Route-based site-to-site VPN configureren tussen ASA en FTD

Inleiding

In dit document wordt beschreven hoe een routegebaseerde Site-to-Site VPN-tunnel tussen ASA en FTD door een FMC kan worden geconfigureerd met dynamische routering als BGP-bedekking.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Basiskennis van IPsec site-to-site VPN
• Configuraties van het Border Gateway Protocol (BGP) op Firepower Threat Defense managed (FTD) en Adaptive Security Appliance (ASA)
• Ervaring met het Firepower Management Center (FMC)

Gebruikte componenten

• Cisco ASAv versie 9.20(2)2
• Cisco FMC versie 7.4.1
• Cisco FTD versie 7.4.1

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Routegebaseerde VPN maakt het mogelijk om interessant verkeer te bepalen of te versleutelen of via een VPN-tunnel te verzenden en maakt gebruik van verkeersroutering in plaats van een beleid / toegangslijst zoals in een op beleid gebaseerde of op Crypto-map gebaseerde VPN. Het encryptiedomein is ingesteld om elk verkeer toe te staan dat de IPsec-tunnel binnenkomt. IPsec De lokale en externe verkeersselectors zijn ingesteld op 0.0.0.0/0.0.0.0. Alle verkeer dat naar de IPsec-tunnel wordt geleid, wordt gecodeerd, ongeacht het bron-/bestemmingssubnet.

Dit document richt zich op de statische Virtual Tunnel Interface (SVTI) configuratie met dynamische routing BGP als een overlay.

Configureren

In dit gedeelte wordt de configuratie beschreven die nodig is voor de ASA en FTD om de nabijheid van BGP via een SVTI IPSec-tunnel te vergroten.

Netwerkdiagram

Netwerkdiagram

Configuraties

IPSec VPN op FTD configureren met FMC

Stap 1. Navigeer naarDevices > VPN > Site To SiteEuropa.

Stap 2. Klik op+Site to Site VPNVertaling.

Site-to-site VPN

Stap 3. Geef een VPN opTopology Nameen selecteer het type VPN alsRoute Based (VTI)alternatief. Kies hetIKE Version.

Voor deze demonstratie:

• Naam topologie: ASAv-VTI
• IKE-versie: IKEv2

VPN-topologie

Stap 4. Kies deDevicelocatie waarop de tunnel moet worden geconfigureerd. U kunt een nieuwe Virtual Tunnel Interface toevoegen (klik op het+pictogram) of selecteer er een uit de bestaande lijst.

Eindpunt knooppunt A

Stap 5. Definieer de parameters van deNew Virtual Tunnel Interfacemethode. Klik op de knop .Ok

Voor deze demonstratie:

• Naam: ASA-VTI
• Beschrijving (optioneel): VTI Tunnel met Extranet ASA
• Beveiligingszone: VTI-zone
• Tunnel-ID: 1
• IP-adres: 169.254.2.1/24
• Tunnelbron: Gigabit Ethernet0/1 (buiten)
• IPsec-tunnelmodus: IPv4

virtuele tunnelinterface

Stap 6. OKKlik op de pop-up met de vermelding dat de nieuwe VTI is gemaakt.

Virtual Tunnel Interface toegevoegd

Stap 7. Kies de nieuw gemaakte VTI of een VTI onderVirtual Tunnel Interface. Verstrek de informatie voor knooppunt B (het peer-apparaat).

Voor deze demonstratie:

• Apparaat: Extranet
• Apparaatnaam: ASAv-Peer
• IP-adres eindpunt: 10.197.226.187

Eindpuntknooppunt B

Stap 8. Navigeer naar het tabblad IKE. Klik op  . U kunt ervoor kiezen om een vooraf gedefinieerdePolicymap te gebruiken of op de+knop naast hetPolicytabblad klikken om een nieuwe te maken.

Stap 9. (Optioneel als u een nieuw IKEv2-beleid maakt.) Geef een beschrijvingNamevoor het beleid en selecteer deAlgorithmsopties die in het beleid moeten worden gebruikt. Klik op de knop .Save

Voor deze demonstratie:

• Naam: ASAv-IKEv2-policy
• Integriteitsalgoritmen: SHA-256
• Coderingsalgoritmen: AES-256
• PRF-algoritmen: SHA-256
• Diffie-Hellman Groep: 14

IKEv2-Beleid

Stap 10. Kies de nieuw gemaaktePolicyof dePolicybestaande. Selecteer deAuthentication Typeoptie. Als een vooraf gedeelde handmatige sleutel wordt gebruikt, voert u de sleutel in het vakKeyenConfirm Key in.

Voor deze demonstratie:

• Beleid: ASAv-IKEv2-Beleid
• Verificatietype: vooraf gedeelde handmatige sleutel

Verificatie

Stap 11. Navigeer naar hetIPsec tabblad. klikken  U kunt ervoor kiezen om een vooraf gedefinieerd IKEv2 IPsec-voorstel te gebruiken of een nieuw voorstel te maken. Klik op de+knop naast hetIKEv2 IPsec Proposal tabblad.

Stap 12. (Optioneel, als u een nieuw IKEv2 IPsec-voorstel maakt.) Voer eenNamecode in voor het voorstel en selecteer deAlgorithmscode die in het voorstel moet worden gebruikt. Klik op de knop .Save

Voor deze demonstratie:

• Naam: ASAv-IPSec-Policy
• ESP Hash: SHA-256
• ESP-codering: AES-256

IKEv2-IPsec-Proposal

Stap 13. Kies de nieuw gemaakteProposalof bestaandeProposalgegevens uit de lijst met beschikbare voorstellen. Klik op de knop .OK

transformatieset

Stap 14. (Optioneel) Kies dePerfect Forward Secrecyinstellingen. Configureer de IPsecLifetime Duration and Lifetime Size.

Voor deze demonstratie:

• Perfect Forward Secrecy: Modulus Groep 14
• Levensduur: 28800 (standaard)
• Levensduur: 4608000 (standaard)

PFS-configuratie

Stap 15. Controleer de ingestelde instellingen. Klik opSave, zoals in deze afbeelding wordt getoond.

De configuratie opslaan

Loopback-interface op FTD configureren met FMC

Navigeer naarDevices > Device Management. Bewerk het apparaat waarop de loopback moet worden geconfigureerd.

Stap 1. Ga naarInterfaces > Add Interfaces > Loopback InterfaceCNN.

Navigeer naar de loopback-interface

Stap 2. Voer de naam "loopback" in, geef een loopback-ID "1" op en schakel de interface in.

Loopback-interface inschakelen

Stap 3. Configureer het IP-adres voor de interface en klik opOK. 

IP-adres opgeven voor loopback-interface

IPSec VPN configureren op ASA

!--- Configure IKEv2 Policy ---!

crypto ikev2 policy 1
encryption aes-256
integrity sha256
group 14
prf sha256
lifetime seconds 86400




!--- Enable IKEv2 on the outside interface ---!

crypto ikev2 enable outside




!---Configure Tunnel-Group with pre-shared-key---!

tunnel-group 10.197.226.222 type ipsec-l2l
tunnel-group 10.197.226.222 ipsec-attributes
ikev2 remote-authentication pre-shared-key *****
ikev2 local-authentication pre-shared-key *****




!--- Configure IPSec Policy ---!

crypto ipsec ikev2 ipsec-proposal ipsec_proposal_for_FTD
protocol esp encryption aes-256
protocol esp integrity sha-256




!--- Configure IPSec Profile ---!

crypto ipsec profile ipsec_profile_for_FTD
set ikev2 ipsec-proposal FTD-ipsec-proposal
set pfs group14




!--- Configure VTI ---!

interface Tunnel1
nameif FTD-VTI
ip address 169.254.2.2 255.255.255.0 
tunnel source interface outside
tunnel destination 10.197.226.222
tunnel mode ipsec ipv4
tunnel protection ipsec profile ipsec_profile_for_FTD




!--- Configure the WAN routes ---!

route outside 0.0.0.0 0.0.0.0 10.197.226.1 1

Loopback-interface configureren op ASA

interface Loopback1
nameif loopback
ip address 1.1.1.1 255.255.255.0

Overlay BGP op FTD configureren met FMC

Navigeer naarDevices > Device Management.Edithet apparaat waar de VTI-tunnel is geconfigureerd en navigeer vervolgens naarRouting > General Settings > BGP.

Stap 1. Schakel BGP in en configureer het AS-nummer (Autonomous System) en de ID van de router, zoals in deze afbeelding wordt getoond.

Het AS-nummer moet hetzelfde zijn op zowel de FTD als de ASA.

Router ID wordt gebruikt om elke router te identificeren die deelneemt aan BGP.

Navigeren om BGP te configureren

Stap 2. Navigeer naarBGP > IPv4en schakel BGP IPv4 in op de FTD.

BGP inschakelen

Stap 3. Voeg onderNeighborhet tabblad het IP-adres van de ASAv VTI-tunnel toe als een buur en schakel de buur in.

BGP-buurman toevoegen

Stap 4. OnderNetworks, voeg de netwerken die u wilt adverteren via BGP die moeten gaan door de VTI-tunnel, in dit geval, loopback1.

BGP-netwerken toevoegen

Stap 5. Alle andere BGP-instellingen zijn optioneel en u kunt ze configureren volgens uw omgeving. Controleer de configuratie en klik opSave.

BGP-configuratie opslaan

Stap 6. Alle configuraties implementeren.

Implementatie

Overlay BGP configureren op ASA

router bgp 1000
bgp log-neighbor-changes
bgp router-id 10.1.1.2
address-family ipv4 unicast
neighbor 169.254.2.1 remote-as 1000
neighbor 169.254.2.1 transport path-mtu-discovery disable
neighbor 169.254.2.1 activate
network 1.1.1.0 mask 255.255.255.0
no auto-summary
no synchronization
exit-address-family

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

Outputs op FTD

#show crypto ikev2 sa
IKEv2 SAs:
Session-id:20, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id         Local                   Remote                fvrf/ivrf          Status       Role
666846307         10.197.226.222/500      10.197.226.187/500    Global/Global      READY        RESPONDER
Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/1201 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
          remote selector 0.0.0.0/0 - 255.255.255.255/65535
          ESP spi in/out: 0xa14edaf6/0x8540d49e

#show crypto ipsec sa
interface: ASAv-VTI
Crypto map tag: __vti-crypto-map-Tunnel1-0-1, seq num: 65280, local addr: 10.197.226.222

  Protected vrf (ivrf): Global
  local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
  remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
  current_peer: 10.197.226.187

  #pkts encaps: 45, #pkts encrypt: 45, #pkts digest: 45
  #pkts decaps: 44, #pkts decrypt: 44, #pkts verify: 44
  #pkts compressed: 0, #pkts decompressed: 0
  #pkts not compressed:0, #pkts comp failed: 0, #pkts decomp failed: 0
  #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
  #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
  #TFC rcvd: 0, #TFC sent: 0
  #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
  #send errors: 0, #recv errors: 0

  local crypto endpt.: 10.197.226.222/500, remote crypto endpt.: 10.197.226.187/500
  path mtu 1500, ipsec overhead 78(44), media mtu 1500
  PMTU time remaining (sec): 0, DF policy: copy-df
  ICMP error validation: disabled, TFC packets: disabled
  current outbound spi: 8540D49E
  current inbound spi : A14EDAF6

inbound esp sas:
 spi: 0xA14EDAF6 (2706299638)
  SA State: active
  transform: esp-aes-256 esp-sha-256-hmac no compression 
  in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
  slot: 0, conn_id: 49, crypto-map: __vti-crypto-map-Tunnel1-0-1
  sa timing: remaining key lifetime (kB/sec): (4331517/27595)
  IV size: 16 bytes
  replay detection support: Y
  Anti replay bitmap: 
  000001FFF 0xFFFFFFFF
outbound esp sas:
 spi: 0x8540D49E (2235618462)
  SA State: active
  transform: esp-aes-256 esp-sha-256-hmac no compression 
  in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
  slot: 0, conn_id: 49, crypto-map: __vti-crypto-map-Tunnel1-0-1
  sa timing: remaining key lifetime (kB/sec): (4101117/27595)
  IV size: 16 bytes
  replay detection support: Y
  Anti replay bitmap: 
  0x00000000 0x00000001

#show bgp summary 
BGP router identifier 10.1.1.1, local AS number 1000
BGP table version is 5, main routing table version 5
2 network entries using 400 bytes of memory
2 path entries using 160 bytes of memory
2/2 BGP path/bestpath attribute entries using 416 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 976 total bytes of memory
BGP activity 21/19 prefixes, 24/22 paths, scan interval 60 secs

Neighbor           V         AS      MsgRcvd      MsgSent       TblVer      InQ      OutQ      Up/Down      State/PfxRcd
169.254.2.2      4         1000   22               22                  5             0         0            00:19:42        1

#show bgp neighbors
BGP neighbor is 169.254.2.2, vrf single_vf, remote AS 1000, internal link
   BGP version 4, remote router ID 10.1.1.2
   BGP state = Established, up for 00:19:49
   Last read 00:01:04, last write 00:00:38, hold time is 180, keepalive interval is 60 seconds
   Neighbor sessions:
      1 active, is not multisession capable (disabled)
   Neighbor capabilities:
      Route refresh: advertised and received(new)
      Four-octets ASN Capability: advertised and received
      Address family IPv4 Unicast: advertised and received
      Multisession Capability: 
  Message statistics:
      InQ depth is 0
      OutQ depth is 0
                       Sent    Rcvd
Opens                  1        1 
Notifications:         0        0 
Updates:               2        2 
Keepalives:            19      19 
Route Refresh:         0        0 
Total:                 22      22 
Default minimum time between advertisement runs is 0 seconds

For address family: IPv4 Unicast
   Session: 169.254.2.2
   BGP table version 5, neighbor version 5/0
   Output queue size : 0
   Index 15
  15 update-group member
                             Sent     Rcvd
Prefix activity:             ----    ----
Prefixes Current:            1          1         (Consumes 80 bytes)
Prefixes Total:              1          1 
Implicit Withdraw:           0          0 
Explicit Withdraw:           0          0 
Used as bestpath:            n/a        1 
Used as multipath:           n/a        0
                                Outbound           Inbound
Local Policy Denied Prefixes:   --------            -------
Bestpath from this peer:         1                          n/a 
Invalid Path:                    1                          n/a 
Total:                           2                            0 
Number of NLRIs in the update sent: max 1, min 0

Address tracking is enabled, the RIB does have a route to 169.254.2.2
Connections established 7; dropped 6
Last reset 00:20:06, due to Peer closed the session of session 1
Transport(tcp) path-mtu-discovery is disabled
Graceful-Restart is disabled

#show route bgp
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
            D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
            N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
            E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
            i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
            ia - IS-IS inter area, * - candidate default, U - per-user static route
            o - ODR, P - periodic downloaded static route, + - replicated route
            SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.197.226.1 to network 0.0.0.0

B        1.1.1.0 255.255.255.0 [200/0] via 169.254.2.2, 00:19:55

Outputs op ASA

#show crypto ikev2 sa
IKEv2 SAs:

Session-id:7, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id    Local                       Remote                     fvrf/ivrf             Status           Role
442126361    10.197.226.187/500          10.197.226.222/500         Global/Global          READY           INITIATOR
Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/1200 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
          remote selector 0.0.0.0/0 - 255.255.255.255/65535
          ESP spi in/out: 0x8540d49e/0xa14edaf6

#show crypto ipsec sa
interface: FTD-VTI
Crypto map tag: __vti-crypto-map-Tunnel1-0-1, seq num: 65280, local addr: 10.197.226.187

  Protected vrf (ivrf): Global
  local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
  remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
 current_peer: 10.197.226.222


 #pkts encaps: 44 #pkts encrypt: 44, #pkts digest: 44
 #pkts decaps: 45, #pkts decrypt: 45, #pkts verify: 45
 #pkts compressed: 0, #pkts decompressed: 0
 #pkts not compressed:0, #pkts comp failed: 0, #pkts decomp failed: 0
 #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
 #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
 #TFC rcvd: 0, #TFC sent: 0
 #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
 #send errors: 0, #recv errors: 0

 local crypto endpt.: 10.197.226.187/500, remote crypto endpt.: 10.197.226.222/500
 path mtu 1500, ipsec overhead 78(44), media mtu 1500
 PMTU time remaining (sec): 0, DF policy: copy-df
 ICMP error validation: disabled, TFC packets: disabled
 current outbound spi: A14EDAF6
 current inbound spi : 8540D49E

inbound esp sas:
 spi: 0x8540D49E (2235618462)
     SA State: active
      transform: esp-aes-256 esp-sha-256-hmac no compression 
      in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
     slot: 0, conn_id: 9, crypto-map: __vti-crypto-map-Tunnel1-0-1
     sa timing: remaining key lifetime (kB/sec): (4147198/27594)
     IV size: 16 bytes
     replay detection support: Y
    Anti replay bitmap: 
    0x00000000 0x007FFFFF
outbound esp sas:
  spi: 0xA14EDAF6 (2706299638)
    SA State: active
    transform: esp-aes-256 esp-sha-256-hmac no compression 
    in use settings ={L2L, Tunnel, PFS Group 14, IKEv2, VTI, }
    slot: 0, conn_id: 9, crypto-map: __vti-crypto-map-Tunnel1-0-1
    sa timing: remaining key lifetime (kB/sec): (3916798/27594)
    IV size: 16 bytes
    replay detection support: Y
    Anti replay bitmap: 
    0x00000000 0x00000001

#show bgp summary 
BGP router identifier 10.1.1.2, local AS number 1000
BGP table version is 7, main routing table version 7
2 network entries using 400 bytes of memory
2 path entries using 160 bytes of memory
2/2 BGP path/bestpath attribute entries using 416 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 976 total bytes of memory
BGP activity 5/3 prefixes, 7/5 paths, scan interval 60 secs

Neighbor        V      AS      MsgRcvd      MsgSent     TblVer    InQ     OutQ     Up/Down     State/PfxRcd
169.254.2.1      4     1000       22             22       7       0         0      00:19:42      1

#show bgp neighbors
BGP neighbor is 169.254.2.1, context single_vf, remote AS 1000, internal link
    BGP version 4, remote router ID 10.1.1.1
    BGP state = Established, up for 00:19:42
    Last read 00:01:04, last write 00:00:38, hold time is 180, keepalive interval is 60 seconds
    Neighbor sessions:
    1 active, is not multisession capable (disabled)
Neighbor capabilities:
    Route refresh: advertised and received(new)
    Four-octets ASN Capability: advertised and received
    Address family IPv4 Unicast: advertised and received
    Multisession Capability: 
Message statistics:
   InQ depth is 0
   OutQ depth is 0
                   Sent     Rcvd
Opens:             1         1 
Notifications:     0         0 
Updates:           2         2 
Keepalives:        19       19 
Route Refresh:     0         0 
Total:             22       22 
Default minimum time between advertisement runs is 0 seconds
For address family: IPv4 Unicast
  Session: 169.254.2.1
  BGP table version 7, neighbor version 7/0
  Output queue size : 0

  Index 5
  5 update-group member
                     Sent      Rcvd
Prefix activity:     ----      ----
Prefixes Current:    1         1         (Consumes 80 bytes)
Prefixes Total:      1         1 
Implicit Withdraw:   0         0 
Explicit Withdraw:   0         0 
Used as bestpath:    n/a       1 
Used as multipath:   n/a       0

                                  Outbound        Inbound
Local Policy Denied Prefixes:     --------        -------
Bestpath from this peer:           1              n/a 
Invalid Path:                      1              n/a 
Total:                             2              0 
Number of NLRIs in the update sent: max 1, min 0

Address tracking is enabled, the RIB does have a route to 169.254.2.1
Connections established 5; dropped 4
Last reset 00:20:06, due to Peer closed the session of session 1
Transport(tcp) path-mtu-discovery is disabled
Graceful-Restart is disabled

#show route bgp
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
           D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
           N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
           E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
           i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
           ia - IS-IS inter area, * - candidate default, U - per-user static route
           o - ODR, P - periodic downloaded static route, + - replicated route
           SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.197.226.1 to network 0.0.0.0

B       2.2.2.0 255.255.255.0 [200/0] via 169.254.2.1, 00:19:55

Problemen oplossen

Deze sectie bevat informatie die u kunt gebruiken om problemen met de configuratie te troubleshooten.

debug crypto ikev2 platform 255
debug crypto ikev2 protocol 255
debug crypto ipsec 255
debug ip bgp all

• Ondersteunt alleen IPv4-interfaces, evenals IPv4, beveiligde netwerken of VPN-payload (geen ondersteuning voor IPv6).