Routegebaseerde site configureren naar site-VPN op FMC Managed FTD

Inleiding

In dit document wordt beschreven hoe u een statische route-gebaseerde site-to-site VPN-tunnel configureert op Cisco Secure FTD die wordt beheerd door FMC.

---

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Navigatie door de FMC Web UI (Apparaten, Beleid, Implementeren)
• Basiswerking van IPsec Site-to-Site VPN (IKE fase 1/2, tunnelinstallatie)
• Statische routering op FTD (optioneel BGP/OSPF/EIGRP voor dynamische routegebaseerde ontwerpen)

---

Gebruikte componenten

Routegebaseerde VPN maakt gebruik van Virtual Tunnel Interfaces (VTI's) en routering (statisch of dynamisch) in plaats van crypto-ACL's om te bepalen welk verkeer wordt gecodeerd. Dit document richt zich op statische VTI (SVTI) point-to-point of extranet peering. Raadpleeg Dynamic VTI (DVTI) in de gerelateerde documenten die aan het einde van dit artikel worden vermeld voor schaalbare hub-and-spoke-ontwerpen.

---

Labversies die in voorbeelden worden gebruikt: 

component	Versie
Cisco Secure Firewall Management Center	7.4 of hoger (voorbeelden compatibel met 7.6)
Cisco Secure Firewall Threat Defense	7.4 of hoger (voorbeelden compatibel met 7.6)

---

Statische VTI route-gebaseerde VPN werd geïntroduceerd op FTD 6.7. DVTI, uitgebreide routeringsprotocolondersteuning IPv6 VTI en hoger, en VTI-schaal vereist FTD 7.3+ / FMC 7.3+. Versiespecifieke verschillen worden vermeld in de sectie Beperkingen en beperkingen.

---

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

---

Achtergrondinformatie

Route-based VPN (VTI-based) versleutelt verkeer dat naar de tunnelinterface wordt geleid. In tegenstelling tot policy-based (crypto-map) VPN, wordt uniek verkeer niet geselecteerd door ACL op de kop. In plaats daarvan leidt de routeringstabel het verkeer naar de VTI. Voor statische VTI zijn IPsec-verkeersselectors in feite any-to-any (0.0.0.0/0.0.0.0 voor IPv4). Elk pakket dat naar de tunnelinterface wordt gerouteerd, is versleuteld, ongeacht de bron/het bestemmingssubnet, onderworpen aan toegangscontrole en routering op de peer.

---

Beleidsgebaseerde VPN maakt nog steeds gebruik van expliciete proxy-ID's / crypto-ACL's. Route-based VPN heeft de voorkeur voor:

• Dynamische routering (BGP, OSPF, EIGRP) over de tunnel
• Cloudconnectiviteit (AWS, Azure, GCP)
• Vereenvoudigd beheer van versleutelingsdomeinen
• Migratie van oude crypto-mapontwerpen

---

Statische VTI versus dynamische VTI

Type	Use case	FTD-minimum
Statische VTI (SVTI)	Point-to-point, extranet peer, sprak in hub-and-spoke	6.7
Dynamische VTI (DVTI)	Hub met veel spaken (één virtuele sjabloon op hub)	7.3

Dit document behandelt SVTI stap voor stap. Raadpleeg DVTI met Multi-SA configureren met Multi-SA op beveiligde firewall (document-ID 220322) voor DVTI-hub-and-spoke met Multi-SA.

---

Beperkingen en beperkingen

Bekijk de huidige platformlimieten in de FMC Device Configuration Guide — Site-to-Site VPN / VTI-richtlijnen voor uw FMC-release. De samenvatting in de volgende rubriek geeft FMC/FTD 7.4–7.6 weer, tenzij anders vermeld.

---

Algemene VTI-beperkingen (FTD)

beperking	detail
tunnelmodus	Alleen IPsec. GRE over VTI wordt niet ondersteund op FTD.
Firewallmodus	VTI wordt alleen in de gerouteerde modus ondersteund.
clustering	VTI wordt niet ondersteund bij FTD-clusterimplementaties.
HA (actief/stand-by)	Statische VTI wordt ondersteund in FTD HA (High Availability)-paren. Dynamische routering over VTI in HA: het is mogelijk dat standby geen subnetten bereikt via VTI-tunnels die zijn gemaakt met de actieve eenheid IP (routering dienovereenkomstig plannen). Stel voor > 400 VTI's in HA de eenheidswachttijd in op 45 seconden.
weegschaal	Tot 1024 statische en dynamische VTI's per apparaat (7.x). Oorspronkelijke 6.7-documentatie vermeldde 100 VTI's per interface; de huidige richtlijnen zijn 1024 per apparaat, zorg ervoor dat u verifieert aan de hand van uw platform en release.
IPsec-profielen	Maximaal 20 unieke IPsec-profielen (statische VTI).
Sysopt Connection Permit-VPN	Niet van toepassing op routegebaseerde VPN. U moet de regels van het toegangscontrolebeleid (ACP) configureren voor ontsleuteld verkeer in beide richtingen.
Platforminstellingen	VTI-tunnelinterfaces worden niet ondersteund voor SNMP- of Syslog-selectie in Platform Settings.
Remote Access VPN	Een VTI-interface kan niet worden gebruikt als de netwerkinterface voor een VPN-beleid voor externe toegang.

---

Routing Protocol Support (7.x — bijgewerkt vanaf 6.7)

De oorspronkelijke FTD 6.7-documentatie vermeldde alleen BGP. De huidige FTD ondersteunt deze routeringsmethoden via VTI:

---

Protocol	steun
statische routes	Ja
BGP	IPv4 en IPv6
OSPF	OSPFv2 en OSPFv3
EIGRP	IPv4

---

BGP-richtlijnen: stel bij gebruik van BGP via VTI het aantal TTL-hop > 1 in op de routeringsconfiguratie.

ECMP: statische spaakvti's kunnen in een ECMP-zone worden geplaatst voor taakverdeling en failover. Dynamic VTI ondersteunt geen ECMP.

---

IPv6 (7.x — bijgewerkt vanaf 6.7)

De oorspronkelijke FTD 6.7-documentatie vermeldde alleen IPv4 en de huidige releases ondersteunen:

• IPv6-adressen op tunnelbron- en VTI-eindpunten
• Combinaties: IPv4 over IPv4, IPv6 over IPv6, IPv4 over IPv6, IPv6 over IPv4
• Statische en dynamische IPv6-adressen op tunnelbron

Controleer de peer-functionaliteit en FMC-releasenota's voordat u IPv6 VTI implementeert.

---

Dynamische aanvullende VTI-limieten (7,3+)

• Alleen IKEv2 (geen IKEv1)
• Hub-and-spoke-topologie in FMC (één hub aanbevolen per topologie)
• Geen ECMP, geen QoS, geen clustering, geen VRF-in-multi-instance op DVTI
• Maximaal 1000 DVTI-sessies per apparaat (afhankelijk van het platform)
• DVTI-hub vereist loopback (of leen-IP) adressering in de meeste ontwerpen

---

NAT, QoS en beleid

Beleid/functie	Statische VTI	Dynamische VTI
Toegangscontrolebeleid	Vereist (beide richtingen).	verplicht
NAT	VPN-verkeer kan worden vrijgesteld in de topologiewizard; NAT-regels kunnen van toepassing zijn op niet-VPN-verkeer. NAT versleutelt IKE/ESP niet verkeerd.	Vergelijkbaar; zie FMC NAT-vrijstellingsopties
QoS	Beperkte platformondersteuning; DVTI ondersteunt geen QoS.	Niet ondersteund
Platforminstellingen (SNMP/Syslog op VTI)	Niet ondersteund.	Niet ondersteund

---

Oorspronkelijke 6.7 tekst vermeld VTI wordt "niet ondersteund" in NAT / QoS / Platform Settings beleid. Huidige richtlijnen: ACP is verplicht; SNMP/Syslog op VTI blijft niet ondersteund; QoS op DVTI wordt niet ondersteund, raadpleeg FMC voor NAT-interactie bij uw release.

---

Zwakke cryptografische algoritmen

Zwakke algoritmen werden verwijderd voor nieuwe VPN-tunnels die beginnen in FMC / FTD 6.7. Latere releases behouden sterke crypto-standaardinstellingen en deze worden niet ondersteund voor nieuwe tunnelconfiguraties op FTD 6.7+:

---

IKE-beleid — niet ondersteund voor nieuwe tunnels:

• Codering: 3DES, DES, NULL
• Integriteit: MD5
• PRF: MD5
• DH groepen: 1, 2, 24

---

IPsec-voorstel — niet ondersteund voor nieuwe tunnels:

ESP-codering: DES, 3DES, AES-GMAC, AES-GMAC-192, AES-GMAC-256

---

Upgrade-impact (6.7+): Het upgraden van een FTD beheerd door FMC vanaf een release voor 6.7 kan een pre-validatiecontrole activeren als een bestaand VPN-beleid verwijderde cijfers gebruikt. Herconfigureer het IKE/IPsec-beleid met krachtige algoritmen voordat u een upgrade uitvoert.

---

Scenario	Configuratie-UI	Tunnel na upgrade
Nieuwe installatie (6.7+)	Zwakke cijfers zichtbaar, maar niet toe te passen op FTD 6.7+	N.v.t.
Upgrade: FTD gebruikt alleen zwakke cijfers	Upgrade geblokkeerd tot herconfiguratie	Tunnel omlaag indien gedwongen
Upgrade: gemengde zwakke/sterke cijfers	Upgrade geblokkeerd tot herconfiguratie	Tunnel kan opnieuw vaststellen of peer sterke cijfers gebruikt
Exportgecontroleerd (klasse C) certificaat	DES kan de enige optie zijn zonder sterke crypto-licentie	alleen DES-tunnels

---

Aanbeveling: Gebruik IKEv2, AES-256, SHA-256 of SHA-512 en DH-groep 19/20/21 (of hogere ondersteunde groep) voor nieuwe implementaties.

---

vergunning

Er is geen extra licentie vereist naast de basis FTD-mogelijkheid voor de routegebaseerde VPN in de modus Licensed of Evaluation. Zonder Export Controlled Features (sterke crypto) is alleen DES mogelijk beschikbaar als encryptie-algoritme in beperkte implementaties.

---

Configuratiestappen op FMC

Deze stappen worden geconfigureerd in een statische route-based (VTI) site-to-site VPN tussen een FTD (Node A) en een extranet peer zoals een ASA (Node B):

---

Laboratoriumdemonstratiewaarden

Parameter	Waarde
topologienaam	VTI-ASA
IKE-versie	IKEv2
VTI-naam	VTI-ASA
VTI-zone	VTI-zone
Tunnel-ID	1
VTI IP (FTD)	192.168.100.1/30
tunnelbron	Gigabit Ethernet 0/0 (buiten)
peer-apparaat	Extranet ASA
Peer Name	ASA-Peer
Peer Endpoint IP	10.106.67.252
Naam IKE-beleid	ASA-IKEv2-beleid
Naam voorstel IPsec	ASA-IPSec-beleid
PSK (alleen in het laboratorium)	(Gebruik een sterke sleutel in de productie)

---

Stap 1. Open een site-to-site VPN

1. Navigeer naar Apparaten > VPN > Site naar Site

---

Stap 2. VPN-topologie toevoegen

1. Klik op VPN toevoegen en kies Firewall Threat Defense Device (of Secure Firewall Threat Defense Device, afhankelijk van de FMC UI-versie).

---

---

Stap 3. Naam, type en IKE-versie van topologie

1. Geef een topologienaam op en selecteer VPN-type Route Based (VTI). Kies IKE versie (aanbevolen: IKEv2.)

• Naam topologie: VTI-ASA
• Type: routegebaseerd (VTI)
• IKE-versie: IKEv2

---

---

---

Stap 4. FTD-apparaat en VTI selecteren

1. Kies het FTD-apparaat voor knooppunt A.
2. Voeg een nieuwe Virtual Tunnel Interface toe (klik +) of selecteer een bestaande VTI. Voor hub-and-spoke met DVTI op de hub maakt de hub gebruik van Dynamic VTI.

---

---

Stap 5. Statische virtuele tunnelinterface maken

1. Definieer de nieuwe VTI-parameters en klik op OK.

---

Veld	Voorbeeld
Naam	VTI-ASA
Beschrijving	VTI-tunnel met extranet ASA
veiligheidszone	VTI-zone
Tunnel-ID	1
IP-adres	192.168.100.1/30
tunnelbron	Gigabit Ethernet 0/0 (buiten)
tunnelmodus	IPSEC IPv4

---

2. 

• Wijs de VTI toe aan een speciale veiligheidszone die in de ACS-regels wordt gebruikt.
• Selecteer voor IPv6 de juiste tunnelmodus en adressering (7.x).
• Gebruik geen IP-interface als het bronadres van de tunnel.

---

---

Stap 6. VTI-creatie bevestigen

1. Klik op OK om te bevestigen dat de VTI is gemaakt.

---

Stap 7. Peer configureren (knooppunt B — extranet)

1. Selecteer de VTI die in stap 5 is gemaakt. Configureer knooppunt B (peer):

---

Veld	Voorbeeld
Type medisch hulpmiddel	extranet
Device Name (Apparaatnaam)	ASA-Peer
IP-adres eindpunt	10.106.67.252

---

2. Configureer Beschermde netwerken voor subnetten achter elke peer. Beschermde netwerken definiëren verkeer dat VPN kan gebruiken; routegebaseerde VPN vereist nog steeds routes die naar de VTI wijzen.

Optioneel (7.x):

• Schakel NAT Traversal in als er een NAT-apparaat bestaat tussen leeftijdsgenoten.
• Verwijder VPN-verkeer van NAT in de topologiewizard wanneer dat nodig is.
• Verzend IP voor de Virtual Tunnel-interface naar peers wanneer de peer de VTI IP nodig heeft voor routering (gebruikelijk bij BGP/OSPF).

---

Stap 8. IKE Tab — IKE-beleid selecteren of maken

1. Open het IKE-tabblad en selecteer een bestaand IKEv2-beleid of klik + om een nieuw beleid te maken.

---

Stap 9. (Optioneel) IKEV2-beleid maken

Veld	Aanbevolen voorbeeld
Naam	ASA-IKEv2-beleid
integriteit	SHA-512 of SHA-256
encryptie	AES-256
PRF	SHA-512 of SHA-256
DH-groep	21 (of 19/20 per polis)

---

1. Klik op Save (Opslaan).

---

---

Stap 10. IKE-verificatie

1. Selecteer het IKE-beleid. Kies het verificatietype:

• Vooraf gedeelde handmatige sleutel: voer de sleutel in en bevestig deze (alleen lab/demo; gebruik sterke PSK in productie.)
• Vooraf gedeelde automatische sleutel: beschikbaar wanneer beide eindpunten door dezelfde FMC worden beheerd.
• Certificaat: Voor PKI-gebaseerde verificatie.

---

Voorbeeld (lab):

• Beleid: ASA-IKEv2-beleid
• Verificatie: vooraf gedeelde handmatige sleutel

---

---

Stap 11. Tabblad IPsec — IPsec-voorstel

1. Open het tabblad IPsec. Selecteer of maak een IKEv2 IPsec-voorstel (klik op Bewerken of +).

---

Stap 12. (Optioneel) Maak IKEv2 IPsec-voorstel

Veld	Aanbevolen voorbeeld
Naam	ASA-IPSec-beleid
ESP-hash	SHA-512 of SHA-256
ESP-codering	AES-256

---

1. Klik op Save (Opslaan).

---

---

Stap 13. IPsec-voorstel selecteren

1. Kies het voorstel en klik op OK.

---

Stap 14. Perfecte voorwaartse geheimhouding en levensduur

1. Optionele PFS en levensduur configureren:

---

Veld	Voorbeeld
Perfecte voorwaartse geheimhouding	Groep 21
levensduur	28800 seconden (standaard)
levensduurgrootte	4608000 KB (standaard)

---

2. Aanpassen aan peer-vereisten en organisatorische crypto-standaarden.

---

---

Stap 15. VPN-topologie opslaan

Bekijk het overzicht en klik op Opslaan.

---

Stap 16. Toegangscontrolebeleid configureren (vereist)

1. Navigeer naar Beleid > Toegangsbeheer > Toegangsbeheer. Bewerk het beleid dat op FTD wordt toegepast.

richting	bronzone	woestijngebied	Bronnetwerken	Dest Networks
Intern → Afstandsbediening	binnen de zone	VTI-zone (of out-zone)	in-netwerk	extern netwerk
Extern → Intern	VTI-zone	binnen de zone	extern netwerk	in-netwerk

---

2. Pas zonenamen aan om aan uw ontwerp te voldoen. Er zijn bidirectionele regels nodig voor volledige connectiviteit.

---

Stap 17. Statische route toevoegen via VTI

1. Navigeer naar Apparaten > Apparaatbeheer. Bewerk het FTD-apparaat.
2. Open Routing > Statische route. Klik op Route toevoegen.

---

Veld	Voorbeeld
Interface	VTI-ASA
netwerk	extern netwerk
toegangspoort	192.168.100.2 (peer VTI IP)

---

3. Gebruik de peer tunnel IP als de gateway, tenzij uw ontwerp een andere next-hop bereikbaar via de VTI gebruikt.

4. Configureer voor dynamische routering BGP, OSPF of EIGRP op de VTI in plaats van (of naast) statische routes. 

5. ECMP (optioneel, 7.x): Plaats meerdere statische VTI's in een ECMP-zone en configureer statische ECMP-routes voor werklastverdeling.

---

Stap 18. Configuratie implementeren

1. Navigeer naar Implementeren > Implementatie (of Implementeren > Implementatiebeheer, afhankelijk van de FMC-versie). Selecteer de FTD en klik op Implementeren. Wacht op een geslaagde implementatie voordat u de verificatie uitvoert.

---

Voorbeeld van CLI na implementatie

Na succesvolle implementatie lijkt de FTD CLI-configuratie op:

crypto ikev2 policy 1
 encryption aes-256
 integrity sha512
 group 21
 prf sha512
 lifetime seconds 86400
crypto ikev2 enable Outside

crypto ipsec ikev2 ipsec-proposal CSM_IP_1
 protocol esp encryption aes-256
 protocol esp integrity sha-512

crypto ipsec profile FMC_IPSEC_PROFILE_1
 set ikev2 ipsec-proposal CSM_IP_1
 set pfs group21

group-policy .DefaultS2SGroupPolicy internal
group-policy .DefaultS2SGroupPolicy attributes
 vpn-idle-timeout 30
 vpn-idle-timeout alert-interval 1
 vpn-session-timeout none
 vpn-session-timeout alert-interval 1
 vpn-filter none
 vpn-tunnel-protocol ikev1 ikev2

tunnel-group 10.106.67.252 type ipsec-l2l
tunnel-group 10.106.67.252 general-attributes
 default-group-policy .DefaultS2SGroupPolicy
tunnel-group 10.106.67.252 ipsec-attributes
 ikev2 remote-authentication pre-shared-key *****
 ikev2 local-authentication pre-shared-key *****

interface Tunnel1
 description VTI Tunnel with Extranet ASA
 nameif VTI-ASA
 ip address 192.168.100.1 255.255.255.252
 tunnel source interface Outside
 tunnel destination 10.106.67.252
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile FMC_IPSEC_PROFILE_1

---

De werkelijke objectnamen en beleidsnummers verschillen per FMC-implementatie.

---

Verifiëren

Van FMC GUI

1. Open Apparaten > VPN > Site naar Site en selecteer de topologie.
2. Gebruik Status controleren of het site-to-site monitoring dashboard om de tunnelstatus te bekijken.

---

---

show crypto ipsec sa peer <Peer_IP>
show vpn-sessiondb detail l2l filter ipaddress <Peer_IP>

---

Van FTD CLI

show running-config crypto
show running-config interface Tunnel
show running-config route
show crypto ikev2 sa detailed
show crypto ipsec sa detailed
show crypto ipsec sa peer <Peer_IP>
show vpn-sessiondb detail l2l
show vpn-sessiondb detail l2l filter ipaddress <Peer_IP>

---

Voor oudere peers die nog steeds IKEv1 gebruiken:

show crypto ikev1 sa detailed

---

Routeringsverificatie:

show route
show bgp summary
show ospfv3 neighbor

---

Vervang opdrachten door opdrachten die geschikt zijn voor het geconfigureerde routeringsprotocol.

Snelle verwijzing voor probleemoplossing

---

Symptoom	gemeenschappelijke oorzaak	Actie
IKE faalt	PSK-mismatch, UDP 500/4500 geblokkeerd, cipher-mismatch	Vergelijk IKE beleid/voorstel met peer; verifieer NAT-T
IPsec omhoog, geen verkeer	Ontbrekende ACS-regel	Toestaan regels voor VTI-zone in beide richtingen toevoegen
IPsec omhoog, geen verkeer	Ontbrekende of verkeerde statische route	Routeverificatie via VTI naar beveiligd netwerk op afstand
Tunnel omlaag na FMC-upgrade	Zwakke cijfers verwijderd	IKE/IPsec opnieuw configureren met AES-256/SHA-256+
BGP kijkt niet over VTI	TTL/veiligheidszone	TTL-hop > 1 instellen; VTI IP-bereikbaarheid controleren
GUI wordt weergegeven, CLI wordt weergegeven	FMC-statusverversingsvertraging	CLI gebruiken; opnieuw implementeren indien stabiel

---

Verwante documenten

• Route-gebaseerde site configureren naar site VPN-tunnel op FTD beheerd door FMC (Cisco.com) — Document ID 216276
• DVTI configureren met Multi-SA op beveiligde firewall — Document ID 220322
• FMC 7.6 Handleiding voor apparaatconfiguratie — Site-to-Site VPN
• DVTI use case — Hub en Spoke met OSPF/BGP
• Richtlijnen voor virtuele tunnelinterfaces (Defence Orchestrator / FMC)
• ASA/AnyConnect Dynamic Split Tunneling configureren (referentie voor FQDN-routeringsconcepten)

---

Revisiegeschiedenis

herziening	dateren	Opmerkingen
7.0	28 jul. 2026	Volledige inhoudelijke update: Secure Firewall branding, 7.x beperkingen (OSPF/EIGRP/IPv6/1024 VTI schaal), DVTI cross-links, ACP nadruk, gecorrigeerde typefouten, uitgebreide verificatie/probleemoplossing
6.0	24 sep. 2024	Bijgewerkte introductie en opmaak (Cisco.com)
5.0	27 jun. 2024	Beperkingen en DVTI-referentie-update (Cisco.com)
1.0	23 nov. 2020	Eerste vrijgave

---

Document is van toepassing op

• Cisco Secure Firewall Threat Defense (FTD)
• Cisco Secure Firewall Management Center (FMC)
• Statische route-gebaseerde site-to-site VPN (SVTI)
• Extranet peers (ASA, IPsec-apparaten van derden)

---

Omvat niet: FTD-cluster VTI, GRE-tunnels of volledige DVTI-hub-and-spoke-procedure (zie document-ID 220322).

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
7.0	11-Aug-2026	Bijgewerkte titel, Inleiding, spelling, grammatica, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid, vaste CCW-waarschuwingen, alt-tekst.
6.0	24-Sep-2024	Bijgewerkte introductie en opmaak.
5.0	27-Jun-2024	Inhoud bijgewerkt voor correctheid. Bijgewerkt in het gedeelte "Beperkingen en beperkingen" en de documentatie waarnaar wordt verwezen voor DVTI-configuratie.
3.0	08-Aug-2023	Alt-tekst toegevoegd. Bijgewerkte introductie en opmaak.
2.0	19-Jul-2022	Inhoud bijgewerkt voor correctheid. Bijgewerkt voor opmaak, gronden, juridische disclaimer, machinevertaling, enz. om te voldoen aan de richtlijnen van Cisco.
1.0	23-Nov-2020	Eerste vrijgave