Configuration de l'accès sécurisé avec Secure FTD et ASA pour l'accès privé avec NAT

Options de téléchargement

  • PDF     (3.9 MB)
    Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
  • ePub     (3.9 MB)
    Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
  • Mobi (Kindle)     (3.0 MB)
    Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils
Mis à jour:19 juin 2026
ID du document:226196

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

Introduction

Ce document décrit comment configurer le groupe de tunnels réseau d'accès sécurisé avec la traduction d'adresses réseau.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

  • Cisco Firewall Management Center
  • Cisco Secure Firewall Threat Defense
  • Accès sécurisé Cisco
  • Appareils de sécurité adaptatifs de Cisco 
  • Traduction d'adresses réseau
  • Routage basé sur des politiques
  • Captures de paquets sur le pare-feu

Composants utilisés

Les informations contenues dans ce document sont basées sur :

  • Cisco Firewall Management Center 7.10
  • Cisco Secure Firewall Threat Defense 7.10
  • Accès sécurisé Cisco
  • Appareil de sécurité adaptatif Cisco 9.22
  • Routeurs Cisco

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Cisco Secure Access offre des fonctionnalités Secure Service Edge natives du cloud, notamment Secure Internet Access (SIA) et Secure Private Access (SPA). Pour les entreprises qui étendent l'accès aux applications privées aux utilisateurs distants sans réacheminer tout le trafic via un data center, Secure Access utilise les groupes de tunnels réseau (NTG) IPsec pour créer des tunnels cryptés entre les périphériques réseau sur site, tels que Cisco Firewall Threat Defense (FTD) , Adaptive Security Appliance (ASA) et Cisco Secure Access Cloud Points-of-Presence (PoP).

Ce document explique comment établir un tunnel IPsec basé sur la route à l'aide d'IKEv2 entre Cisco FTD , ASA et Cisco Secure Access, en activant la traduction d'adresses de réseau (NAT) sur l'accès sécurisé et le routage basé sur la stratégie (PBR) sur le FTD et ASA pour diriger uniquement le trafic lié à l'accès privé dans le tunnel.

Diagramme du réseau

alt-tag-for-image

Topologie du réseau

Configurer

Secure Access et Secure Firewall Thread Defense - VPN basé sur la route dynamique (BGP) avec PBR

Configurer le groupe de tunnels réseau sur l'accès sécurisé 

1. Connexion au tableau de bord Accès sécurisé Accès sécurisé
2. Accédez à Connect > Network Connections > Network Tunnel Groups et cliquez sur +Add pour configurer le groupe de tunnels réseau

alt-tag-for-image

Accès sécurisé - Groupes de tunnels réseau

3. Configuration du groupe de tunnels réseau - Paramètres généraux

  • Configurer le nom du groupe de tunnels, la région et le type de périphérique 
  • Cliquez sur Next (suivant).
    alt-tag-for-image

Accès sécurisé - Paramètres généraux des groupes de tunnels réseau

4. Configurez l'ID de tunnel et la phrase de passe.

  • Configurez l'ID de tunnel et la phrase de passe. 
  • Cliquez sur Suivant

alt-tag-for-image

Accès sécurisé : ID et phrase de passe des groupes de tunnels réseau

5. Configuration du routage

  • Configurer le numéro de périphérique AS
  • Cliquez sur Save (enregistrer)

alt-tag-for-image

Accès sécurisé - Routage des groupes de tunnels réseau

6. Enregistrer la configuration du groupe de tunnels réseau 

alt-tag-for-image

Accès sécurisé - Groupes de tunnels réseau 

Configuration d'un VPN IPsec basé sur la route dynamique sur la défense FTD (Secure Firewall Threat Defense) avec PBR 

1. Connexion au Centre de gestion des pare-feu (FMC) 

2. Configuration de l'interface de tunnel virtuel VTI

  • Accédez à Périphériques > Gestion des périphériques

alt-tag-for-image

Gestion sécurisée du pare-feu - Tableau de bord

  • Cliquez sur l'icône Crayon en regard du périphérique et accédez à la section Interface 
  • Cliquez sur Add interfaces et sélectionnez Virtual Tunnel Interface

alt-tag-for-image

Gestion sécurisée du pare-feu - Configuration FTD VTI 

  • Configuration de VTI 

alt-tag-for-image

alt-tag-for-image

Gestion sécurisée du pare-feu - Configuration FTD VTI 

  • Configurez également VTI-2 pour le VPN IPsec secondaire avec accès sécurisé 

alt-tag-for-image

Gestion sécurisée du pare-feu - Configuration FTD VTI 

3. Accédez à Secure Connections > Site-to-Site VPN & SD-WAN et cliquez sur Add pour configurer le VPN

alt-tag-for-image

Gestion sécurisée du pare-feu - Configuration VPN FTD

  • Créer une topologie VPN 

alt-tag-for-image

Gestion sécurisée du pare-feu - Configuration VPN FTD

  • À partir de l'étape 6 de Configurer le groupe de tunnels réseau sur l'accès sécurisé, obtenez les ID de tunnel et les adresses IP pour les centres de données principal et secondaire.
  • Cliquez sur Terminaux
  • Sous Node A, cliquez sur Device (Périphérique) et sélectionnez votre périphérique FTD
  • Cliquez sur Virtual Tunnel Interface et sélectionnez la première interface VTI créée à l'étape précédente
  • Cliquez sur l'option Send Local Identity to Peers et sélectionnez Email ID, entrez l'ID du tunnel principal (dans « Save Network Tunnel Group Configuration » sous Configure Network Tunnel Group on Secure Access )
  • Sous Node B, cliquez sur Device et sélectionnez Extranet
  • Cliquez sur Nom du périphérique et donnez-lui un nom 
  • Cliquez sur Endpoint IP Addresses et saisissez les adresses IP principale et secondaire d'accès sécurisé séparées par une virgule (dans la section « Save Network Tunnel Group Configuration » sous « Configure Network Tunnel Group on Secure Access »)
  • Cliquez sur Add Backup VTI
  • Cliquez sur Virtual Tunnel Interface et sélectionnez la deuxième interface VTI créée à l'étape précédente
  • Cliquez sur l'option Send Local Identity to Peers et sélectionnez Email ID, puis entrez l'ID de tunnel secondaire (à partir de « Save Network Tunnel Group Configuration » sous Configure Network Tunnel Group on Secure Access )
  • Cliquez sur Enregistrer

alt-tag-for-image

FTD sécurisé - Configuration du point d'extrémité VPN

alt-tag-for-image

FTD sécurisé - Configuration du point d'extrémité VPN

  • Configurer les paramètres IKEv2 conformément aux paramètres IPsec pris en charge
    • Sélectionnez Politiques comme Umbrella-AES-GCM-256
    • Sélectionner le type d'authentification comme clé manuelle prépartagée

alt-tag-for-image

Secure FTD - Paramètres VPN IKE

  • Configurer les paramètres IPsec 
    • Sélectionner les propositions IPsec IKEv2 comme Umbrella-AES-GCM-256
    • Activez PFS en sélectionnant Modulus Group comme 20

alt-tag-for-image

Secure FTD - Paramètres IPsec VPN 

  • Paramètres avancés 
  • Cliquez sur Save (enregistrer)

alt-tag-for-image

Secure FTD - Paramètres VPN avancés 

Routage basé sur la politique FTD 

Dans le routage traditionnel, les paquets sont routés en fonction de l’adresse IP de destination. Il est difficile de modifier le routage d’un trafic spécifique dans un système de routage basé sur la destination. PBR (Policy Based Routing) étend et complète les mécanismes fournis par les protocoles de routage, vous permettant ainsi de mieux contrôler le routage.

PBR vous permet de définir la priorité IP. Il vous permet également de spécifier un chemin pour un certain trafic, tel que le trafic prioritaire sur une liaison à coût élevé. Avec PBR, vous pouvez définir un routage qui est basé sur des critères autres que le réseau de destination tels que le port source, l'adresse de destination, le port de destination, le protocole, les applications ou une combinaison de ces objets. Pour plus d'informations, référez-vous Routage basé sur des politiques

1. Configurer la liste de contrôle d'accès 

  • Accédez à Objets > Liste d'accès > Étendue 
  • Cliquez sur Add Extended Access List  alt-tag-for-image

Secure FTD - Liste d'accès étendue 

  • Attribuer un nom à la liste d'accès 
  • Définir l'action 
    • Allow. - Le trafic défini sera envoyé au tunnel IPsec 
    • Block : le trafic sera contourné à partir du tunnel IPsec 
    • La règle sera mise en correspondance en fonction du numéro d'ordre (inférieur à supérieur) 
    • Cliquez sur Ajouter
    • Cliquez sur Save (enregistrer)

alt-tag-for-image

Secure FTD - Liste d'accès étendue 

alt-tag-for-image

Secure FTD - Liste d'accès étendue 

2. Configurer le routage basé sur des stratégies 

  • Naviguez jusqu'à Devices > Device Management > FTD > Routing 

alt-tag-for-image

FTD sécurisé - Routage basé sur des stratégies

  • Cliquez sur Ajouter 
  • Sélectionnez Interface d'entrée - Interface d'entrée pour le sous-réseau que nous avons défini dans la liste d'accès 

alt-tag-for-image

FTD sécurisé - Routage basé sur des stratégies

  • Définir les critères de correspondance et l'interface de sortie 
    • Cliquez sur Ajouter
    • Sélectionnez la liste de contrôle d'accès 
    • Sélectionnez Envoyer à comme adresse IP 
    • Ajoutez l'adresse IP du tronçon suivant. - Les adresses IP des interfaces VTI sont 169.254.2.130 et. 169.254.2.5/30. Ainsi, les adresses IP de tronçon suivant pour VTI-1 et VTI-2 seraient 169.254.2.2 et 169.2.2. 169.254.2.6 respectivement 
    • Cliquez sur Enregistrer

alt-tag-for-image

FTD sécurisé - Routage basé sur des stratégies

alt-tag-for-image

FTD sécurisé - Routage basé sur des stratégies

Configurer BGP sur FTD 

1. Activer BGP 

  • Accédez à Devices > Device Management > FTD > Routing > General Settings > BGP
  • Activer BGP et ajouter le numéro de système autonome (numéro de système autonome local FTD)
  • Cliquez sur Save (enregistrer)

alt-tag-for-image

FTD sécurisé - Routage BGP

  • Accédez à BGP > IPv4

2. Ajouter un voisin BGP - Les homologues BGP d'accès sécurisé sont 169.254.0.5 et. 169.254.0.9

alt-tag-for-image

FTD sécurisé - Routage BGP

alt-tag-for-image

FTD sécurisé - Routage BGP

3. Ajoutez les réseaux - Réseaux qui doivent être annoncés à Secure Access 

  • Click OK

alt-tag-for-image

FTD sécurisé - Routage BGP

  • Enregistrer et déployer les modifications 

Vérifier l'état du tunnel 

Sur accès sécurisé 

alt-tag-for-image

Secure FTD - État du tunnel IPsec

Sur FMC 

alt-tag-for-image

Secure FMC - État du tunnel IPsec

Configurer un VPN IPsec basé sur une route statique sur un dispositif de sécurité adaptatif (ASA) avec PBR 

Configuration VPN sur accès sécurisé

1. Connexion au tableau de bord Accès sécurisé Accès sécurisé
2. Accédez à Connect > Network Connections > Network Tunnel Groups et cliquez sur +Add pour configurer le groupe de tunnels réseau

alt-tag-for-image

Accès sécurisé - Groupes de tunnels réseau

3. Configuration du groupe de tunnels réseau - Paramètres généraux

  • Configurer le nom du groupe de tunnels, la région et le type de périphérique 
  • Cliquez sur Next (suivant).

alt-tag-for-image

Accès sécurisé - Paramètres généraux des groupes de tunnels réseau

4. Configurez l'ID de tunnel et la phrase de passe.

  • Configurez l'ID de tunnel et la phrase de passe. 
  • Cliquez sur Suivant

alt-tag-for-image

Accès sécurisé - Groupes de tunnels réseau

5. Activer la traduction d’adresses réseau (NAT)

alt-tag-for-image

Accès sécurisé - Paramètres NAT des groupes de tunnels réseau

6. Ajouter le mappage NAT de destination 

Flux 1 - Routeur 1 vers Routeur 2 ( Site vers accès sécurisé)

Flux 2 - Du routeur 2 au routeur 1 ( accès sécurisé au site)

alt-tag-for-image

Accès sécurisé - Paramètres NAT des groupes de tunnels réseau

caution-icon

Mise en garde : Lorsque NAT est activé, BGP n'est pas possible . En outre, configurez également le VPN statique sur les périphériques en périphérie du client

tip-icon

Conseil : N’oubliez jamais d’envoyer une requête ping à une adresse IP traduite .
      L’IP traduite est insérée dans le CIDR traduit et l’IP réel dans le CIDR original.

alt-tag-for-image

Accès sécurisé - Paramètres NAT des groupes de tunnels réseau

Cliquez sur Enregistrer

tip-icon

Conseil : Pour le trafic allant de 'Site A' à 'Site B', du point de vue de CNHE-1, la direction est 'Site-> SecureAccess'
      Pour le trafic allant du 'site B' au 'site A', du point de vue du CNHE-1, la direction est 'SecureAccess -> Site'

Configuration VPN sur ASA

1. Connectez-vous à l'interface de ligne de commande ASA, passez en mode enable et vérifiez la connectivité IP de base vers Internet

ASA# sh ip
Adresses IP système :
Nom d’interface Adresse IP Masque de sous-réseau Méthode
Manuel GigabitEthernet0/0 en dehors de 192.168.1.40 255.255.255.0
Manuel GigabitEthernet0/1 à l'intérieur de 10.10.10.1 255.255.255.0

Adresses IP actuelles :
Nom d’interface Adresse IP Masque de sous-réseau Méthode
Manuel GigabitEthernet0/0 en dehors de 192.168.1.40 255.255.255.0
Manuel GigabitEthernet0/1 à l'intérieur de 10.10.10.1 255.255.255.0

ASA# ping 8.8.8.8
Tapez la séquence d'échappement à abandonner.
Envoi d’écho ICMP de 5 octets, 100 octets, vers 8.8.8.8, délai d’attente de 2 secondes :
!!!!!
Taux de réussite de 100 % (5/5), aller-retour min/moy/max = 20/28/30 ms
ASA#

2. Configurez la stratégie IKEv2 et activez IKEv2 sur l’interface externe

crypto ikev2 policy 10
cryptage aes-gcm-256
intégrité null
groupe 19
durée de vie secondes 86400
crypto ikev2 enable outside​

3. Configuration de la proposition IPSec

crypto ipsec ikev2 ipsec-Proposal Ipsec-Proposal-primary
protocole esp encryption aes-gcm-256

4. Configurer le profil IPsec

crypto ipsec profile csa-profile-primary
set ikev2 ipsec-Proposal Ipsec-Proposal-primary
set ikev2 local-identity email-id <primary tunnel-id>

5. Configurez la stratégie de groupe et activez le protocole IKEv2 sous l'attribut.

group-policy csa-policy-primary internal
group-policy csa-policy-primary attributs
vpn-tunnel-protocol ikev2 ​

6. Configurez le groupe de tunnels.

tunnel-group 44.228.138.150 type ipsec-l2l
tunnel-group 44.228.138.150 general-attributes
default-group-policy csa-policy-primary
tunnel-group 44.228.138.150 ipsec-attributes
ikev2 remote-authentication pre-shared-key <pre-shared-key>
ikev2 local-authentication pre-shared-key <pre-shared-key>

7. Configuration de l'interface de tunnel virtuel (VTI)

  • Nameif peut être si votre choix
  • L'adresse IP attribuée à VTI ne doit pas chevaucher une autre interface sur l'ASA
  • La source du tunnel doit être l'interface externe du pare-feu
  • La destination du tunnel doit être l'adresse IP du centre de données

interface Tunnel1
nameif VTI-1
adresse ip 169.254.2.1 255.255.255.252
interface source du tunnel à l'extérieur
tunnel destination 44.228.138.150
tunnel mode ipsec ipv4
tunnel protection ipsec profile csa-profile-primary

8. Configurez le routage de telle sorte que le trafic vers l’adresse IP ou le sous-réseau mappé soit routé à l’intérieur de l’interface VTI. Le saut suivant doit sélectionner IP dans la plage de VTI.

route VTI-1 0.0.0.0 0.0.0.0 169.254.2.2 5. (pour le trafic Internet, le pool RAVPN ou CGNAT)

ou 

route VTI-1 172.16.10.101 255.255.255.255 169.254.2.2 5

Routage basé sur des politiques 

1. Liste d'accès 

access-list PBR extended permit ip 10.10.10.0 255.255.255.0 any

2. Carte de routage 

route-map RM-CSA permit 10
match ip address PBR
set ip next-hop 169.254.2.2 169.254.2.6

3. Appliquer la carte de routage à l’interface d’entrée 

interface GigabitEthernet0/1
name if inside
niveau de sécurité 100
adresse ip 10.10.10.1 255.255.255.0
policy-route route route-map RM-CSA

Vérifier

alt-tag-for-image

Interface de routeur et état d’accessibilité GW 

alt-tag-for-image

Test 1- Router2 —> Router1. - Test Ping

alt-tag-for-image

Capture de paquets sur ASA (FW local)

alt-tag-for-image


Capture de paquets sur FTD (Remote FW)

alt-tag-for-image

Essai 2.  - Routeur 2 —> Test ping du routeur 1 

alt-tag-for-image

Capture de paquets FTD (FW local)

 

alt-tag-for-image

Capture de paquets ASA (Remote FW)

alt-tag-for-image

Historique de révision

Révision Date de publication Commentaires
1.0
29-Jul-2026
Première publication
TAC Authored

Contribution d’experts de Cisco

  • Jaikishan Yadav

Ce document vous est-il utile?

FeedbackCommentaires

Contacter Cisco

Ce document s’applique à ces produits