Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Beschermde netwerken definiëren

Site-to-site VPN configureren

ASA-configuratie

Verifiëren

Problemen oplossen

Aanvankelijke connectiviteitsproblemen

Verkeersspecifieke kwesties

Inleiding

Dit document beschrijft hoe u Site-to-Site VPN kunt configureren op FirePOWER Threat Defense (FTD), beheerd door FirePower Devices Manager (FDM).

Bijgedragen door Cameron Schaeffer, Cisco TAC Engineer.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Basis begrip van VPN

- Ervaring met FDN

- Ervaring met adaptieve security applicatie (ASA) opdrachtregel

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco FTD 6.5

- ASA 9.10(1)32

- IKEv2

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.

Configureren

Begin met de configuratie op FTD met FDM.

Beschermde netwerken definiëren

Navigeer aan Exemplaar > Netwerken > Nieuw netwerk toevoegen.

Configureer objecten voor de LAN-netwerken vanuit FDM GUI. Maak een object voor het lokale netwerk achter het FDM-apparaat zoals in de afbeelding.

Maak een object voor het externe netwerk achter het ASA-apparaat zoals in de afbeelding.

Site-to-site VPN configureren

Navigeer naar site-to-site VPN > Site-to-site verbinding maken.

Ga door de wizard Site-to-Site op zoals in de afbeelding.

Geef de site-to-Site verbinding een naam voor het verbindingsprofiel die gemakkelijk herkenbaar is.

Selecteer de juiste externe interface voor de FTD en selecteer vervolgens het lokale netwerk dat moet worden versleuteld via de site naar de site VPN.

Stel de openbare interface van de externe peer in. Selecteer vervolgens het netwerk van de externe peers dat versleuteld zal worden via de site-to-site VPN zoals in de afbeelding.

Selecteer op de volgende pagina de knop Bewerken om de parameters voor Internet Key Exchange (IKE) in te stellen, zoals in de afbeelding.

Selecteer de knop Nieuw IKE-beleid maken zoals in de afbeelding.

Deze handleiding gebruikt deze parameters voor de IKEv2 initiële uitwisseling:

Encryptie AES-256

Integriteit SHA256

DH-groep 14

PRF-SHA256

Selecteer eenmaal terug op de hoofdpagina de knop Bewerken voor het IPSec-voorstel. Maak een nieuw IPSec-voorstel zoals in de afbeelding.

Deze gids zal deze parameters voor IPSec gebruiken:

Encryptie AES-256

Integriteit SHA256

Stel de authenticatie in op een vooraf gedeelde toets en voer de Pre-Shared Key (PSK) in die aan beide uiteinden gebruikt zal worden. In deze handleiding wordt de PSK van Cisco gebruikt zoals in de afbeelding.

Stel de interne NAT-vrijstellingsinterface in. Als er meerdere interne interfaces zijn die zullen worden gebruikt, moet er een handmatige NAT-vrijstellingsregel worden gecreëerd onder beleid > NAT.

Op de laatste pagina wordt een samenvatting van de Site-to-Site verbinding weergegeven. Zorg ervoor dat de juiste IP-adressen zijn geselecteerd en dat de juiste encryptieparameters worden gebruikt en klik op de knop Voltooien. Stel de nieuwe site-to-site VPN in.

De ASA-configuratie wordt voltooid met het gebruik van de CLI.

ASA-configuratie

1. Inschakelen van IKEv2 op de externe interface van de ASA:

Crypto ikev2 enable outside

2. Maak het IKEv2-beleid dat dezelfde parameters definieert die op de FTD zijn geconfigureerd:

Crypto ikev2 policy 1

Encryption aes-256

Integrity sha256

Group 14

Prf sha256

Lifetime seconds 86400

3. Maak een groepsbeleid dat het IKEv2-protocol toestaat:

Group-policy FDM_GP internal

Group-policy FDM_GP attributes

Vpn-tunnel-protocol ikev2

4. Maak een tunnelgroep voor het peer-FTD openbare IP-adres. Verwijs het groepsbeleid en specificeer de pre-gedeeld-toets:

Tunnel-group 172.16.100.10 type ipsec-l2l

Tunnel-group 172.16.100.10 general-attributes

Default-group-policy FDM_GP

Tunnel-group 172.16.100.10 ipsec-attributes

ikev2 local-authentication pre-shared-key cisco

ikev2 remote-authentication pre-shared-key cisco

5. Maak een toegangslijst waarin het te versleutelen verkeer wordt gedefinieerd: (FTDSubnet 10.10.116.0/24) (ASASubnet 10.10.110.0/24):

Object network FDMSubnet

Subnet 10.10.116.0 255.255.255.0

Object network ASASubnet

Subnet 10.10.110.0 255.255.255.0

Access-list ASAtoFTD extended permit ip object ASASubnet object FTDSubnet

6. Maak een IKEv2 IPsec-voorstel dat verwijst naar de algoritmen die op de FTD gespecificeerd zijn:

Crypto ipsec ikev2 ipsec-proposal FDM

Protocol esp encryption aes-256

Protocol esp integrity sha-256

7. Maak een crypto map ingang die de configuratie verbindt:

Crypto map outside_map 20 set peer 172.16.100.10

Crypto map outside_map 20 match address ASAtoFTD

Crypto map outside_map 20 set ikev2 ipsec-proposal FTD

Crypto map outside_map 20 interface outside

8. Maak een NAT-vrijstellingsverklaring die voorkomt dat het VPN-verkeer door de firewall wordt geNATUURD:

Nat (inside,outside) 1 source static ASASubnet ASASubnet destination static FDMSubnet FDMSubnet

no-proxy-arp route-lookup

Verifiëren

Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.

Probeert verkeer door de VPN-tunnel te openen. Met toegang tot de opdrachtregel van de ASA of FTD, kan dit worden gedaan met de opdracht van de pakkettracer. Wanneer u de pakkettracer opdracht gebruikt om de VPN-tunnel op te halen moet deze tweemaal worden uitgevoerd om te controleren of de tunnel omhoog komt. De eerste keer dat de opdracht wordt gegeven, is de VPN-tunnel plat zodat de opdracht Packet-tracer mislukt met VPN-encryptie DROP. Gebruik het binnen IP-adres van de firewall niet als het bron-IP-adres in de pakketgeleider, aangezien dit altijd faalt.

firepower# packet-tracer input inside icmp 10.10.116.10 8 0 10.10.110.10

Phase: 9

Type: VPN

Subtype: encrypt

Result: DROP

Config:

Additional Information:

firepower# packet-tracer input inside icmp 10.10.116.10 8 0 10.10.110.10

Phase: 1

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 172.16.100.1 using egress ifc outside

Phase: 2

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,outside) source static |s2sAclSrcNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 |s2sAclSrcNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 destination static |s2sAclDestNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 |s2sAclDestNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 no-proxy-arp route-lookup

Additional Information:

NAT divert to egress interface outside

Untranslate 10.10.110.10/0 to 10.10.110.10/0

Phase: 3

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group NGFW_ONBOX_ACL global

access-list NGFW_ONBOX_ACL advanced trust object-group |acSvcg-268435457 ifc inside any ifc outside any rule-id 268435457 event-log both

access-list NGFW_ONBOX_ACL remark rule-id 268435457: ACCESS POLICY: NGFW_Access_Policy

access-list NGFW_ONBOX_ACL remark rule-id 268435457: L5 RULE: Inside_Outside_Rule

object-group service |acSvcg-268435457

service-object ip

Additional Information:

Phase: 4

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,outside) source static |s2sAclSrcNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 |s2sAclSrcNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 destination static |s2sAclDestNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 |s2sAclDestNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 no-proxy-arp route-lookup

Additional Information:

Static translate 10.10.116.10/0 to 10.10.116.10/0

Phase: 9

Type: VPN

Subtype: encrypt

Result: ALLOW

Config:

Additional Information:

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: outside

output-status: up

output-line-status: up

Action: allow

Om de tunnelstatus te controleren, navigeer naar de CLI van de FTD of ASA.

Van de FTD CLI, controleer fase-1 en fase-2 met de opdracht crypto ikev2 sa.

> show crypto ikev2 sa

IKEv2 SAs:

Session-id:1, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                                               Remote                                                  Status         Role

3821043 172.16.100.10/500                                    192.168.200.10/500                                         READY    INITIATOR

Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Life/Active Time: 86400/1150 sec

Child sa: local selector  10.10.116.0/0 - 10.10.116.255/65535

remote selector 10.10.110.0/0 - 10.10.110.255/65535

ESP spi in/out: 0x7398dcbd/0x2303b0c0

Problemen oplossen

Deze sectie verschaft informatie die u kunt gebruiken om problemen met uw configuratie op te lossen.

Aanvankelijke connectiviteitsproblemen

Wanneer je een VPN bouwt, zijn er twee kanten die over de tunnel onderhandelen. Daarom is het best om beide kanten van het gesprek te krijgen wanneer u elk type van tunnelmislukking problemen oplossen. Een gedetailleerde gids over hoe u tunnels IKEv2 kunt zuiveren kan hier worden gevonden: Hoe u IKEv2 VPN’s kunt reinigen

De meest voorkomende oorzaak van tunnelfouten is een aansluitingsprobleem. De beste manier om dit te bepalen is pakketvastlegging op het apparaat te nemen.

Gebruik deze opdracht om pakketvastlegging op het apparaat in te nemen:

Capture capout interface outside match ip host 172.16.100.10 host 192.168.200.10

Nadat de opname is geïnstalleerd, probeer dan verkeer via VPN te verzenden en controle te houden op bidirectioneel verkeer in de pakketvastlegging.

Controleer de pakketvastlegging met de kop van de opdrachtshow.

firepower# show cap capout

4 packets captured

1: 01:21:06.763983       172.16.100.10.500 > 192.168.200.10.500:  udp 574

2: 01:21:06.769415       192.168.200.10.500 > 172.16.100.10.500:  udp 619

3: 01:21:06.770666       172.16.100.10.500 > 192.168.200.10.500:  udp 288

4: 01:21:06.773748       192.168.200.10.500 > 172.16.100.10.500:  udp 256

Verkeersspecifieke kwesties

Veelvoorkomende verkeersproblemen die gebruikers ondervinden zijn:

- Routing issues achter de FTD - intern netwerk niet in staat om pakketten terug te sturen naar de toegewezen IP-adressen en VPN-clients.

- Toegangscontrolelijsten die verkeer blokkeren.

- Network Address Translation (NAT) wordt niet omzeild voor VPN-verkeer.

Voor meer informatie over Site-to-Site VPN’s op de FTD die door FDM wordt beheerd, vindt u hier de volledige configuratiehandleiding: FTD beheerd door FDM-configuratiehandleiding.