservant des contrôles de sécurité et une visibilité robustes.

Ce document décrit comment configurer un accès sécurisé avec Secure Firewall Threat Defense (FTD) via IPsec pour un accès privé sécurisé.

En outre, ce guide présente les étapes de configuration du routage basé sur des politiques.

Bien que ce document couvre la configuration des tunnels IPsec pour l'accès privé sécurisé, la configuration de Zero Trust Access (ZTA) ou VPN as a Service (VPNaaS) pour l'accès aux applications privées n'est pas couverte par ce guide.

Configurer

Configuration d'accès sécurisé

Configuration du groupe de tunnels réseau

1. Accédez au panneau d'administration de Secure Access.

2. Ajoutez un groupe de tunnels réseau.

- Cliquez surConnect> Network Connections

- Sous Network Tunnel Groups cliquez sur > Add

3. General Settings Configuration.

- Configurez les Tunnel Group Name, Region et Device Type

- Cliquer Next

Paramètres généraux

4. Configurez Tunnel ID et Passphrase.

- Configurez l' Tunnel IDetPassphrase. Cet ID est important, car il est requis pour la configuration FTD

- Cliquez sur Next

ID et PSK

5. Configurer le routage statique.

Routage d'accès sécurisé

Routage basé sur des politiques

Ajoutez le ou les réseaux protégés par le FTD auxquels vous souhaitez que les utilisateurs distants puissent accéder via ZTA et/ou VPNaaS, puis cliquez sur Save (Enregistrer).

- Cliquez sur Routing> Static routing

- Ajoutez les plages d'adresses IP ou les hôtes que vous avez configurés sur votre réseau et souhaitez faire passer le trafic via Secure Access, puis cliquez surAdd

- Cliquez surSave

Routage statique CSA

Enregistrer la configuration du groupe de tunnels réseau

Téléchargez et enregistrez les données de configuration du tunnel, car elles sont nécessaires à la configuration FTD.

- Cliquez sur Download CSV

- Cliquez sur Done

Données NTG

Créer une ressource privée

Les ressources privées sont des applications internes, des réseaux ou des sous-réseaux hébergés dans votre data center ou votre environnement de cloud privé. Ces ressources ne sont pas accessibles au public et sont protégées derrière l'infrastructure de votre entreprise.

En les définissant en tant que ressources privées dans Secure Access, vous pouvez activer l'accès contrôlé via des solutions telles que Zero Trust Access (ZTA) ou VPN as a Service (VPNaaS). Les utilisateurs peuvent ainsi se connecter en toute sécurité aux systèmes internes en fonction de l'identité, de la position des périphériques et des politiques d'accès, sans exposer les ressources directement à Internet.

Accédez à Resources > Private Resources> cliquez surAdd.

RP

- Spécifiez le Private Resource Name, Internally reachable address, Protocol, Port/Ranges. Spécifiez les ports et les protocoles, et ajoutez des ressources privées supplémentaires si nécessaire

- Sélectionnez les connexions souhaitées Connection Method en fonction de vos besoins, par exemple les connexions de confiance zéro et/ou les connexions VPN, en fonction de vos besoins

- Cliquez sur Save

Ressource privée

Créer une règle de stratégie d'accès

Les règles d'accès privé définissent comment les utilisateurs peuvent se connecter en toute sécurité à des ressources et applications internes qui ne sont pas accessibles publiquement.

Ces règles renforcent la sécurité en contrôlant qui peut accéder à des ressources privées spécifiques en fonction de facteurs tels que l'identité de l'utilisateur, l'appartenance à un groupe, la position de l'appareil, l'emplacement ou d'autres conditions de stratégie. Cela garantit que les systèmes internes sensibles restent protégés de l'accès public général tout en restant disponibles en toute sécurité pour les utilisateurs autorisés via ZTA ou VPNaaS.

Naviguez jusqu'à Secure>Access Policy

ACP

- Cliquez sur Add Rule

- Cliquez sur Private Access

Ajouter un ACP

- Cliquez sur Rule Name et donnez-lui un nom

- Cliquez surAction, sélectionnez Allowpour autoriser ce trafic

- CliquezFromsur et spécifiez les utilisateurs auxquels l'autorisation est accordée

- Cliquez sur Toet spécifiez l'accès que ces utilisateurs ont basé sur cette règle

- Cliquez surNext, puis Savedans la page suivante

Configuration ACP

Configuration de la défense pare-feu sécurisée contre les menaces (FTD)

Configuration des interfaces de tunnel virtuel

Une interface de tunnel virtuel (VTI) sur FTD est une interface logique de couche 3 utilisée pour configurer des tunnels VPN IPsec basés sur la route.

1. Accédez à Devices> Device Management.

Périphériques FTD

- Cliquez sur le périphérique FTD, Interfaces

- Cliquez sur Add Interfaces

- Cliquez sur Virtual Tunnel Interface

- Créez deux interfaces de tunnel virtuel, une pour le concentrateur d'accès sécurisé principal et une autre pour le concentrateur d'accès sécurisé secondaire

Ajouter des VTI

Interface de tunnel virtuel 1 :

- Donnez-lui un nom, cliquez sur Enable

- Sélectionnez ou créez un Security Zone

- Cliquez sur Tunnel ID et donnez une valeur.

- Cliquez sur Tunnel Source et spécifiez l'interface WAN à partir de laquelle le tunnel sera établi

- Cliquez sur IPsec Tunnel Mode, puis sélectionnezIPv4

- Cliquez sur IP Address et configurez l'adresse IP pour le VTI

- Cliquez surOK

VTI1.1

VTI1.2

Interface de tunnel virtuel 2 :

- Donnez-lui un nom, cliquez sur Enable

- Sélectionnez ou créez un Security Zone

- Cliquez sur Tunnel ID et donnez-lui une valeur

- Cliquez sur Tunnel Source et spécifiez l'interface WAN à partir de laquelle le tunnel sera établi

- Cliquez sur IPsec Tunnel Mode, puis sélectionnezIPv4

- Cliquez sur IP Address et configurez l'adresse IP pour le VTI

- Cliquez surOK

VTI2.1

VTI2.2

- Cliquez sur Enregistrer.

Enregistrer les modifications VTI

Configuration du tunnel IPsec

Accédez à votre tableau de bord cdFMC.

- Cliquez sur Secure Connection> Site-to-Site VPN & SD-WAN

S2S

- Cliquez surAdd

- Cliquez sur Route-Based VPN

- Cliquez sur Peer to Peer

Ajouter un VPN

- À l'étape 5 de la configuration Secure Access, obtenez les ID de tunnel et les adresses IP des data centers principal et secondaire

- Cliquez surEndpoints

- SousNode A, cliquezDevicesur et sélectionnez Extranet

- Cliquez sur Device Nameet donnez-lui un nom

- Cliquez sur Enpoint IP Addresses et saisissez les adresses IP principale et secondaire d'accès sécurisé séparées par une virgule (dans la section « Save Network Tunnel Group Configuration » sous l'onglet Secure Access

Configuration)

- Sous Node B, cliquez surDeviceet sélectionnez votre périphérique FTD

- Cliquez sur Virtual Tunnel Interface et sélectionnez la première interface VTI créée à l'étape précédente

- Cliquez sur l'Send Local Identity to Peers'option et sélectionnez Email ID, entrez l'ID du tunnel principal (à partir de "Save Network Tunnel Group Configuration" sous la configuration d'accès sécurisé)

- Cliquez sur Add Backup VTI

- Cliquez sur Virtual Tunnel Interface et sélectionnez la deuxième interface VTI créée à l'étape précédente

- Cliquez surSend Local Identity to Peersonoption et sélectionnez Email ID, entrez l'ID de tunnel secondaire (à partir de "Save Network Tunnel Group Configuration" sous la configuration d'accès sécurisé)

- Cliquez sur Enregistrer

Configuration FTD VTI

- Cliquez surIKE

- Cliquez sur IKEv2 Settings > Policies

- Sélectionnez l'Umbrella-AES-GCM-256option

- Cliquez sur OK

Stratégie IKEv2

- Cliquez sur Authentication Type et sélectionnezPre Shared Manual Key, entrez le PSK configuré dans Secure Access (phrase de passe)

IKE

- Cliquez sur IPSEC

- Cliquez sur IKEv2 Proposals

- Sélectionner Umbrella-AES-GCM-256

- Cliquez sur OK

IPsec

Enregistrer les propositions IKEv2

Configuration du routage FTD

Le routage PBR (Policy-Based Routing) vous permet de contrôler le transfert du trafic en fonction de critères autres que l'adresse IP de destination. Au lieu de s'appuyer uniquement sur la table de routage, PBR peut acheminer le trafic en fonction de la source, de l'application, du protocole, des ports ou d'autres politiques définies.

Cela permet aux entreprises d'orienter le trafic spécifique ou prioritaire sur les liaisons préférées (telles qu'une liaison Internet directe ou à bande passante élevée), d'optimiser les performances et de décomposer en toute sécurité les applications sélectionnées sans envoyer tout le trafic via un tunnel VPN.

Routage basé sur des politiques

- Naviguez jusqu'àObjects

- Cliquez sur Access List

- Cliquez sur Extended

- Cliquez surAdd Extended Access List

Ajouter une ACL
Créez une liste de contrôle d'accès étendue (ACL) correspondant à votre réseau source protégé par le FTD (par exemple, 172.16.15.0/24) à envoyer via le tunnel. Pour la destination, ajoutez les réseaux utilisés par ZTA (plage CGNAT) et le réseau utilisé par votre VPNaaS ( cochez Virtual Private Network IP Pool).

ACL

- Cliquez sur Devices> Device Management

Périphérique

- Cliquez sur le FTD

- Cliquez surRouting

- Cliquez sur Policy Based Routing

- Cliquez sur Add

Ajouter PBR

- Cliquez sur Ingress Interface et sélectionnez l’interface d’entrée dans laquelle le trafic provenant des réseaux internes entre

- Sous Critères de correspondance et Interface de sortie, cliquez sur Add

Interface d'entrée

- Cliquez sur Match ACL et sélectionnez la liste de contrôle d’accès étendue créée précédemment

- Cliquez sur Send To and select IP Address

- Cliquez sur IPv4 Addresses et définissez comme sauts suivants les adresses IP dans les sous-réseaux d'interface VTI configurés précédemment dans le FTD (169.254.0.2 et 169.254.0.6)

- Cliquez sur Save

Configuration basée sur des stratégies

Enregistrer PBR

Veillez à sélectionner l'option Send To > IP Address et non l'Egress Interfaceoption.

Configuration de la politique d'accès

Pour autoriser le trafic sur un pare-feu Cisco Firepower Threat Defense (FTD) et permettre l'accès à des ressources privées, le trafic doit d'abord passer par l'étape initiale de contrôle d'accès appelée préfiltrage.

Le préfiltrage est traité avant l'inspection approfondie et est conçu pour être simple et rapide. Il évalue le trafic à l'aide de critères d'en-tête externe de base (tels que les adresses IP et les ports source et de destination) pour autoriser, bloquer ou contourner rapidement le trafic. Lorsque le trafic est autorisé à ce stade, il peut ignorer des inspections plus gourmandes en ressources, telles que l'inspection approfondie des paquets ou les politiques d'intrusion, améliorant ainsi les performances tout en conservant le contrôle de sécurité.

- Accédez à Policies> Prefilter

Préfiltre

- Cliquez sur Modifier la politique de préfiltrage utilisée par votre politique d'accès

cliquer sur le préfiltre

- Cliquez sur Add Tunnel Rule

- Ajouter et autoriser le trafic du réseau VPNaaS et/ou du sous-réseau ZTA vers vos ressources privées

- Cliquez surSave

Enregistrer la règle

À ce stade, une fois la configuration du FTD terminée et vérifiée, vous pouvez poursuivre le déploiement. Une fois le déploiement terminé, les tunnels IPsec s'affichent correctement, confirmant ainsi l'établissement d'une connectivité sécurisée avec les ressources privées.

Vérifier

Vérifier dans FTD

État du tunnel dans FTD

Vous pouvez afficher l'état actuel du tunnel, y compris s'il est actif ou inactif. Cela permet de vérifier que le tunnel IPsec est correctement établi.

- Cliquez sur Secure Connections.

- Cliquez sur Site-to-Site VPN & SD-WAN.

- Cliquez sur le nom de la topologie.

État du tunnel FTD

Vérifier dans un accès sécurisé

État du tunnel dans Secure Access

Vous pouvez afficher l'état actuel du tunnel, y compris s'il est Déconnecté, Avertissement ou Connecté. Cela permet de vérifier que le tunnel IPsec est correctement établi.

- Cliquez sur Connect > Network Connections

- Cliquez sur Network Tunnel Groups

Vérifier NTG

- Cliquez sur le groupe de tunnels réseau

État du tunnel CSA

Événements dans l'accès sécurisé

Vous pouvez afficher les événements de tunnel et confirmer si l'état des tunnels IPsec est up et stable.

Cliquez sur Monitor > Network Connectivity.

Surveiller les journaux de connexion

Journaux de connexion

Naviguez jusqu'à Monitor > Activity Search.

Surveiller les journaux de connexion

Pour l'un des événements associés, cliquez sur Afficher les détails complets.

Détails complets

Recherche d'activité

Informations connexes

- Assistance technique de Cisco et téléchargements

- Guide de configuration des périphériques Cisco Secure Firewall Management Center, 7.7