ASA 및 FTD에서 MS Azure로 정책 및 경로 기반 VPN 구성
소개
이 문서에서는 Cisco ASA 및 Cisco Secure Firewall과 Microsoft Azure 클라우드 서비스 간 VPN의 개념과 구성에 대해 설명합니다.
사전 요구 사항
요구 사항
다음 주제에 대한 지식을 보유하고 있으면 유용합니다.
- ASA에서 VTI를 사용하는 IKEv2 경로 기반 VPN의 경우 ASA 코드 버전 9.8(1) 이상(경로 기반 VPN에 대해 Azure를 구성해야 함)
- ASA 및 FTD에서 암호화 맵을 사용하는 IKEv1 정책 기반 VPN의 경우: ASA 코드 버전 8.2 이상 및 FTD 6.2.0 이상(정책 기반 VPN에 대해 Azure를 구성해야 함)
- 정책 기반 트래픽 선택기와 함께 ASA에서 암호화 맵을 사용하는 IKEv2 경로 기반 VPN의 경우: 암호화 맵으로 구성된 ASA 코드 버전 8.2 이상(UsePolicyBasedTrafficSelectors를 사용하여 경로 기반 VPN에 대해 Azure를 구성해야 함)
- FTD 관리 및 구성에 대한 FMC 지식
사용되는 구성 요소
이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.
- Cisco FTD
- Cisco FMC
- Microsoft Azure
- ASA 9.18.4.22를 실행하는 Cisco ASAv
이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.
배경 정보
개념
VPN 암호화 도메인
IPSec을 사용하는 IP 주소 범위를 사용하면 VPN 터널에 참여할 수 있습니다. 암호화 도메인은 로컬 트래픽 및 원격 트래픽 선택기를 사용하여 IPSec에서 캡처하고 암호화한 로컬 및 원격 서브넷 범위를 지정하도록 정의됩니다.
다음은 VPN 암호화 도메인을 정의하는 두 가지 방법입니다. 경로 기반 또는 정책 기반 트래픽 선택기:
경로 기반:
암호화 도메인은 IPSec 터널로 들어오는 모든 트래픽을 허용하도록 설정됩니다. IPSec 로컬 및 원격 트래픽 선택기는 0.0.0.0으로 설정됩니다. 즉, IPSec 터널로 라우팅되는 모든 트래픽은 소스/대상 서브넷에 관계없이 암호화됩니다.
Cisco ASA(Adaptive Security Appliance)는 버전 9.8 이상에서 VTI(Virtual Tunnel Interface)를 사용하여 경로 기반 VPN을 지원합니다.
FMC(Firepower Management Center)에서 관리하는 Cisco Secure Firewall 또는 FTD(Firepower Threat Defense)는 버전 6.7 이상에서 VTI를 사용하여 경로 기반 VPN을 지원합니다.
정책 기반:
암호화 도메인은 소스와 대상 모두에 대해 특정 IP 범위만 암호화하도록 설정됩니다. 정책 기반 로컬 트래픽 선택기 및 원격 트래픽 선택기는 IPSec을 통해 암호화할 트래픽을 식별합니다.
ASA는 버전 8.2 이상에서 암호화 맵과 함께 정책 기반 VPN을 지원합니다.
Microsoft Azure는 경로 기반, 정책 기반 또는 시뮬레이션된 정책 기반 트래픽 선택기를 사용하는 경로 기반을 지원합니다. Azure는 현재 VPN에서 선택한 방법을 기반으로 구성할 수 있는 IKE(인터넷 키 교환) 버전을 제한합니다. 경로 기반에는 IKEv2가 필요하고 정책 기반에는 IKEv1이 필요합니다. IKEv2가 사용되는 경우 Azure에서 경로 기반은 선택해야 하며 ASA에서는 VTI를 사용해야 합니다.
ASA가 코드 버전 때문에 암호화 맵만 지원하는 경우 정책 기반 트래픽 선택기를 사용하여 경로 기반에 대해 Azure를 구성해야 합니다. 이 작업은 Microsoft에서 UsePolicyBasedTrafficSelectors를 호출하는 옵션을 구현하기 위해 PowerShell 스크립트 배포를 통해 Azure 포털에서 수행됩니다. 이 옵션은 다음과 같이 참조할 수 있습니다. Connect a VPN Gateway to Multiple On-premises Policy-based VPN Devices.
ASA 및 FTD 컨피그레이션 관점에서 요약하려면
- VTI로 구성된 ASA의 경우 경로 기반 VPN에 대해 Azure를 구성해야 합니다.
- FTD의 경우 VTI를 구성하는 방법에 대한 자세한 내용은 Firepower Management Center 컨피그레이션 가이드, 버전 6.7을 참조하십시오.
- 암호화 맵으로 구성된 ASA/FTD의 경우 Azure는 정책 기반 VPN 또는 UsePolicyBasedTrafficSelectors로 경로 기반에 대해 구성해야 합니다.
구성
컨피그레이션 단계를 완료합니다. IKEv1, VTI를 사용하여 IKEv2 경로 기반 또는 정책 기반 트래픽 선택기 사용(ASA의 암호화 맵)을 사용하여 IKEv2 경로 기반 중 하나를 구성합니다.
ASA의 IKEv1 컨피그레이션
ASA에서 Azure로의 Site-to-Site IKEv1 VPN의 경우 다음 ASA 구성을 구현합니다. Azure 포털에서 정책 기반 터널을 구성해야 합니다. 이 예에서는 ASA에서 암호화 맵이 사용됩니다.
ASA의 전체 IKEv1 컨피그레이션 정보에 대해 ASAv의 ASDM 또는 CLI를 사용하여 IKEv1 IPsec Site-to-Site 터널 구성을 참조하십시오.
1. 외부 인터페이스에서 IKEv1을 활성화합니다.
Cisco-ASA(config)#crypto ikev1 enable outside
2. 해시, 인증, Diffie-Hellman 그룹, 수명 및 암호화에 사용할 알고리즘/방법을 정의하는 IKEv1 정책을 생성합니다.
Cisco-ASA(config)#crypto ikev1 policy 1
Cisco-ASA(config-ikev1-policy)#authentication pre-share
Cisco-ASA(config-ikev1-policy)#encryption aes
Cisco-ASA(config-ikev1-policy)#hash sha
Cisco-ASA(config-ikev1-policy)#group 14
Cisco-ASA(config-ikev1-policy)#lifetime 28800
3. IPsec 특성 아래에 터널 그룹을 만들고 피어 IP 주소 및 터널 사전 공유 키를 구성합니다.
Cisco-ASA(config)#tunnel-group 192.168.1.1 type ipsec-l2l
Cisco-ASA(config)#tunnel-group 192.168.1.1 ipsec-attributes
Cisco-ASA(config-tunnel-ipsec)#ikev1 pre-shared-key cisco
4. 암호화 및 터널링할 트래픽을 정의하는 액세스 목록을 만듭니다.
이 예에서 관심 트래픽은 10.2.2.0 서브넷에서 10.1.1.0으로 소스가 지정된 터널에서 옵니다. 사이트 사이에 여러 서브넷이 포함된 경우 여러 항목을 포함할 수 있습니다.
버전 8.4 이상에서는 네트워크, 서브넷, 호스트 IP 주소 또는 여러 개체의 컨테이너 역할을 하는 개체 또는 개체 그룹을 만들 수 있습니다. 로컬 및 원격 서브넷이 있는 두 객체를 생성하여 암호화 ACL(Access Control List) 및 NAT(Network Address Translation) 문 모두에 사용합니다.
Cisco-ASA(config)#object network 10.2.2.0_24
Cisco-ASA(config-network-object)#subnet 10.2.2.0 255.255.255.0
Cisco-ASA(config)#object network 10.1.1.0_24
Cisco-ASA(config-network-object)#subnet 10.1.1.0 255.255.255.0
Cisco-ASA(config)#access-list 100 extended permit ip object 10.2.2.0_24 object 10.1.1.0_24
5. IKEv1 키워드를 포함하는 TS(변형 집합)를 구성합니다. 원격 끝에도 동일한 TS를 만들어야 합니다.
Cisco-ASA(config)#crypto ipsec ikev1 transform-set myset esp-aes esp-sha-hmac
6단계. 암호화 맵을 구성하고 다음 구성 요소가 있는 외부 인터페이스에 적용합니다.
- TS.
- 피어 IP 주소입니다.
- 원하는 트래픽을 포함하는 정의된 액세스 목록.
- 구성이 PFS(Perfect Forwarding Secrecy)를 설정하지 않았습니다. 사이트 대 사이트 VPN 게이트웨이 연결에 대한 VPN 장치 및 IPsec/IKE 매개 변수는 PFS가 Azure의 IKEv1에 대해 사용하지 않도록 설정되어 있습니다.
선택적인 PFS 설정은 데이터를 보호하는 데 사용되는 새로운 Diffie-Hellman 키 쌍을 생성합니다(2단계를 시작하기 전에 양쪽이 모두 PFS를 활성화해야 함). 이 설정은 다음 명령을 실행하여 활성화할 수 있습니다. crypto map outside_map 20 set pfs.
- 2단계 IPSec 수명은 Site-to-Site VPN 게이트웨이 연결을 위한 VPN 디바이스 및 IPsec/IKE 매개변수를 기반으로 설정합니다. 자세한 내용은 Microsoft Azure 지원에 문의하세요.
Cisco-ASA(config)#crypto map outside_map 20 match address 100
Cisco-ASA(config)#crypto map outside_map 20 set peer 192.168.1.1
Cisco-ASA(config)#crypto map outside_map 20 set ikev1 transform-set myset
Cisco-ASA(config)#crypto map outside_map 20 set security-association lifetime seconds 3600
Cisco-ASA(config)#crypto map outside_map 20 set security-association lifetime kilobytes 102400000 Cisco-ASA(config)#crypto map outside_map interface outside
7. VPN 트래픽이 다른 NAT 규칙의 적용을 받지 않는지 확인합니다. NAT 예외 규칙을 만듭니다.
Cisco-ASA(config)#nat (inside,outside) 1 source static 10.2.2.0_24 10.2.2.0_24 destination static 10.1.1.0_24 10.1.1.0_24 no-proxy-arp route-lookup
Cisco-ASA(config)#object-group network 10.x.x.x_SOURCE
Cisco-ASA(config-network-object-group)#network-object 10.4.4.0 255.255.255.0
Cisco-ASA(config-network-object-group)#network-object 10.2.2.0 255.255.255.0
Cisco-ASA(config)#object network 10.x.x.x_DESTINATION
Cisco-ASA(config-network-object-group)#network-object 10.3.3.0 255.255.255.0
Cisco-ASA(config-network-object-group)#network-object 10.1.1.0 255.255.255.0
Cisco-ASA(config)#nat (inside,outside) 1 source static 10.x.x.x_SOURCE 10.x.x.x_SOURCE destination static 10.x.x.x_DESTINATION 10.x.x.x_DESTINATION no-proxy-arp route-lookup
ASA Code 9.8(1) 이상에서 VTI를 사용하는 IKEv2 경로 기반
ASA 코드에서 사이트 대 사이트 IKEv2 경로 기반 VPN의 경우 이 컨피그레이션을 사용합니다. Azure가 경로 기반 VPN에 대해 구성되어 있는지 확인하고 Azure 포털에서 UsePolicyBasedTrafficSelectors를 구성하지 마십시오. VTI는 ASA에 구성됩니다.
참조 CLI Book 3: Cisco ASA Series VPN CLI 컨피그레이션 가이드, 전체 ASA VTI 컨피그레이션 정보용 9.8
1. 외부 인터페이스에서 IKEv2를 활성화합니다.
Cisco-ASA(config)#crypto ikev2 enable outside
2. IKEv2 1단계 정책을 추가합니다.
Cisco-ASA(config)#crypto ikev2 policy 1 Cisco-ASA(config-ikev2-policy)#encryption aes-256 Cisco-ASA(config-ikev2-policy)#integrity sha256 Cisco-ASA(config-ikev2-policy)#group 14 Cisco-ASA(config-ikev2-policy)#lifetime seconds 28800
3. IKEv2 2단계 IPsec 제안서를 추가합니다. 암호화 IPsec ikev2 ipsec-proposal 컨피그레이션 모드에서 보안 매개변수를 지정합니다.
프로토콜 esp 암호화 {des | 3des | aes | aes-192 | aes-256 | aes-gcm | aes-gcm-192 | aes-gcm-256 | aes-gmac | aes-gmac-192 | aes-gmac-256 | null}
프로토콜 esp 무결성 {md5 | sha-1 | sha-256 | sha-384 | sha-512 | null}
Cisco-ASA(config)#crypto ipsec ikev2 ipsec-proposal SET1
Cisco-ASA(config-ipsec-proposal)#protocol esp encryption aes-256
Cisco-ASA(config-ipsec-proposal)#protocol esp integrity sha-256
4. 다음을 지정하는 IPSec 프로필을 추가합니다.
- 이전에 구성한 ikev2 2단계 IPSec 제안서입니다.
- 2단계 IPSec 수명(선택 사항)(초 및/또는 킬로바이트 단위).
- PFS 그룹(선택 사항)
Cisco-ASA(config)#crypto ipsec profile PROFILE1
Cisco-ASA(config-ipsec-profile)#set ikev2 ipsec-proposal SET1
Cisco-ASA(config-ipsec-profile)#set security-association lifetime seconds 27000
Cisco-ASA(config-ipsec-profile)#set security-association lifetime kilobytes unlimited
Cisco-ASA(config-ipsec-profile)#set pfs none
5. IPsec 특성 아래에 터널 그룹을 만들고 피어 IP 주소 및 IKEv2 로컬 및 원격 터널 사전 공유 키를 구성합니다.
Cisco-ASA(config)#tunnel-group 192.168.1.1 type ipsec-l2l
Cisco-ASA(config)#tunnel-group 192.168.1.1 ipsec-attributes
Cisco-ASA(config-tunnel-ipsec)#ikev2 local-authentication pre-shared-key cisco
Cisco-ASA(config-tunnel-ipsec)#ikev2 remote-authentication pre-shared-key cisco
6. 다음을 지정하는 VTI를 생성합니다.
- 새 터널 인터페이스 번호: 인터페이스 터널 [번호]
- 새 터널 인터페이스 이름: nameif [이름]
- 터널 인터페이스에 존재하지 않는 IP 주소: ip address [ip-address] [mask](ip 주소 [ip-주소] [마스크])
- VPN이 로컬로 종료되는 터널 소스 인터페이스: 터널 소스 인터페이스 [int-name]
- Azure 게이트웨이 IP 주소: 터널 대상 [Azure Public IP]
- IPSec IPv4 모드: 터널 모드 ipsec ipv4
- 이 VTI에 사용할 IPSec 프로파일: 터널 보호 ipsec 프로필 [profile-name]
Cisco-ASA(config)#interface tunnel 100 Cisco-ASA(config-if)#nameif vti Cisco-ASA(config-if)#ip address 169.254.0.1 255.255.255.252 Cisco-ASA(config-if)#tunnel source interface outside Cisco-ASA(config-if)#tunnel destination [Azure Public IP] Cisco-ASA(config-if)#tunnel mode ipsec ipv4 Cisco-ASA(config-if)#tunnel protection ipsec profile PROFILE1
7. 터널 안으로 트래픽을 가리키도록 고정 경로를 생성합니다. 고정 경로를 추가하려면 다음 명령을 실행합니다.
route if_name dest_ip mask gateway_ip [distance]
dest_ip 및 mask는 Azure 클라우드에 있는 대상 네트워크의 IP 주소입니다(예: 10.0.0.0/24). gateway_ip는 터널 인터페이스 서브넷에 있는 IP 주소(예: 169.254.0.2)여야 합니다. 이 gateway_ip의 목적은 터널 인터페이스로 트래픽을 가리키는 것이지만 특정 게이트웨이 IP 자체는 중요하지 않습니다.
Cisco-ASA(config)#route vti 10.0.0.0 255.255.255.0 169.254.0.2
FTD의 IKEv1 컨피그레이션
FTD에서 Azure로의 Site-to-Site IKEv1 VPN의 경우 FTD 디바이스를 FMC에 미리 등록해야 합니다.
1. Site-to-Site 정책을 생성합니다. FMC 대시보드 > Devices > VPN > Site to Site로 이동합니다.
2. 새 정책을 생성합니다. Add VPN(VPN 추가) 드롭다운 메뉴를 클릭하고 Firepower Threat Defense Device(위협 방어 디바이스)를 선택합니다.
3. Create new VPN Topology(새 VPN 토폴로지 생성) 창에서 Topology Name(토폴로지 이름)을 지정하고 IKEV1 Protocol(IKEV1 프로토콜) 확인란을 선택한 후 IKE 탭을 클릭합니다. 이 예에서는 사전 공유 키가 인증 방법으로 사용됩니다. Authentication Type 드롭다운 메뉴를 클릭하고 Pre-shared Manual Key(사전 공유 수동 키)를 선택합니다. Key(키) 및 Confirm Key(키 확인) 텍스트 필드에 수동 사전 공유 키를 입력합니다.
4. 새 매개변수를 생성하여 ISAKMP 정책 또는 1단계 매개변수를 구성합니다. 동일한 창에서 녹색 + 버튼을 클릭하여 새 ISAKMP 정책을 추가합니다. 정책의 이름을 지정하고 원하는 Encryption(암호화), Hash(해시), Diffie-Hellman Group(Diffie-Hellman 그룹), Lifetime(수명) 및 Authentication Method(인증 방법)를 선택하고 Save(저장)를 클릭합니다.
5. IPsec 정책 또는 2단계 매개변수를 구성합니다. IPsec 탭으로 이동하고 Crypto Map Type(암호화 맵 유형) 확인란에서 Static(고정)을 선택합니다. 변형 집합 옵션의 IKEV1 IPsec 제안서에서 연필 편집 아이콘을 클릭합니다.
6. 새 IPsec 제안서를 만듭니다. IKEv1 IPSec 제안 창에서 녹색 + 버튼을 클릭하여 새로 추가합니다. 정책의 이름 및 ESP 암호화 및 ESP 해시 알고리즘에 대해 원하는 매개변수를 지정하고 Save(저장)를 클릭합니다.
7 . IKEV1 IPsec Proposal 창에서 새 IPsec 정책을 Selected Transform Sets(선택된 변형 집합) 섹션에 추가하고 OK(확인)를 클릭합니다.
8. 다시 IPSec 탭에서 원하는 수명 기간 및 크기를 구성합니다.
9. 암호화 도메인/트래픽 선택기/보호된 네트워크를 선택합니다. Endpoints(엔드포인트) 탭으로 이동합니다. 노드 A에서 를 클릭하여 새 노드green + button를 추가합니다. 이 예에서는 노드 A가 FTD에 대한 로컬 서브넷으로 사용됩니다.
10. 엔드포인트 추가 창에서 디바이스 드롭다운에서 사용할 FTD를 물리적 인터페이스 및 사용할 IP 주소와 함께 지정합니다.
11. 로컬 트래픽 선택기를 지정하려면 Protected Networks 옵션으로 이동하고 녹색 + 버튼을 클릭하여 새 개체를 만듭니다.
12. 네트워크 개체 창에서 사용 가능한 네트워크 텍스트 옆에 있는 녹색 + 버튼을 클릭하여 새 로컬 트래픽 선택기 개체를 만듭니다.
13. New Network Object(새 네트워크 개체) 창에서 개체의 이름을 지정하고 적절히 선택합니다. 호스트/네트워크/범위/FQDN 그런 다음 저장을 클릭합니다.
14. [네트워크 객체] 창의 [선택한 네트워크] 섹션에 객체를 추가하고 확인을 누릅니다. [엔드포인트 추가] 창에서 확인을 누릅니다.
15. 이 예에서 Azure 끝점인 노드 B를 정의합니다. Create New VPN Topology(새 VPN 토폴로지 생성) 창에서 Node B(노드 B) 섹션으로 이동하고 녹색 + 버튼을 클릭하여 원격 엔드포인트 트래픽 선택기를 추가합니다. 노드 A와 동일한 FMC로 관리되지 않는 모든 VPN 피어 엔드포인트에 대해 엑스트라넷을 지정합니다. 디바이스의 이름(로컬로 중요함) 및 해당 IP 주소를 입력합니다.
16. 원격 트래픽 선택기 객체를 만듭니다. Protected Networks(보호된 네트워크) 섹션으로 이동한 다음 녹색 + 버튼을 클릭하여 새 객체를 추가합니다.
17. 네트워크 객체 창에서 사용 가능한 네트워크 텍스트 옆에 있는 녹색 + 버튼을 클릭하여 새 객체를 생성합니다. New Network Object(새 네트워크 개체) 창에서 개체의 이름을 지정하고 host/range/network/FQDN(호스트/범위/네트워크/FQDN)을 선택하고 Save(저장)를 클릭합니다.
18. 네트워크 객체 창으로 돌아가 새 원격 객체를 선택한 네트워크 섹션에 추가하고 확인을 클릭합니다. Add Endpoint(엔드포인트 추가) 창에서 OK(확인)를 클릭합니다.
19. Create New VPN Topology(새 VPN 토폴로지 생성) 창에서 이제 두 노드 모두에 올바른 트래픽 선택기/보호된 네트워크가 있음을 확인할 수 있습니다. 저장을 클릭합니다.
20. FMC 대시보드에서 오른쪽 상단 창의 Deploy(구축)를 클릭하고 FTD 디바이스를 선택한 다음 Deploy(구축)를 클릭합니다.
21. CLI에서 VPN 컨피그레이션은 ASA 디바이스의 컨피그레이션과 동일하게 보입니다.
정책 기반 트래픽 선택기를 사용하는 IKEv2 경로 기반
암호화 맵이 있는 ASA의 사이트 간 IKEv2 VPN의 경우 이 컨피그레이션을 사용합니다. Azure가 경로 기반 VPN에 대해 구성되어 있는지 확인하고 PowerShell을 사용하여 Azure 포털에서 UsePolicyBasedTrafficSelectors를 구성해야 합니다.
Microsoft에서 제공하는 여러 온프레미스 정책 기반 VPN 장치에 VPN 게이트웨이 연결은 경로 기반 Azure VPN 모드와 함께 UsePolicyBasedTrafficSelector의 구성을 설명합니다. 이 단계를 완료하지 않으면 Azure에서 수신한 트래픽 선택기가 일치하지 않아 암호화 맵이 있는 ASA에서 연결을 설정하지 못합니다.
참조 CLI Book 3: Cisco ASA Series VPN CLI 컨피그레이션 가이드, 암호화 맵 컨피그레이션 정보가 포함된 전체 ASA IKEv2용 9.8
1. 외부 인터페이스에서 IKEv2를 활성화합니다.
Cisco-ASA(config)#crypto ikev2 enable outside
2. IKEv2 1단계 정책을 추가합니다.
Cisco-ASA(config)#crypto ikev2 policy 1 Cisco-ASA(config-ikev2-policy)#encryption aes-256 Cisco-ASA(config-ikev2-policy)#integrity sha256 Cisco-ASA(config-ikev2-policy)#group 14 Cisco-ASA(config-ikev2-policy)#lifetime seconds 28800
3. IPsec 특성 아래에 터널 그룹을 만들고 피어 IP 주소 및 IKEv2 로컬 및 원격 터널 사전 공유 키를 구성합니다.
Cisco-ASA(config)#tunnel-group 192.168.1.1 type ipsec-l2l
Cisco-ASA(config)#tunnel-group 192.168.1.1 ipsec-attributes
Cisco-ASA(config-tunnel-ipsec)#ikev2 local-authentication pre-shared-key cisco
Cisco-ASA(config-tunnel-ipsec)#ikev2 remote-authentication pre-shared-key cisco
4. 암호화 및 터널링할 트래픽을 정의하는 액세스 목록을 만듭니다. 이 예에서 관심 트래픽은 터널에서 10.2.2.0 서브넷에서 10.1.1.0으로 이동하는 트래픽입니다. 사이트 사이에 여러 서브넷이 포함된 경우 여러 항목을 포함할 수 있습니다.
버전 8.4 이상에서는 네트워크, 서브넷, 호스트 IP 주소 또는 여러 개체의 컨테이너 역할을 하는 개체 또는 개체 그룹을 만들 수 있습니다. 로컬 및 원격 서브넷이 있는 두 객체를 생성하여 암호화 ACL 및 NAT 문 모두에 사용합니다.
Cisco-ASA(config)#object network 10.2.2.0_24
Cisco-ASA(config-network-object)#subnet 10.2.2.0 255.255.255.0
Cisco-ASA(config)#object network 10.1.1.0_24
Cisco-ASA(config-network-object)#subnet 10.1.1.0 255.255.255.0
Cisco-ASA(config)#access-list 100 extended permit ip object 10.2.2.0_24 object 10.1.1.0_24
5. IKEv2 2단계 IPsec 제안서를 추가합니다. 암호화 IPsec ikev2 ipsec-proposal 컨피그레이션 모드에서 보안 매개변수를 지정합니다.
프로토콜 esp 암호화 {des | 3des | aes | aes-192 | aes-256 | aes-gcm | aes-gcm-192 | aes-gcm-256 | aes-gmac | aes-gmac-192 | aes-gmac-256 | null}
프로토콜 esp 무결성 {md5 | sha-1 | sha-256 | sha-384 | sha-512 | null}
Cisco-ASA(config)#crypto ipsec ikev2 ipsec-proposal SET1
Cisco-ASA(config-ipsec-proposal)#protocol esp encryption aes-256
Cisco-ASA(config-ipsec-proposal)#protocol esp integrity sha-256
6. 암호화 맵을 구성하고 다음 구성 요소가 포함된 외부 인터페이스에 적용합니다.
· 피어 IP 주소
· 원하는 트래픽이 포함된 정의된 액세스 목록
· IKEv2 2단계 IPSec 제안
· 2단계 IPSec 수명(초)
· PFS(Perfect Forward Secrecy) 설정(선택 사항): 데이터 보호에 사용되는 새로운 Diffie-Hellman 키 쌍을 생성합니다(2단계가 시작되기 전에 양쪽이 모두 PFS를 활성화해야 함).
Microsoft는 Azure에서 사용하는 2단계 IPSec 수명 및 PFS 특성과 충돌하는 정보를 게시했습니다.
나열된 특성은 경로 기반 VPN IPsec Security Association(IKE Quick Mode SA) 오퍼의 특성입니다.
2단계 Microsoft에서 충돌되는 IPSec 특성 정보는 샘플 구성입니다. Cisco ASA 디바이스(IKEv2/BGP 없음). 자세한 내용은 Microsoft Azure 지원에 문의하세요.
Cisco-ASA(config)#crypto map outside_map 20 match address 100 Cisco-ASA(config)#crypto map outside_map 20 set peer 192.168.1.1 Cisco-ASA(config)#crypto map outside_map 20 set ikev2 ipsec-proposal myset
Cisco-ASA(config)#crypto map outside_map 20 set security-association lifetime seconds 27000
Cisco-ASA(config)#crypto map outside_map 20 set security-association lifetime kilobytes unlimited Cisco-ASA(config)#crypto map outside_map 20 set pfs none Cisco-ASA(config)#crypto map outside_map interface outside
8. VPN 트래픽이 다른 NAT 규칙의 적용을 받지 않는지 확인합니다. NAT 예외 규칙을 만듭니다.
Cisco-ASA(config)#nat (inside,outside) 1 source static 10.2.2.0_24 10.2.2.0_24 destination static 10.1.1.0_24 10.1.1.0_24 no-proxy-arp route-lookup
Cisco-ASA(config)#object-group network 10.x.x.x_SOURCE
Cisco-ASA(config-network-object-group)#network-object 10.4.4.0 255.255.255.0
Cisco-ASA(config-network-object-group)#network-object 10.2.2.0 255.255.255.0
Cisco-ASA(config)#object network 10.x.x.x_DESTINATION
Cisco-ASA(config-network-object-group)#network-object 10.3.3.0 255.255.255.0
Cisco-ASA(config-network-object-group)#network-object 10.1.1.0 255.255.255.0
Cisco-ASA(config)#nat (inside,outside) 1 source static 10.x.x.x_SOURCE 10.x.x.x_SOURCE destination static 10.x.x.x_DESTINATION 10.x.x.x_DESTINATION no-proxy-arp route-lookup
다음을 확인합니다.
ASA 및 Azure 게이트웨이 모두에서 컨피그레이션을 완료한 후 Azure는 VPN 터널을 시작합니다. 다음 명령을 사용하여 터널이 올바르게 빌드되었는지 확인할 수 있습니다.
1단계
1단계 SA(Security Association)가 구축되었는지 확인합니다.
다음으로, UDP 포트 500의 로컬 외부 인터페이스 IP 192.168.1.2에서 원격 대상 IP 192.168.2.2로 구축된 IKEv2 SA가 표시됩니다. 또한 암호화된 트래픽이 통과하도록 작성된 유효한 하위 SA도 있습니다.
Cisco-ASA# show crypto ikev2 sa
IKEv2 SAs:
Session-id:44615, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote Status Role
3208253 192.168.1.2/500 192.168.2.2/500 READY INITIATOR
Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/142 sec
*-->Child sa: local selector 192.168.0.0/0 - 192.168.0.255/65535
remote selector 192.168.3.0/0 - 192.168.3.255/65535
ESP spi in/out: 0x9b60edc5/0x8e7a2e12
이 예에서 IKEv1 SA는 ASA를 피어 IP 192.168.2.2에 대한 개시자로 구축되며 남은 수명은 86388초입니다.
Cisco-ASA# sh crypto ikev1 sa detail
IKEv1 SAs:
Active SA: 1
Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)
Total IKE SA: 1
1 IKE Peer: 192.168.2.2
Type : L2L Role : initiator
Rekey : no State : MM_ACTIVE
Encrypt : aes Hash : SHA
Auth : preshared Lifetime: 86400
Lifetime Remaining: 86388
2단계
2단계 IPSec 보안 연결이 show crypto ipsec sa peer [peer-ip]를 사용하여 구축되었는지 확인합니다.
Cisco-ASA# show crypto ipsec sa peer 192.168.2.2
peer address: 192.168.2.2
Crypto map tag: outside, seq num: 10, local addr: 192.168.1.2
access-list VPN extended permit ip 192.168.0.0 255.255.255.0 192.168.3.0 255.255.255.0
local ident (addr/mask/prot/port): (192.168.0.0/255.255.255.0/0/0)
remote ident (addr/mask/prot/port): (192.168.3.0/255.255.255.0/0/0)
current_peer: 192.168.2.2
#pkts encaps: 4, #pkts encrypt: 4, #pkts digest: 4
#pkts decaps: 4, #pkts decrypt: 4, #pkts verify: 4
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 4, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#TFC rcvd: 0, #TFC sent: 0
#Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
#send errors: 0, #recv errors: 0
local crypto endpt.: 192.168.1.2/500, remote crypto endpt.: 192.168.2.2/500
path mtu 1500, ipsec overhead 74(44), media mtu 1500
PMTU time remaining (sec): 0, DF policy: copy-df
ICMP error validation: disabled, TFC packets: disabled
current outbound spi: 8E7A2E12
current inbound spi : 9B60EDC5
inbound esp sas:
spi: 0x9B60EDC5 (2606820805)
SA State: active
transform: esp-aes-256 esp-sha256-hmac no compression
in use settings ={L2L, Tunnel, IKEv2, }
slot: 0, conn_id: 182743040, crypto-map: outside
sa timing: remaining key lifetime (kB/sec): (4193279/28522)
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x0000001F
outbound esp sas:
spi: 0x8E7A2E12 (2390371858)
SA State: active
transform: esp-aes-256 esp-sha256-hmac no compression
in use settings ={L2L, Tunnel, IKEv2, }
slot: 0, conn_id: 182743040, crypto-map: outside
sa timing: remaining key lifetime (kB/sec): (3962879/28522)
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001
4개의 패킷이 전송되고 4개는 오류 없이 IPSec SA를 통해 수신됩니다. SPI 0x9B60EDC5가 포함된 하나의 인바운드 SA와 SPI 0x8E7A2E12가 포함된 하나의 아웃바운드 SA가 예상대로 설치됩니다.
또한 vpn-sessiondb l2l 항목의 검사를 통해 터널을 통해 데이터가 전달되는지 확인할 수 있습니다.
Cisco-ASA#show vpn-sessiondb l2l
Session Type: LAN-to-LAN
Connection : 192.168.2.2
Index : 44615 IP Addr : 192.168.2.2
Protocol : IKEv2 IPsec
Encryption : IKEv2: (1)AES256 IPsec: (1)AES256
Hashing : IKEv2: (1)SHA256 IPsec: (1)SHA256
Bytes Tx : 400 Bytes Rx : 400
Login Time : 18:32:54 UTC Tue Mar 13 2018
Duration : 0h:05m:22s
바이트 Tx: 및 바이트 Rx: IPSec SA를 통해 전송 및 수신된 데이터 카운터를 표시합니다.
문제 해결
1. VPN에 대한 트래픽이 Azure 개인 네트워크로 향하는 내부 인터페이스에서 ASA에 수신되는지 확인합니다. 테스트하기 위해 내부 클라이언트에서 연속 ping을 구성하고 ASA에서 패킷 캡처를 구성하여 수신 여부를 확인할 수 있습니다.
capture [cap-name] interface [if-name] match [protocol] [src-ip] [src-mask] [dest-ip] [dest-mask]
show capture [cap-name]
Cisco-ASA#capture inside interface inside match ip host [local-host] host [remote-host]
Cisco-ASA#show capture inside 2 packets captured 1: 18:50:42.835863 192.168.0.2 > 192.168.3.2: icmp: echo request 2: 18:50:42.839128 192.168.3.2 > 192.168.0.2: icmp: echo reply 2 packets shown
- Azure의 회신 트래픽이 표시되면 VPN이 올바르게 구축되어 트래픽을 전송/수신합니다.
- 소스 트래픽이 없는 경우 발신자가 ASA로 올바르게 라우팅되고 있는지 확인합니다.
- 소스 트래픽이 표시되지만 Azure의 회신 트래픽이 없는 경우 그 이유를 계속 확인합니다.
2. ASA 내부 인터페이스에서 수신한 트래픽이 ASA에서 올바르게 처리되고 VPN으로 라우팅되는지 확인합니다.
ICMP 에코 요청을 시뮬레이션하려면
packet-tracer input [inside-interface-name] icmp [inside-host-ip] 8 0 [azure-host-ip] detail
전체 패킷 추적기 사용 지침을 참조하십시오. 패킷 추적기를 사용하여 액세스 문제 해결
Cisco-ASA# packet-tracer input inside icmp 192.168.0.2 8 0 192.168.3.2 detail
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0x7f6c19afb0a0, priority=13, domain=capture, deny=false
hits=3, user_data=0x7f6c19afb9b0, cs_id=0x0, l3_type=0x0
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=0000.0000.0000, mask=0000.0000.0000
input_ifc=inside, output_ifc=any
Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
Forward Flow based lookup yields rule:
in id=0x7f6c195971f0, priority=1, domain=permit, deny=false
hits=32, user_data=0x0, cs_id=0x0, l3_type=0x8
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=0000.0000.0000, mask=0100.0000.0000
input_ifc=inside, output_ifc=any
Phase: 3
Type: ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
found next-hop 192.168.1.1 using egress ifc outside
Phase: 4
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0x7f6c19250290, priority=0, domain=nat-per-session, deny=true
hits=41, user_data=0x0, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=0
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0
input_ifc=any, output_ifc=any
Phase: 5
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0x7f6c1987c120, priority=0, domain=inspect-ip-options, deny=true
hits=26, user_data=0x0, cs_id=0x0, reverse, flags=0x0, protocol=0
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0
input_ifc=inside, output_ifc=any
Phase: 6
Type: QOS
Subtype:
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0x7f6c19a60280, priority=70, domain=qos-per-class, deny=false
hits=30, user_data=0x7f6c19a5c030, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=0
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0
input_ifc=any, output_ifc=any
Phase: 7
Type: INSPECT
Subtype: np-inspect
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0x7f6c1983ab50, priority=66, domain=inspect-icmp-error, deny=false
hits=27, user_data=0x7f6c1987afc0, cs_id=0x0, use_real_addr, flags=0x0, protocol=1
src ip/id=0.0.0.0, mask=0.0.0.0, icmp-type=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, icmp-code=0, tag=any, dscp=0x0
input_ifc=inside, output_ifc=any
Phase: 8
Type: VPN
Subtype: encrypt
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
out id=0x7f6c19afe1a0, priority=70, domain=encrypt, deny=false
hits=2, user_data=0x13134, cs_id=0x7f6c19349670, reverse, flags=0x0, protocol=0
src ip/id=192.168.0.0, mask=255.255.255.0, port=0, tag=any
dst ip/id=192.168.3.0, mask=255.255.255.0, port=0, tag=any, dscp=0x0
input_ifc=any, output_ifc=outside
Phase: 9
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 43, packet dispatched to next module
Module information for forward flow ...
snp_fp_tracer_drop
snp_fp_inspect_ip_options
snp_fp_inspect_icmp
snp_fp_adjacency
snp_fp_encrypt
snp_fp_fragment
snp_ifc_stat
Module information for reverse flow ...
Result:
input-interface: inside
input-status: up
input-line-status: up
output-interface: outside
output-status: up
output-line-status: up
Action: allow
NAT는 트래픽을 제외합니다(변환이 적용되지 않음). VPN 트래픽에서 NAT 변환이 발생하지 않는지 확인합니다. 또한 출력 인터페이스가 올바른지 확인합니다. 출력 인터페이스는 암호화 맵이 적용되는 물리적 인터페이스 또는 가상 터널 인터페이스여야 합니다.
액세스 목록 삭제가 표시되지 않는지 확인합니다. VPN 단계에 ENCRYPT가 표시되는 경우: ALLOW, 터널이 이미 구축되었으며 IPSec SA가 Encaps와 함께 설치된 것을 볼 수 있습니다.
2.1. 암호화할 경우: ALLOW가 패킷 추적기에 표시됩니다.
- IPsec SA가 설치되어 있는지 확인하고 show crypto ipsec sa를 사용하여 트래픽을 암호화합니다.
- 외부 인터페이스에서 캡처를 수행하여 암호화된 패킷이 ASA에서 전송되고 암호화된 응답이 Azure에서 수신되는지 확인할 수 있습니다.
2.2. ENCRYPT:DROP이 패킷 추적기에 표시됩니다.
- VPN 터널이 아직 설정되지 않았지만 협상 중입니다. 이는 터널을 처음 시작할 때 예상되는 조건입니다. 디버그를 실행하여 터널 협상 프로세스를 보고 어디서 오류가 발생하는지 확인합니다.
올바른 버전의 IKE가 트리거되었는지 확인하고 ike-common 프로세스에 관련 오류가 표시되지 않는지 확인합니다.
Cisco-ASA#debug crypto ike-common 255 Cisco-ASA# Mar 13 18:58:14 [IKE COMMON DEBUG]Tunnel Manager dispatching a KEY_ACQUIRE message to IKEv1. Map Tag = outside. Map Sequence Number = 10.
VPN 트래픽이 시작될 때 ike-common 디버그 출력이 표시되지 않으면, 이는 트래픽이 암호화 프로세스에 도달하기 전에 삭제되거나 crypto ikev1/ikev2가 상자에서 활성화되지 않았음을 의미합니다. 암호화 컨피그레이션 및 패킷 삭제를 다시 확인합니다.
ike-common 디버깅에 암호화 프로세스가 트리거된 것으로 표시되는 경우 IKE 구성 버전을 디버깅하여 터널 협상 메시지를 보고 Azure를 사용한 터널 구성에서 오류가 발생한 위치를 식별합니다.
IKEv1
전체 ikev1 디버그 절차 및 분석: ASA IPsec 및 IKE 디버그(IKEv1 주 모드) 트러블슈팅 TechNote를 참조하십시오.
Cisco-ASA#debug crypto ikev1 127
Cisco-ASA#debug crypto ipsec 127
IKEv2
전체 ikev2 디버그 절차 및 분석을 참조하십시오. PSK가 있는 사이트 간 VPN에 ASA IKEv2 디버그를 사용합니다.
Cisco-ASA#debug crypto ikev2 platform 127 Cisco-ASA#debug crypto ikev2 protocol 127 Cisco-ASA#debug crypto ipsec 127
개정 이력
| 개정 | 게시 날짜 | 의견 |
|---|---|---|
5.0 |
24-Jul-2026
|
업데이트된 기사 설명, 이미지 링크, 스타일 요구 사항 및 서식. |
3.0 |
09-Sep-2022
|
콘텐츠 검토/재인증 |
2.0 |
28-Feb-2022
|
Firestarter 요청의 일부로 FTD 6.7에 대한 지원이 추가되었습니다. |
1.0 |
27-Mar-2019
|
최초 릴리스 |
피드백