Configurazione della VPN da sito a sito basata su routing tra ASA e FTD

Introduzione

Questo documento descrive come configurare un tunnel VPN da sito a sito basato su routing tra ASA e FTD da un FMC con routing dinamico BGP come sovrapposizione.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Conoscenze base della VPN da sito a sito IPsec
• Configurazioni Border Gateway Protocol (BGP) su Firepower Threat Defense gestito (FTD) e Adaptive Security Appliance (ASA)
• Esperienza con Firepower Management Center (FMC)

Componenti usati

• Cisco ASAv versione 9.20(2)2
• Cisco FMC versione 7.4.1
• Cisco FTD versione 7.4.1

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

La VPN basata su route consente di determinare il traffico interessante da crittografare o inviare su un tunnel VPN e utilizza il routing del traffico anziché criteri/elenchi degli accessi come in una VPN basata su criteri o su mappa crittografica. Il dominio di crittografia è impostato per consentire tutto il traffico che entra nel tunnel IPsec. I selettori di traffico locale e remoto di IPSec sono impostati su 0.0.0.0/0.0.0.0. Tutto il traffico instradato al tunnel IPSec viene crittografato indipendentemente dalla subnet di origine/destinazione.

Nel documento si fa riferimento alla configurazione SVTI (Static Virtual Tunnel Interface) con routing dinamico BGP come overlay.

Configurazione

In questa sezione viene descritta la configurazione necessaria sull'appliance ASA e sull'FTD per verificare la prossimità BGP tramite un tunnel IPSec SVTI.

Esempio di rete

Esempio di rete

Configurazioni

Configurare la VPN IPSec su FTD tramite FMC

Passaggio 1. Passare aDevices > VPN > Site To Site.

Passaggio 2. Fare clic su+Site to Site VPN.

VPN da sito a sito

Passaggio 3. Fornire unTopology Namenome e selezionare il Tipo di VPN comeRoute Based (VTI). Scegliete ilIKE Version.

Per questa dimostrazione:

• Nome topologia: ASAv-VTI
• Versione IKE: IKEv2

VPN-Topology

Passaggio 4. ScegliereDeviceil tunnel da configurare. È possibile aggiungere una nuova interfaccia del tunnel virtuale (fare clic sull+'icona ) o selezionarne una dall'elenco esistente.

Nodo endpoint A

Passaggio 5. Definire i parametri diNew Virtual Tunnel Interface. Fare clic su .Ok

Per questa dimostrazione:

• Nome: ASA-VTI
• Descrizione (facoltativa): Tunnel VTI con ASA Extranet
• Area di protezione: VTI-Zone
• ID tunnel: 1
• Indirizzo IP: 169.254.2.1/24
• Origine tunnel: Gigabit Ethernet 0/1 (esterna)
• Modalità tunnel IPsec: IPv4

Interfaccia tunnel virtuale

Passaggio 6. FareOKclic sul menu a comparsa per segnalare che la nuova VTI è stata creata.

Aggiunta interfaccia tunnel virtuale

Passaggio 7. Scegliere la VTI appena creata o una VTI inVirtual Tunnel Interface. Fornire le informazioni per il nodo B (che è il dispositivo peer).

Per questa dimostrazione:

• Sul dispositivo bootflash o slot0:: Extranet
• Nome dispositivo: ASAv-Peer
• Indirizzo IP endpoint: 10.197.226.187

Nodo endpoint B

Passaggio 8. Passare alla scheda IKE. Fare clic su  . È possibile scegliere di utilizzare un predefinitoPolicyo fare clic sul+pulsante accanto allaPolicyscheda per crearne uno nuovo.

Passaggio 9. (Facoltativo, se si crea un nuovo criterio IKEv2.) Fornire unNamenome per il criterio e selezionare quelloAlgorithmsda utilizzare nel criterio. Fare clic su .Save

Per questa dimostrazione:

• Nome: Criterio ASAv-IKEv2
• Algoritmi di integrità: SHA-256
• Algoritmi di crittografia: AES-256
• Algoritmi PRF: SHA-256
• Gruppo Diffie-Hellman: 14

Criterio IKEv2

Passaggio 10. Scegliere il nuovoPolicyo il nuovoPolicyche esiste. Selezionare laAuthentication Typevoce. KeySe si utilizza una chiave manuale già condivisa, immettere la chiave nellaConfirm Key casella e.

Per questa dimostrazione:

• Criterio: ASAv-IKEv2-Policy
• Tipo di autenticazione: Chiave manuale già condivisa

Autenticazione

Passaggio 11. Passare allaIPsec scheda. Clic  È possibile scegliere di utilizzare una proposta IPSec IKEv2 predefinita o crearne una nuova. Fare clic sul+pulsante accanto allaIKEv2 IPsec Proposal scheda.

Passaggio 12. (Facoltativo, se si crea una nuova proposta IPSec IKEv2.) Immettere un valoreNameper la proposta e selezionare quelloAlgorithmsda utilizzare nella proposta. Fare clic su .Save

Per questa dimostrazione:

• Nome: ASAv-IPSec-Policy
• Hash ESP: SHA-256
• Crittografia ESP: AES-256

Proposta IKEv2-IPsec

Passaggio 13. Scegliere la nuova proposta creataProposaloProposalquella esistente dall'elenco delle proposte disponibili. Fare clic su .OK

Set di trasformazioni

Passaggio 14. (Facoltativo) Scegliere lePerfect Forward Secrecyimpostazioni. Configurare IPSecLifetime Duration and Lifetime Size.

Per questa dimostrazione:

• Perfect Forward Secrecy Gruppo di moduli 14
• Durata: 28800 (Predefinito)
• Dimensione durata: 4608000 (Predefinito)

Configurazione PFS

Passaggio 15. Controllare le impostazioni configurate. Fare clic suSave, come mostrato nell'immagine.

Salvataggio della configurazione

Configurazione dell'interfaccia di loopback su FTD mediante FMC

Passare aDevices > Device Management. Modificare il dispositivo in cui è necessario configurare il loopback.

Passaggio 1. Passare allaInterfaces > Add Interfaces > Loopback Interface.

Passa all'interfaccia di loopback

Passaggio 2. Immettere il nome "loopback", fornire un ID loopback "1" e abilitare l'interfaccia.

Abilitazione dell'interfaccia di loopback

Passaggio 3. Configurare l'indirizzo IP dell'interfaccia, quindi fare clic suOK. 

Specificare l'indirizzo IP per l'interfaccia di loopback

Configurazione della VPN IPSec sull'appliance ASA

!--- Configure IKEv2 Policy ---!

crypto ikev2 policy 1
encryption aes-256
integrity sha256
group 14
prf sha256
lifetime seconds 86400




!--- Enable IKEv2 on the outside interface ---!

crypto ikev2 enable outside




!---Configure Tunnel-Group with pre-shared-key---!

tunnel-group 10.197.226.222 type ipsec-l2l
tunnel-group 10.197.226.222 ipsec-attributes
ikev2 remote-authentication pre-shared-key *****
ikev2 local-authentication pre-shared-key *****




!--- Configure IPSec Policy ---!

crypto ipsec ikev2 ipsec-proposal ipsec_proposal_for_FTD
protocol esp encryption aes-256
protocol esp integrity sha-256




!--- Configure IPSec Profile ---!

crypto ipsec profile ipsec_profile_for_FTD
set ikev2 ipsec-proposal FTD-ipsec-proposal
set pfs group14




!--- Configure VTI ---!

interface Tunnel1
nameif FTD-VTI
ip address 169.254.2.2 255.255.255.0 
tunnel source interface outside
tunnel destination 10.197.226.222
tunnel mode ipsec ipv4
tunnel protection ipsec profile ipsec_profile_for_FTD




!--- Configure the WAN routes ---!

route outside 0.0.0.0 0.0.0.0 10.197.226.1 1

Configurazione dell'interfaccia di loopback sull'appliance ASA

interface Loopback1
nameif loopback
ip address 1.1.1.1 255.255.255.0

Configurare l'overlay di BGP su FTD tramite FMC

Passare aDevices > Device Management.Editil dispositivo su cui è configurato il tunnel VTI, quindi passare aRouting > General Settings > BGP.

Passaggio 1. Abilitare BGP e configurare il numero AS (Autonomous System) e l'ID del router, come mostrato in questa immagine.

Il numero AS deve essere lo stesso su entrambi i dispositivi FTD e ASA.

L'ID del router viene usato per identificare ciascun router che partecipa al BGP.

Passare alla configurazione di BGP

Passaggio 2. PassareBGP > IPv4a BGP IPv4 su FTD e abilitarlo.

Abilita BGP

Passaggio 3. SottoNeighborla scheda, aggiungere l'indirizzo IP del tunnel VTI ASAv come router adiacente e abilitare il router adiacente.

Aggiungi BGP adiacente

Passaggio 4. InNetworks, aggiungere le reti che si desidera annunciare tramite BGP che devono passare attraverso il tunnel VTI, in questo caso loopback1.

Aggiungi reti BGP

Passaggio 5. Tutte le altre impostazioni BGP sono facoltative ed è possibile configurarle in base all'ambiente. Verificare la configurazione e fare clic suSave.

Salva configurazione BGP

Passaggio 6. Distribuire tutte le configurazioni.

Implementazione

Configurazione dell'overlay di BGP sull'appliance ASA

router bgp 1000
bgp log-neighbor-changes
bgp router-id 10.1.1.2
address-family ipv4 unicast
neighbor 169.254.2.1 remote-as 1000
neighbor 169.254.2.1 transport path-mtu-discovery disable
neighbor 169.254.2.1 activate
network 1.1.1.0 mask 255.255.255.0
no auto-summary
no synchronization
exit-address-family

Verifica

Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.

Output su FTD

#show crypto ikev2 sa
IKEv2 SAs:
Session-id:20, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id         Local                   Remote                fvrf/ivrf          Status       Role
666846307         10.197.226.222/500      10.197.226.187/500    Global/Global      READY        RESPONDER
Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/1201 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
          remote selector 0.0.0.0/0 - 255.255.255.255/65535
          ESP spi in/out: 0xa14edaf6/0x8540d49e

#show crypto ipsec sa
interface: ASAv-VTI
Crypto map tag: __vti-crypto-map-Tunnel1-0-1, seq num: 65280, local addr: 10.197.226.222

  Protected vrf (ivrf): Global
  local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
  remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
  current_peer: 10.197.226.187

  #pkts encaps: 45, #pkts encrypt: 45, #pkts digest: 45
  #pkts decaps: 44, #pkts decrypt: 44, #pkts verify: 44
  #pkts compressed: 0, #pkts decompressed: 0
  #pkts not compressed:0, #pkts comp failed: 0, #pkts decomp failed: 0
  #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
  #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
  #TFC rcvd: 0, #TFC sent: 0
  #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
  #send errors: 0, #recv errors: 0

  local crypto endpt.: 10.197.226.222/500, remote crypto endpt.: 10.197.226.187/500
  path mtu 1500, ipsec overhead 78(44), media mtu 1500
  PMTU time remaining (sec): 0, DF policy: copy-df
  ICMP error validation: disabled, TFC packets: disabled
  current outbound spi: 8540D49E
  current inbound spi : A14EDAF6

inbound esp sas:
 spi: 0xA14EDAF6 (2706299638)
  SA State: active
  transform: esp-aes-256 esp-sha-256-hmac no compression 
  in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
  slot: 0, conn_id: 49, crypto-map: __vti-crypto-map-Tunnel1-0-1
  sa timing: remaining key lifetime (kB/sec): (4331517/27595)
  IV size: 16 bytes
  replay detection support: Y
  Anti replay bitmap: 
  000001FFF 0xFFFFFFFF
outbound esp sas:
 spi: 0x8540D49E (2235618462)
  SA State: active
  transform: esp-aes-256 esp-sha-256-hmac no compression 
  in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
  slot: 0, conn_id: 49, crypto-map: __vti-crypto-map-Tunnel1-0-1
  sa timing: remaining key lifetime (kB/sec): (4101117/27595)
  IV size: 16 bytes
  replay detection support: Y
  Anti replay bitmap: 
  0x00000000 0x00000001

#show bgp summary 
BGP router identifier 10.1.1.1, local AS number 1000
BGP table version is 5, main routing table version 5
2 network entries using 400 bytes of memory
2 path entries using 160 bytes of memory
2/2 BGP path/bestpath attribute entries using 416 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 976 total bytes of memory
BGP activity 21/19 prefixes, 24/22 paths, scan interval 60 secs

Neighbor           V         AS      MsgRcvd      MsgSent       TblVer      InQ      OutQ      Up/Down      State/PfxRcd
169.254.2.2      4         1000   22               22                  5             0         0            00:19:42        1

#show bgp neighbors
BGP neighbor is 169.254.2.2, vrf single_vf, remote AS 1000, internal link
   BGP version 4, remote router ID 10.1.1.2
   BGP state = Established, up for 00:19:49
   Last read 00:01:04, last write 00:00:38, hold time is 180, keepalive interval is 60 seconds
   Neighbor sessions:
      1 active, is not multisession capable (disabled)
   Neighbor capabilities:
      Route refresh: advertised and received(new)
      Four-octets ASN Capability: advertised and received
      Address family IPv4 Unicast: advertised and received
      Multisession Capability: 
  Message statistics:
      InQ depth is 0
      OutQ depth is 0
                       Sent    Rcvd
Opens                  1        1 
Notifications:         0        0 
Updates:               2        2 
Keepalives:            19      19 
Route Refresh:         0        0 
Total:                 22      22 
Default minimum time between advertisement runs is 0 seconds

For address family: IPv4 Unicast
   Session: 169.254.2.2
   BGP table version 5, neighbor version 5/0
   Output queue size : 0
   Index 15
  15 update-group member
                             Sent     Rcvd
Prefix activity:             ----    ----
Prefixes Current:            1          1         (Consumes 80 bytes)
Prefixes Total:              1          1 
Implicit Withdraw:           0          0 
Explicit Withdraw:           0          0 
Used as bestpath:            n/a        1 
Used as multipath:           n/a        0
                                Outbound           Inbound
Local Policy Denied Prefixes:   --------            -------
Bestpath from this peer:         1                          n/a 
Invalid Path:                    1                          n/a 
Total:                           2                            0 
Number of NLRIs in the update sent: max 1, min 0

Address tracking is enabled, the RIB does have a route to 169.254.2.2
Connections established 7; dropped 6
Last reset 00:20:06, due to Peer closed the session of session 1
Transport(tcp) path-mtu-discovery is disabled
Graceful-Restart is disabled

#show route bgp
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
            D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
            N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
            E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
            i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
            ia - IS-IS inter area, * - candidate default, U - per-user static route
            o - ODR, P - periodic downloaded static route, + - replicated route
            SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.197.226.1 to network 0.0.0.0

B        1.1.1.0 255.255.255.0 [200/0] via 169.254.2.2, 00:19:55

Output sull'appliance ASA

#show crypto ikev2 sa
IKEv2 SAs:

Session-id:7, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id    Local                       Remote                     fvrf/ivrf             Status           Role
442126361    10.197.226.187/500          10.197.226.222/500         Global/Global          READY           INITIATOR
Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/1200 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
          remote selector 0.0.0.0/0 - 255.255.255.255/65535
          ESP spi in/out: 0x8540d49e/0xa14edaf6

#show crypto ipsec sa
interface: FTD-VTI
Crypto map tag: __vti-crypto-map-Tunnel1-0-1, seq num: 65280, local addr: 10.197.226.187

  Protected vrf (ivrf): Global
  local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
  remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
 current_peer: 10.197.226.222


 #pkts encaps: 44 #pkts encrypt: 44, #pkts digest: 44
 #pkts decaps: 45, #pkts decrypt: 45, #pkts verify: 45
 #pkts compressed: 0, #pkts decompressed: 0
 #pkts not compressed:0, #pkts comp failed: 0, #pkts decomp failed: 0
 #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
 #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
 #TFC rcvd: 0, #TFC sent: 0
 #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
 #send errors: 0, #recv errors: 0

 local crypto endpt.: 10.197.226.187/500, remote crypto endpt.: 10.197.226.222/500
 path mtu 1500, ipsec overhead 78(44), media mtu 1500
 PMTU time remaining (sec): 0, DF policy: copy-df
 ICMP error validation: disabled, TFC packets: disabled
 current outbound spi: A14EDAF6
 current inbound spi : 8540D49E

inbound esp sas:
 spi: 0x8540D49E (2235618462)
     SA State: active
      transform: esp-aes-256 esp-sha-256-hmac no compression 
      in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
     slot: 0, conn_id: 9, crypto-map: __vti-crypto-map-Tunnel1-0-1
     sa timing: remaining key lifetime (kB/sec): (4147198/27594)
     IV size: 16 bytes
     replay detection support: Y
    Anti replay bitmap: 
    0x00000000 0x007FFFFF
outbound esp sas:
  spi: 0xA14EDAF6 (2706299638)
    SA State: active
    transform: esp-aes-256 esp-sha-256-hmac no compression 
    in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
    slot: 0, conn_id: 9, crypto-map: __vti-crypto-map-Tunnel1-0-1
    sa timing: remaining key lifetime (kB/sec): (3916798/27594)
    IV size: 16 bytes
    replay detection support: Y
    Anti replay bitmap: 
    0x00000000 0x00000001

#show bgp summary 
BGP router identifier 10.1.1.2, local AS number 1000
BGP table version is 7, main routing table version 7
2 network entries using 400 bytes of memory
2 path entries using 160 bytes of memory
2/2 BGP path/bestpath attribute entries using 416 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 976 total bytes of memory
BGP activity 5/3 prefixes, 7/5 paths, scan interval 60 secs

Neighbor        V      AS      MsgRcvd      MsgSent     TblVer    InQ     OutQ     Up/Down     State/PfxRcd
169.254.2.1      4     1000       22             22       7       0         0      00:19:42      1

#show bgp neighbors
BGP neighbor is 169.254.2.1, context single_vf, remote AS 1000, internal link
    BGP version 4, remote router ID 10.1.1.1
    BGP state = Established, up for 00:19:42
    Last read 00:01:04, last write 00:00:38, hold time is 180, keepalive interval is 60 seconds
    Neighbor sessions:
    1 active, is not multisession capable (disabled)
Neighbor capabilities:
    Route refresh: advertised and received(new)
    Four-octets ASN Capability: advertised and received
    Address family IPv4 Unicast: advertised and received
    Multisession Capability: 
Message statistics:
   InQ depth is 0
   OutQ depth is 0
                   Sent     Rcvd
Opens:             1         1 
Notifications:     0         0 
Updates:           2         2 
Keepalives:        19       19 
Route Refresh:     0         0 
Total:             22       22 
Default minimum time between advertisement runs is 0 seconds
For address family: IPv4 Unicast
  Session: 169.254.2.1
  BGP table version 7, neighbor version 7/0
  Output queue size : 0

  Index 5
  5 update-group member
                     Sent      Rcvd
Prefix activity:     ----      ----
Prefixes Current:    1         1         (Consumes 80 bytes)
Prefixes Total:      1         1 
Implicit Withdraw:   0         0 
Explicit Withdraw:   0         0 
Used as bestpath:    n/a       1 
Used as multipath:   n/a       0

                                  Outbound        Inbound
Local Policy Denied Prefixes:     --------        -------
Bestpath from this peer:           1              n/a 
Invalid Path:                      1              n/a 
Total:                             2              0 
Number of NLRIs in the update sent: max 1, min 0

Address tracking is enabled, the RIB does have a route to 169.254.2.1
Connections established 5; dropped 4
Last reset 00:20:06, due to Peer closed the session of session 1
Transport(tcp) path-mtu-discovery is disabled
Graceful-Restart is disabled

#show route bgp
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
           D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
           N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
           E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
           i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
           ia - IS-IS inter area, * - candidate default, U - per-user static route
           o - ODR, P - periodic downloaded static route, + - replicated route
           SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.197.226.1 to network 0.0.0.0

B       2.2.2.0 255.255.255.0 [200/0] via 169.254.2.1, 00:19:55

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.

debug crypto ikev2 platform 255
debug crypto ikev2 protocol 255
debug crypto ipsec 255
debug ip bgp all

• Supporta solo interfacce IPv4, IPv4, reti protette o payload VPN (nessun supporto per IPv6).