Route-gebaseerde site-to-site VPN tussen ASA en FTD configureren
Inhoud
Inleiding
In dit document wordt beschreven hoe een routegebaseerde Site-to-Site VPN-tunnel tussen ASA en FTD door een FMC kan worden geconfigureerd met BGP voor dynamische routering als overlay.
Voorwaarden
Vereisten
Cisco raadt kennis van de volgende onderwerpen aan:
- Basiskennis van IPsec site-to-site VPN
- Border Gateway Protocol (BGP)-configuraties voor Firepower Threat Defense managed (FTD) en Adaptive Security Appliance (ASA)
- Ervaring met Firepower Management Center (FMC)
Gebruikte componenten
- Cisco ASAv versie 9.20(2)2
- Cisco FMC versie 7.4.1
- Cisco FTD versie 7.4.1
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Achtergrondinformatie
Routegebaseerde VPN maakt het mogelijk om te bepalen of interessant verkeer wordt gecodeerd of verzonden via een VPN-tunnel, en maakt gebruik van verkeersroutering in plaats van beleid / toegangslijst zoals in een op beleid gebaseerde of op crypto-map gebaseerde VPN. Het coderingsdomein is zo ingesteld dat alle verkeer dat de IPsec-tunnel binnenkomt, wordt toegestaan. IPsec Lokale en externe verkeerskeuzes zijn ingesteld op 0.0.0.0/0.0.0.0. Elk verkeer dat naar de IPsec-tunnel wordt geleid, is versleuteld, ongeacht het bron-/bestemmingssubnet.
Dit document richt zich op Static Virtual Tunnel Interface (SVTI) configuratie met dynamische routing BGP als een overlay.
Configureren
In dit gedeelte wordt de configuratie beschreven die nodig is op de ASA en FTD om BGP-nabijheid via een SVTI IPSec-tunnel te bereiken.
Netwerkdiagram
Netwerkdiagram
Configuraties
IPSec VPN op FTD configureren met FMC
Stap 1. Navigeer naar Devices > VPN > Site To Site.
Stap 2. Klik op de knop . +Site to Site VPN
Site-to-site VPN
Stap 3. Geef een Topology Name op en selecteer het type VPN alsRoute Based (VTI). Kies deIKE Version.
Voor deze demonstratie:
- Naam topologie: ASAv-VTI
- IKE-versie: IKEv2
VPN-topologie
Stap 4. Kies de Devicewaarop de tunnel moet worden geconfigureerd. U kunt een nieuwe Virtual Tunnel Interface toevoegen (klik op het + pictogram) of een van de bestaande lijsten selecteren.
Eindpunt knooppunt A
Stap 5. Bepaal de parameters van deNew Virtual Tunnel Interface. Klik op de knop .Ok
Voor deze demonstratie:
- Naam: ASA-VTI
- Beschrijving (optioneel): VTI-tunnel met Extranet ASA
- Veiligheidszone: VTI-zone
- Tunnel-ID: 1
- IP-adres: 169.254.2.1/24
- Tunnelbron: Gigabit Ethernet0/1 (buiten)
- IPsec-tunnelmodus: IPv4
virtuele tunnelinterface
Stap 6. KlikOKop de pop-up met de vermelding dat de nieuwe VTI is gemaakt.
Virtual Tunnel Interface toegevoegd
Stap 7. Kies de nieuw gemaakte VTI of een VTI onderVirtual Tunnel Interface. Geef de informatie voor knooppunt B (het peer-apparaat).
Voor deze demonstratie:
- Medisch hulpmiddel: extranet
- Naam apparaat: ASAv-Peer
- IP-adres eindpunt: 10.197.226.187
Eindpunt knooppunt B
Stap 8. Navigeer naar het tabblad IKE. Klik op de knop 
. U kunt ervoor kiezen om een vooraf gedefinieerdePolicyte gebruiken of op de +knop naast het Policytabblad klikken om een nieuwe te maken.
Stap 9. (Optioneel, als u een nieuw IKEv2-beleid maakt.) Geef een Namevoor het beleid en selecteer deAlgorithmsdie in het beleid moeten worden gebruikt. Klik op de knop .Save
Voor deze demonstratie:
- Naam: ASAv-IKEv2-beleid
- Integriteitsalgoritmen: SHA-256
- Coderingsalgoritmen: AES-256
- PRF-algoritmen: SHA-256
- Diffie-Hellman-groep: 14
IKEv2-beleid
Stap 10. Kies de nieuw gemaaktePolicyof de Policydie bestaat. Selecteer deAuthentication Type. Als een vooraf gedeelde handmatige sleutel wordt gebruikt, voert u de sleutel in het vak KeyenConfirm Key in.
Voor deze demonstratie:
- Beleid: ASAv-IKEv2-beleid
- Type verificatie: vooraf gedeelde handmatige sleutel
Verificatie
Stap 11. Navigeer naar hetIPsec tabblad. klikken 
U kunt ervoor kiezen om een vooraf gedefinieerd IKEv2 IPsec-voorstel te gebruiken of een nieuw voorstel te maken. Klik op de knop +naast hetIKEv2 IPsec Proposal tabblad.
Stap 12. (Optioneel, als u een nieuw IKEv2 IPsec-voorstel maakt.) Voer een Namevoor het voorstel in en selecteer deAlgorithmsdie in het voorstel moeten worden gebruikt. Klik op de knop .Save
Voor deze demonstratie:
- Naam: ASAv-IPSec-Policy
- ESP-hash: SHA-256
- ESP-codering: AES-256
IKEv2-IPsec-voorstel
Stap 13. Kies de nieuw gemaakteProposalof Proposaldie bestaat uit de lijst met beschikbare voorstellen. Klik op de knop .OK
transformatieset
Stap 14. (Optioneel) Kies dePerfect Forward Secrecyinstellingen. Configureer de IPsec-Lifetime Duration and Lifetime Size.
Voor deze demonstratie:
- Perfect Forward Secrecy: Modulus Group 14
- Levensduur: 28800 (standaard)
- Levensduur: 4608000 (standaard)
PFS-configuratie
Stap 15. Controleer de geconfigureerde instellingen. Klik opSave, zoals weergegeven in deze afbeelding.
De configuratie opslaan
Loopback-interface op FTD configureren met FMC
Navigeer naar Devices > Device Management . Bewerk het apparaat waarop de loopback moet worden geconfigureerd.
Stap 1. Ga naar Interfaces > Add Interfaces > Loopback Interface.
Navigeer naar Loopback-interface
Stap 2. Voer de naam "loopback" in, geef een loopback-ID "1" op en schakel de interface in.
Loopback-interface inschakelen
Stap 3. Configureer het IP-adres voor de interface en klik op OK.
IP-adres opgeven voor loopback-interface
IPSec VPN configureren op ASA
!--- Configure IKEv2 Policy ---!
crypto ikev2 policy 1
encryption aes-256
integrity sha256
group 14
prf sha256
lifetime seconds 86400
!--- Enable IKEv2 on the outside interface ---!
crypto ikev2 enable outside
!---Configure Tunnel-Group with pre-shared-key---!
tunnel-group 10.197.226.222 type ipsec-l2l
tunnel-group 10.197.226.222 ipsec-attributes
ikev2 remote-authentication pre-shared-key *****
ikev2 local-authentication pre-shared-key *****
!--- Configure IPSec Policy ---!
crypto ipsec ikev2 ipsec-proposal ipsec_proposal_for_FTD
protocol esp encryption aes-256
protocol esp integrity sha-256
!--- Configure IPSec Profile ---!
crypto ipsec profile ipsec_profile_for_FTD
set ikev2 ipsec-proposal FTD-ipsec-proposal
set pfs group14
!--- Configure VTI ---!
interface Tunnel1
nameif FTD-VTI
ip address 169.254.2.2 255.255.255.0
tunnel source interface outside
tunnel destination 10.197.226.222
tunnel mode ipsec ipv4
tunnel protection ipsec profile ipsec_profile_for_FTD
!--- Configure the WAN routes ---!
route outside 0.0.0.0 0.0.0.0 10.197.226.1 1
Loopback-interface configureren op ASA
interface Loopback1
nameif loopback
ip address 1.1.1.1 255.255.255.0
Overlay BGP op FTD configureren met FMC
Navigeer naarDevices > Device Management.Edithet apparaat waar de VTI-tunnel is geconfigureerd en navigeer vervolgens naarRouting > General Settings > BGP.
Stap 1. Schakel BGP in en configureer het nummer van het autonome systeem (AS) en de router-ID, zoals weergegeven in deze afbeelding.
Het AS-nummer moet hetzelfde zijn op zowel de FTD- als de ASA-apparaten.
Router-ID wordt gebruikt om elke router te identificeren die deelneemt aan BGP.
Navigeer om BGP te configureren
Stap 2. Navigeer naarBGP > IPv4en schakel BGP IPv4 in op de FTD.
BGP inschakelen
Stap 3. Voeg onder hetNeighbortabblad het IP-adres van de ASAv VTI-tunnel als buurman toe en schakel de buurman in.
BGP-buurman toevoegen
Stap 4. Voeg onderNetworksde netwerken toe die u via BGP wilt adverteren en die door de VTI-tunnel moeten gaan, in dit geval loopback1.
BGP-netwerken toevoegen
Stap 5. Alle andere BGP-instellingen zijn optioneel en u kunt ze configureren volgens uw omgeving. Controleer de configuratie en klik opSave.
BGP-configuratie opslaan
Stap 6. Implementeer alle configuraties.
Implementatie
Overlay BGP op ASA configureren
router bgp 1000
bgp log-neighbor-changes
bgp router-id 10.1.1.2
address-family ipv4 unicast
neighbor 169.254.2.1 remote-as 1000
neighbor 169.254.2.1 transport path-mtu-discovery disable
neighbor 169.254.2.1 activate
network 1.1.1.0 mask 255.255.255.0
no auto-summary
no synchronization
exit-address-family
Verifiëren
Gebruik deze sectie om te controleren of uw configuratie goed werkt.
Uitgangen op FTD
#show crypto ikev2 sa
IKEv2 SAs:
Session-id:20, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote fvrf/ivrf Status Role
666846307 10.197.226.222/500 10.197.226.187/500 Global/Global READY RESPONDER
Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/1201 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 0.0.0.0/0 - 255.255.255.255/65535
ESP spi in/out: 0xa14edaf6/0x8540d49e
#show crypto ipsec sa
interface: ASAv-VTI
Crypto map tag: __vti-crypto-map-Tunnel1-0-1, seq num: 65280, local addr: 10.197.226.222
Protected vrf (ivrf): Global
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
current_peer: 10.197.226.187
#pkts encaps: 45, #pkts encrypt: 45, #pkts digest: 45
#pkts decaps: 44, #pkts decrypt: 44, #pkts verify: 44
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed:0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#TFC rcvd: 0, #TFC sent: 0
#Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
#send errors: 0, #recv errors: 0
local crypto endpt.: 10.197.226.222/500, remote crypto endpt.: 10.197.226.187/500
path mtu 1500, ipsec overhead 78(44), media mtu 1500
PMTU time remaining (sec): 0, DF policy: copy-df
ICMP error validation: disabled, TFC packets: disabled
current outbound spi: 8540D49E
current inbound spi : A14EDAF6
inbound esp sas:
spi: 0xA14EDAF6 (2706299638)
SA State: active
transform: esp-aes-256 esp-sha-256-hmac no compression
in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
slot: 0, conn_id: 49, crypto-map: __vti-crypto-map-Tunnel1-0-1
sa timing: remaining key lifetime (kB/sec): (4331517/27595)
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
000001FFF 0xFFFFFFFF
outbound esp sas:
spi: 0x8540D49E (2235618462)
SA State: active
transform: esp-aes-256 esp-sha-256-hmac no compression
in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
slot: 0, conn_id: 49, crypto-map: __vti-crypto-map-Tunnel1-0-1
sa timing: remaining key lifetime (kB/sec): (4101117/27595)
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001
#show bgp summary
BGP router identifier 10.1.1.1, local AS number 1000
BGP table version is 5, main routing table version 5
2 network entries using 400 bytes of memory
2 path entries using 160 bytes of memory
2/2 BGP path/bestpath attribute entries using 416 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 976 total bytes of memory
BGP activity 21/19 prefixes, 24/22 paths, scan interval 60 secs
Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd
169.254.2.2 4 1000 22 22 5 0 0 00:19:42 1
#show bgp neighbors
BGP neighbor is 169.254.2.2, vrf single_vf, remote AS 1000, internal link
BGP version 4, remote router ID 10.1.1.2
BGP state = Established, up for 00:19:49
Last read 00:01:04, last write 00:00:38, hold time is 180, keepalive interval is 60 seconds
Neighbor sessions:
1 active, is not multisession capable (disabled)
Neighbor capabilities:
Route refresh: advertised and received(new)
Four-octets ASN Capability: advertised and received
Address family IPv4 Unicast: advertised and received
Multisession Capability:
Message statistics:
InQ depth is 0
OutQ depth is 0
Sent Rcvd
Opens 1 1
Notifications: 0 0
Updates: 2 2
Keepalives: 19 19
Route Refresh: 0 0
Total: 22 22
Default minimum time between advertisement runs is 0 seconds
For address family: IPv4 Unicast
Session: 169.254.2.2
BGP table version 5, neighbor version 5/0
Output queue size : 0
Index 15
15 update-group member
Sent Rcvd
Prefix activity: ---- ----
Prefixes Current: 1 1 (Consumes 80 bytes)
Prefixes Total: 1 1
Implicit Withdraw: 0 0
Explicit Withdraw: 0 0
Used as bestpath: n/a 1
Used as multipath: n/a 0
Outbound Inbound
Local Policy Denied Prefixes: -------- -------
Bestpath from this peer: 1 n/a
Invalid Path: 1 n/a
Total: 2 0
Number of NLRIs in the update sent: max 1, min 0
Address tracking is enabled, the RIB does have a route to 169.254.2.2
Connections established 7; dropped 6
Last reset 00:20:06, due to Peer closed the session of session 1
Transport(tcp) path-mtu-discovery is disabled
Graceful-Restart is disabled
#show route bgp
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.197.226.1 to network 0.0.0.0
B 1.1.1.0 255.255.255.0 [200/0] via 169.254.2.2, 00:19:55
Outputs voor ASA
#show crypto ikev2 sa
IKEv2 SAs:
Session-id:7, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote fvrf/ivrf Status Role
442126361 10.197.226.187/500 10.197.226.222/500 Global/Global READY INITIATOR
Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/1200 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 0.0.0.0/0 - 255.255.255.255/65535
ESP spi in/out: 0x8540d49e/0xa14edaf6
#show crypto ipsec sa
interface: FTD-VTI
Crypto map tag: __vti-crypto-map-Tunnel1-0-1, seq num: 65280, local addr: 10.197.226.187
Protected vrf (ivrf): Global
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
current_peer: 10.197.226.222
#pkts encaps: 44 #pkts encrypt: 44, #pkts digest: 44
#pkts decaps: 45, #pkts decrypt: 45, #pkts verify: 45
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed:0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#TFC rcvd: 0, #TFC sent: 0
#Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
#send errors: 0, #recv errors: 0
local crypto endpt.: 10.197.226.187/500, remote crypto endpt.: 10.197.226.222/500
path mtu 1500, ipsec overhead 78(44), media mtu 1500
PMTU time remaining (sec): 0, DF policy: copy-df
ICMP error validation: disabled, TFC packets: disabled
current outbound spi: A14EDAF6
current inbound spi : 8540D49E
inbound esp sas:
spi: 0x8540D49E (2235618462)
SA State: active
transform: esp-aes-256 esp-sha-256-hmac no compression
in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
slot: 0, conn_id: 9, crypto-map: __vti-crypto-map-Tunnel1-0-1
sa timing: remaining key lifetime (kB/sec): (4147198/27594)
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x007FFFFF
outbound esp sas:
spi: 0xA14EDAF6 (2706299638)
SA State: active
transform: esp-aes-256 esp-sha-256-hmac no compression
in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
slot: 0, conn_id: 9, crypto-map: __vti-crypto-map-Tunnel1-0-1
sa timing: remaining key lifetime (kB/sec): (3916798/27594)
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001
#show bgp summary
BGP router identifier 10.1.1.2, local AS number 1000
BGP table version is 7, main routing table version 7
2 network entries using 400 bytes of memory
2 path entries using 160 bytes of memory
2/2 BGP path/bestpath attribute entries using 416 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 976 total bytes of memory
BGP activity 5/3 prefixes, 7/5 paths, scan interval 60 secs
Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd
169.254.2.1 4 1000 22 22 7 0 0 00:19:42 1
#show bgp neighbors
BGP neighbor is 169.254.2.1, context single_vf, remote AS 1000, internal link
BGP version 4, remote router ID 10.1.1.1
BGP state = Established, up for 00:19:42
Last read 00:01:04, last write 00:00:38, hold time is 180, keepalive interval is 60 seconds
Neighbor sessions:
1 active, is not multisession capable (disabled)
Neighbor capabilities:
Route refresh: advertised and received(new)
Four-octets ASN Capability: advertised and received
Address family IPv4 Unicast: advertised and received
Multisession Capability:
Message statistics:
InQ depth is 0
OutQ depth is 0
Sent Rcvd
Opens: 1 1
Notifications: 0 0
Updates: 2 2
Keepalives: 19 19
Route Refresh: 0 0
Total: 22 22
Default minimum time between advertisement runs is 0 seconds
For address family: IPv4 Unicast
Session: 169.254.2.1
BGP table version 7, neighbor version 7/0
Output queue size : 0
Index 5
5 update-group member
Sent Rcvd
Prefix activity: ---- ----
Prefixes Current: 1 1 (Consumes 80 bytes)
Prefixes Total: 1 1
Implicit Withdraw: 0 0
Explicit Withdraw: 0 0
Used as bestpath: n/a 1
Used as multipath: n/a 0
Outbound Inbound
Local Policy Denied Prefixes: -------- -------
Bestpath from this peer: 1 n/a
Invalid Path: 1 n/a
Total: 2 0
Number of NLRIs in the update sent: max 1, min 0
Address tracking is enabled, the RIB does have a route to 169.254.2.1
Connections established 5; dropped 4
Last reset 00:20:06, due to Peer closed the session of session 1
Transport(tcp) path-mtu-discovery is disabled
Graceful-Restart is disabled
#show route bgp
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.197.226.1 to network 0.0.0.0
B 2.2.2.0 255.255.255.0 [200/0] via 169.254.2.1, 00:19:55
Problemen oplossen
Deze sectie bevat informatie die u kunt gebruiken om problemen met de configuratie te troubleshooten.
debug crypto ikev2 platform 255
debug crypto ikev2 protocol 255
debug crypto ipsec 255
debug ip bgp all
- Ondersteunt alleen IPv4-interfaces, evenals IPv4, beveiligde netwerken of VPN-payload (geen ondersteuning voor IPv6).
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
3.0 |
17-Aug-2026
|
Opmaak, taal. |
2.0 |
06-Aug-2025
|
Formatteren. |
1.0 |
13-Jun-2024
|
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)