PIX/ASA 7.x e versioni successive: IPsec dinamico tra un router IOS con indirizzo statico e un PIX con indirizzo dinamico con esempio di configurazione NAT

Opzioni per il download

PDF (329.1 KB)
Visualizza con Adobe Reader su diversi dispositivi
ePub (120.2 KB)
Visualizza in diverse app su iPhone, iPad, Android, Sony Reader o Windows Phone
Mobi (Kindle) (131.3 KB)
Visualizza su dispositivo Kindle o tramite app Kindle su più dispositivi

Aggiornato:10 ottobre 2008

ID documento:82077

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Prodotti correlati

Convenzioni

Premesse

Configurazione

Esempio di rete

Configurazioni

Cancella associazioni di sicurezza

Verifica

PIX Security Appliance - Comandi show

Router IOS remoto - Comandi show

Risoluzione dei problemi

PIX Security Appliance - Output di debug

Router IOS remoto - Output di debug

Informazioni correlate

Introduzione

In questo documento viene fornita una configurazione di esempio che mostra come abilitare il router ad accettare connessioni IPsec dinamiche da un PIX. Il router remoto esegue NAT (Network Address Translation) se la rete privata 10.2.1.x accede a Internet. Il traffico dalla versione 10.2.1.x alla rete privata 10.1.1.x dietro l'appliance di sicurezza PIX è escluso dal processo NAT. Il tunnel IPsec viene stabilito solo se il traffico (10.1.1.x) avvia la connessione tra l'appliance di sicurezza PIX e il router con rete remota (10.2.1.x). Il PIX può avviare connessioni al router, ma il router non può avviare connessioni al PIX.

Questa configurazione utilizza un router Cisco IOS® per creare tunnel LAN-LAN (L2L) IPsec dinamici con un'appliance di sicurezza che riceve indirizzi IP dinamici sull'interfaccia pubblica (interfaccia esterna). Il protocollo DHCP (Dynamic Host Configuration Protocol) fornisce un meccanismo per allocare dinamicamente gli indirizzi IP del provider di servizi. In questo modo, è possibile riutilizzare gli indirizzi IP quando gli host non ne hanno più bisogno.

Per ulteriori informazioni su uno scenario in cui PIX 6.x accetta connessioni IPsec dinamiche dal router, fare riferimento a Configurazione di IPSec da PIX a router con NAT.

Per ulteriori informazioni su uno scenario in cui il router accetta connessioni IPsec dinamiche da un firewall PIX con versione 6.x, fare riferimento all'esempio di configurazione NAT di IPsec da router a PIX.

Per abilitare le appliance di sicurezza PIX/ASA ad accettare le connessioni IPsec dinamiche dal router Cisco IOS, fare riferimento alla sezione IPsec tra un router IOS statico e un'appliance PIX/ASA 7.x dinamica con configurazione NAT.

Per ulteriori informazioni sullo scenario in cui PIX/ASA Security Appliance 7.x accetta connessioni IPsec dinamiche da un altro PIX 6.x, fare riferimento agli esempi di configurazione di PIX/ASA 7.x da PIX a PIX da IPsec statico con NAT e VPN Client Configuration.

Prerequisiti

Requisiti

Prima di provare la configurazione, verificare che il PIX e il router dispongano di connettività Internet per la definizione del tunnel IPsec.

In questo documento si presume che gli indirizzi IP siano già stati assegnati sulle interfacce pubblica e privata e che sia possibile eseguire il ping dell'indirizzo IP del dispositivo VPN remoto.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

Cisco 3600 con software Cisco IOS versione 12.4
PIX serie 515E Security Appliance Software release 7.x e successive

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prodotti correlati

Cisco ASA serie 5500 versione 7.x esegue una versione software simile a PIX versione 7.x. Le configurazioni riportate in questo documento sono applicabili a entrambe le linee di prodotti.

Convenzioni

Fare riferimento a Cisco Technical Tips Conventions per ulteriori informazioni sulle convenzioni dei documenti.

Premesse

Sul PIX, i comandi access-list e nat 0 funzionano insieme. Quando un utente della rete 10.1.1.0 passa alla rete 10.2.1.0, l'elenco degli accessi viene utilizzato per consentire al traffico di rete 10.1.1.0 di essere crittografato senza NAT. Sul router, i comandi access-list vengono usati per permettere al traffico di rete 10.2.1.0 di essere crittografato senza NAT. Tuttavia, quando gli stessi utenti si spostano altrove (come su Internet), vengono convertiti nell'indirizzo IP dell'interfaccia esterna tramite PAT (Port Address Translation).

Questi sono i comandi di configurazione richiesti sulle appliance di sicurezza PIX per fare in modo che il traffico non passi attraverso il PAT sul tunnel e il traffico su Internet passi attraverso il PAT.

access-list nonat permit ip 10.1.1.0 255.255.255.0 10.2.2.0 255.255.255.0
nat (inside) 0 access-list nonat
nat (inside) 1 10.1.1.0 255.255.255.0 0 0

Configurazione

In questa sezione vengono presentate le informazioni necessarie per configurare le funzionalità descritte più avanti nel documento.

Nota: per ulteriori informazioni sui comandi menzionati in questa sezione, usare lo strumento di ricerca dei comandi (solo utenti registrati).

Esempio di rete

Il documento usa la seguente configurazione di rete:

Configurazioni

In questo documento vengono usate le seguenti configurazioni:

PIX Security Appliance Configuration
Configurazione del router

PIX 7.x
pixfirewall#show running-config PIX Version 7.2(2) ! hostname pixfirewall enable password 8Ry2YjIyt7RRXU24 encrypted names ! !--- The interface dynamically learns its IP address !--- from the service provider. interface Ethernet0 nameif outside security-level 0 ip address dhcp ! interface Ethernet1 nameif inside security-level 100 ip address 10.1.1.2 255.255.255.0 ! ! !-- Output is suppressed. ! passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive !--- This is the access list (IPsec-traffic) used for the VPN interesting traffic !--- to be encrypted. access-list IPSec-traffic extended permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0 !--- This access list (nonat) is used for a nat zero* command that prevents !--- traffic which matches the access list from undergoing NAT.* access-list NO-NAT extended permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0 pager lines 24 mtu inside 1500 mtu outside 1500 no failover icmp unreachable rate-limit 1 burst-size 1 no asdm history enable arp timeout 14400 !--- NAT 0 prevents NAT for networks specified in the ACL - nonat. !--- The nat 1* command specifies PAT using the !--- outside interface for all other traffic.* global (outside) 1 interface nat (inside) 0 access-list NO-NAT nat (inside) 1 0.0.0.0 0.0.0.0 route outside 0.0.0.0 0.0.0.0 172.16.1.2 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout uauth 0:05:00 absolute no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart !--- PHASE 2 CONFIGURATION ---! !--- The encryption types for Phase 2 are defined here. !--- A triple single DES encryption with !--- the md5 hash algorithm is used. crypto ipsec transform-set DYN-TS esp-des esp-md5-hmac !--- Define which traffic should be sent to the IPsec peer. crypto map IPSEC 10 match address IPSec-traffic !--- Sets the IPsec peer. crypto map IPSEC 10 set peer 192.168.1.2 !--- Sets the IPsec transform set "DYN-TS" !--- to be used with the crypto map entry "IPSEC". crypto map IPSEC 10 set transform-set DYN-TS !--- Specifies the interface to be used with !--- the settings defined in this configuration. crypto map IPSEC interface outside !--- Enables IPsec on the outside interface. crypto isakmp enable outside !--- PHASE 1 CONFIGURATION ---! !--- This configuration uses isakmp policy 10. !--- Policy 65535 is included in the configuration by default. !--- The configuration commands here define the Phase !--- 1 policy parameters that are used. crypto isakmp policy 10 authentication pre-share encryption des hash md5 group 1 lifetime 86400 crypto isakmp policy 65535 authentication pre-share encryption 3des hash sha group 2 lifetime 86400 !--- In order to create and manage the database of connection-specific records !--- for IPsec-L2L—IPsec tunnels, use the tunnel-group !--- command in global configuration mode. !--- For L2L connections the name of the tunnel group MUST be the IP !--- address of the IPsec peer. tunnel-group 192.168.1.2 type ipsec-l2l !--- Enter the pre-shared-key in IPsec-attribute parameters !--- in order to configure the authentication method. tunnel-group 192.168.1.2 ipsec-attributes pre-shared-key * telnet timeout 5 ssh timeout 5 console timeout 0 ! class-map inspection_default match default-inspection-traffic ! ! policy-map type inspect dns preset_dns_map parameters message-length maximum 512 policy-map global_policy class inspection_default inspect dns preset_dns_map inspect ftp inspect h323 h225 inspect h323 ras inspect netbios inspect rsh inspect rtsp inspect skinny inspect esmtp inspect sqlnet inspect sunrpc inspect tftp inspect sip inspect xdmcp ! service-policy global_policy global prompt hostname context Cryptochecksum:d609c9eaf51c154f147b3b4ba3c834e0 : end pixfirewall#

PIX 7.x

pixfirewall#show running-config
PIX Version 7.2(2)
!
hostname pixfirewall
enable password 8Ry2YjIyt7RRXU24 encrypted
names
!

!--- The interface dynamically learns its IP address !--- from the service provider.

interface Ethernet0
nameif outside
security-level 0
ip address dhcp
!
interface Ethernet1
nameif inside
security-level 100
ip address 10.1.1.2 255.255.255.0
!
!

!-- Output is suppressed.

!
passwd 2KFQnbNIdI.2KYOU encrypted
ftp mode passive

!--- This is the access list (IPsec-traffic) used for the VPN interesting traffic !--- to be encrypted.

access-list IPSec-traffic extended permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0

!--- This access list (nonat) is used for a nat zero command that prevents !--- traffic which matches the access list from undergoing NAT.

access-list NO-NAT extended permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0

pager lines 24
mtu inside 1500
mtu outside 1500
no failover
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400

!--- NAT 0 prevents NAT for networks specified in the ACL - nonat. !--- The nat 1 command specifies PAT using the !--- outside interface for all other traffic.

global (outside) 1 interface
nat (inside) 0 access-list NO-NAT
nat (inside) 1 0.0.0.0 0.0.0.0

route outside 0.0.0.0 0.0.0.0 172.16.1.2 1

timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart

!--- PHASE 2 CONFIGURATION ---! !--- The encryption types for Phase 2 are defined here. !--- A triple single DES encryption with !--- the md5 hash algorithm is used.

crypto ipsec transform-set DYN-TS esp-des esp-md5-hmac

!--- Define which traffic should be sent to the IPsec peer.

crypto map IPSEC 10 match address IPSec-traffic

!--- Sets the IPsec peer.

crypto map IPSEC 10 set peer 192.168.1.2

!--- Sets the IPsec transform set "DYN-TS" !--- to be used with the crypto map entry "IPSEC".

crypto map IPSEC 10 set transform-set DYN-TS

!--- Specifies the interface to be used with !--- the settings defined in this configuration.

crypto map IPSEC interface outside

!--- Enables IPsec on the outside interface.

crypto isakmp enable outside

!--- PHASE 1 CONFIGURATION ---! !--- This configuration uses isakmp policy 10. !--- Policy 65535 is included in the configuration by default. !--- The configuration commands here define the Phase !--- 1 policy parameters that are used.

crypto isakmp policy 10
authentication pre-share
encryption des
hash md5
group 1
lifetime 86400

crypto isakmp policy 65535
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86400

!--- In order to create and manage the database of connection-specific records !--- for IPsec-L2L—IPsec tunnels, use the tunnel-group !--- command in global configuration mode. !--- For L2L connections the name of the tunnel group MUST be the IP !--- address of the IPsec peer.

tunnel-group 192.168.1.2 type ipsec-l2l

!--- Enter the pre-shared-key in IPsec-attribute parameters !--- in order to configure the authentication method.

tunnel-group 192.168.1.2 ipsec-attributes
pre-shared-key *

telnet timeout 5
ssh timeout 5
console timeout 0
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
!
service-policy global_policy global
prompt hostname context
Cryptochecksum:d609c9eaf51c154f147b3b4ba3c834e0
: end
pixfirewall#

Router
Router#show running-config Current configuration : 1354 bytes ! version 12.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname Router ! boot-start-marker boot-end-marker ! ! no aaa new-model ! resource policy ! ! ! ip cef ! !--- Configuration for IKE policies. !--- Enables the IKE policy configuration (config-isakmp) !--- command mode, where you can specify the parameters that !--- are used during an IKE negotiation. crypto isakmp policy 10 hash md5 authentication pre-share !--- Specifies the preshared key "cisco123" which should !--- be identical at both peers. This is a global !--- configuration mode command. It accepts any peer which matches !--- the pre-shared key. crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0 ! !--- Configuration for IPsec policies. !--- Enables the crypto transform configuration mode, !--- where you can specify the transform sets that are used !--- during an IPsec negotiation. crypto ipsec transform-set DYN-TS esp-des esp-md5-hmac !--- IPsec policy, Phase 2. crypto dynamic-map DYN 10 !--- Configures IPsec to use the transform-set !--- "DYN-TS" defined earlier in this configuration. set transform-set DYN-TS crypto map IPSEC 10 ipsec-isakmp dynamic DYN ! interface Ethernet0/0 ip address 192.168.1.2 255.255.255.0 ip nat outside ip virtual-reassembly half-duplex !--- Configures the interface to use the !--- crypto map "IPSEC" for IPsec. crypto map IPSEC ! interface FastEthernet1/0 ip address 10.2.1.1 255.255.255.0 ip nat inside ip virtual-reassembly duplex auto speed auto ! interface Serial2/0 no ip address shutdown no fair-queue ! interface Serial2/1 no ip address shutdown ! interface Serial2/2 no ip address shutdown ! interface Serial2/3 no ip address shutdown ! ip http server no ip http secure-server ! ip route 0.0.0.0 0.0.0.0 192.168.1.1 ! ip nat inside source list 100 interface Ethernet0/0 overload ! !--- This ACL 100 identifies the traffic flows and be PATed !--- via the outside interface( Ethernet0/0). access-list 100 deny ip 10.2.1.0 0.0.0.255 10.1.1.0 0.0.0.255 access-list 100 permit ip 10.2.1.0 0.0.0.255 any control-plane ! ! line con 0 line aux 0 line vty 0 4 ! ! end

Router

Router#show running-config
Current configuration : 1354 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Router
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
!
resource policy
!
!
!
ip cef
!


!--- Configuration for IKE policies. !--- Enables the IKE policy configuration (config-isakmp) !--- command mode, where you can specify the parameters that !--- are used during an IKE negotiation.


crypto isakmp policy 10
 hash md5
 authentication pre-share


!--- Specifies the preshared key "cisco123" which should !--- be identical at both peers. This is a global !--- configuration mode command. It accepts any peer which matches !--- the pre-shared key.

crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0
!

!--- Configuration for IPsec policies. !--- Enables the crypto transform configuration mode, !--- where you can specify the transform sets that are used !--- during an IPsec negotiation. 


crypto ipsec transform-set DYN-TS esp-des esp-md5-hmac


!--- IPsec policy, Phase 2.


crypto dynamic-map DYN 10



!--- Configures IPsec to use the transform-set !--- "DYN-TS" defined earlier in this configuration.


 set transform-set DYN-TS



crypto map IPSEC 10 ipsec-isakmp dynamic DYN
!
interface Ethernet0/0
 ip address 192.168.1.2 255.255.255.0
 ip nat outside
 ip virtual-reassembly
 half-duplex

!--- Configures the interface to use the !--- crypto map "IPSEC" for IPsec.

 crypto map IPSEC
!
interface FastEthernet1/0
 ip address 10.2.1.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
 duplex auto
 speed auto
!
interface Serial2/0
 no ip address
 shutdown
 no fair-queue
!
interface Serial2/1
 no ip address
 shutdown
!
interface Serial2/2
 no ip address
 shutdown
!
interface Serial2/3
 no ip address
 shutdown
!
ip http server
no ip http secure-server
!
ip route 0.0.0.0 0.0.0.0 192.168.1.1
!
ip nat inside source list 100 interface Ethernet0/0 overload
!

!--- This ACL 100 identifies the traffic flows and be PATed !--- via the outside interface( Ethernet0/0).


access-list 100 deny ip 10.2.1.0 0.0.0.255 10.1.1.0 0.0.0.255
access-list 100 permit ip 10.2.1.0 0.0.0.255 any



control-plane
!

!
line con 0
line aux 0
line vty 0 4
!
!
end

Cancella associazioni di sicurezza

Utilizzare i seguenti comandi nella modalità Privilege del PIX:

clear [crypto] ipsec sa: elimina le SA IPsec attive. La parola chiave crypto è facoltativa.
clear [crypto] isakmp sa: elimina le SA IKE attive. La parola chiave crypto è facoltativa.

Verifica

Per verificare che la configurazione funzioni correttamente, consultare questa sezione.

Lo strumento Output Interpreter (solo utenti registrati) (OIT) supporta alcuni comandi show. Usare OIT per visualizzare un'analisi dell'output del comando show.

PIX Security Appliance - Comandi show
Router IOS remoto - Comandi show

PIX Security Appliance - Comandi show

show crypto isakmp sa: visualizza tutte le associazioni di protezione IKE correnti in un peer.

pixfirewall#show crypto isakmp sa

     Active SA: 1
    Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)
				Total IKE SA: 1

1   IKE Peer: 192.168.1.2
    Type    : L2L             Role    : initiator
    Rekey   : no              State   : MM_ACTIVE

show crypto ipsec sa: visualizza tutte le SA IPsec correnti in un peer.

pixfirewall#show crypto ipsec sa
			interface: outside
    Crypto map tag: IPSEC, seq num: 10, local addr: 172.16.1.1

      access-list IPSec-traffic permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0
      local ident (addr/mask/prot/port): (10.1.1.0/255.255.255.0/0/0)
      remote ident (addr/mask/prot/port): (10.2.1.0/255.255.255.0/0/0)
      current_peer: 192.168.1.2

      #pkts encaps: 10, #pkts encrypt: 10, #pkts digest: 10
      #pkts decaps: 10, #pkts decrypt: 10, #pkts verify: 10
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 10, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #send errors: 0, #recv errors: 0

      local crypto endpt.: 172.16.1.1, remote crypto endpt.: 192.168.1.2

      path mtu 1500, ipsec overhead 58, media mtu 1500
      current outbound spi: 537BC76F

    inbound esp sas:
      spi: 0x64D800CB (1691877579)
         transform: esp-des esp-md5-hmac none
         in use settings ={L2L, Tunnel, }
         slot: 0, conn_id: 1, crypto-map: IPSEC
         sa timing: remaining key lifetime (kB/sec): (4274999/3506)
         IV size: 8 bytes
         replay detection support: Y
    outbound esp sas:
      spi: 0x537BC76F (1400620911)
         transform: esp-des esp-md5-hmac none
         in use settings ={L2L, Tunnel, }
         slot: 0, conn_id: 1, crypto-map: IPSEC
         sa timing: remaining key lifetime (kB/sec): (4274999/3506)
         IV size: 8 bytes
         replay detection support: Y