Les entrées de carte de chiffrement regroupent les différents éléments des associations de sécurité IPsec, notamment les suivants :
-
Quel trafic IPsec doit protéger, que vous définissez dans une liste de contrôle d’accès.
-
Où envoyer le trafic protégé par IPsec, en identifiant l’homologue.
-
La sécurité IPsec qui s’applique à ce trafic, laquelle est précisée par un ensemble de transformation.
-
L’adresse locale pour le trafic IPsec, que vous identifiez en appliquant la carte de chiffrement à une interface.
Pour qu’IPsec réussisse, les deux homologues doivent avoir des entrées de carte de chiffrement avec des configurations compatibles.
Pour que deux entrées de carte de chiffrement soient compatibles, elles doivent, au minimum, répondre aux critères suivants :
-
Les entrées de la carte de chiffrement doivent contenir des listes de contrôle d’accès de chiffrement compatibles (par exemple,
listes de contrôle d’accès d’image miroir). Si l’homologue qui répond utilise des cartes de chiffrement dynamiques, les entrées
de la liste de contrôle d’accès de chiffrement de l’ASA doivent être « autorisées » par la liste de contrôle d’accès crypto
de l’homologue.
-
Les entrées de la carte de chiffrement doivent chacune identifier l’autre homologue (sauf si l’homologue répondeur utilise
une carte de chiffrement dynamique).
-
Les entrées de carte de chiffrement doivent avoir au moins un ensemble de transformation en commun.
Si vous créez plusieurs entrées de carte de chiffrement pour une interface donnée, utilisez le numéro de séquence (seq-num)
de chaque entrée pour les classer : plus le numéro de séquence est faible, plus la priorité est élevée. Sur l’interface à
laquelle la carte de chiffrement est appliquée, l’ASA évalue d’abord le trafic en fonction des entrées des cartes de priorité
plus élevée.
Si l’injection de route inverse (RRI) est appliquée à une carte de chiffrement, cette carte doit être propre à une seule interface
de l’ASA. En d’autres termes, la même carte de chiffrement ne peut pas être appliquée à plusieurs interfaces. Si plus d’une
carte de chiffrement est appliquée à plusieurs interfaces, les routes risquent de ne pas être supprimées correctement. Si
plusieurs interfaces nécessitent une carte de chiffrement, chacune doit utiliser une carte définie de manière unique.
Créez plusieurs entrées de carte de chiffrement pour une interface donnée si l’une des conditions suivantes s’applique :
-
Chaque homologue gère différents flux de données.
-
Vous souhaitez appliquer une sécurité IPsec différente à différents types de trafic (vers le même ou des homologues distincts),
par exemple, si vous souhaitez que le trafic entre un ensemble de sous-réseaux soit authentifié et que le trafic entre un
autre ensemble de sous-réseaux soit à la fois authentifié et chiffré. Dans ce cas, définissez les différents types de trafic
dans deux listes de contrôle d’accès distinctes et créez une entrée de carte de chiffrement distincte pour chaque liste de
contrôle d’accès de chiffrement.
Application d’une carte de chiffrement sur plusieurs interfaces
Dans un environnement à double FSI, vous pouvez appliquer une carte de chiffrement aux interfaces externes et de secours de
l’ASA. L’option d’origine uniquement n’est pas disponible lorsque vous utilisez cette configuration. Vous devez utiliser Virtual
Tunnel Interface (VTI) si vous avez besoin de cette redondance.
Lorsque vous utilisez une carte de chiffrement sur plusieurs interfaces :
-
Vous devez avoir un protocole de routage ou un suivi de route.
-
Assurez-vous que le côté distant utilise également des protocoles de routage.
-
Vous devez choisir avec soin plusieurs interfaces pour une même carte de chiffrement, car l’ASA permet une connexion provenant
d’un site distant sur l’interface dont la route est la moins privilégiée.
Pour créer une carte de chiffrement et l’appliquer à l’interface externe en mode de configuration globale, effectuez les étapes
suivantes en mode de contexte unique ou multiple :
Commentaires