Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Configurar

Configure a conexão L2TP/IPSec no Android

Configurar a conexão L2TP/IPSec no ASA

Comandos do arquivo de configuração para compatibilidade com ASA

Exemplo de configuração do ASA 8.2.5 ou posterior

Exemplo de configuração do ASA 8.3.2.12 ou posterior

Verificar

Caveats conhecidos

Informações Relacionadas

Introduction

O Layer 2 Tunneling Protocol (L2TP) sobre IPSec fornece a capacidade de implantar e administrar uma solução de VPN L2TP ao lado dos serviços de firewall e VPN IPSec em uma única plataforma. O principal benefício da configuração de L2TP sobre IPSec em um cenário de acesso remoto é que os usuários remotos podem acessar uma VPN em uma rede IP pública sem um gateway ou uma linha dedicada, o que permite o acesso remoto de praticamente qualquer lugar com o serviço de telefonia tradicional (POTS). Um benefício adicional é que o único requisito de cliente para acesso VPN é o uso do Windows com DUN (Dial-Up Networking) da Microsoft. Não é necessário nenhum software de cliente adicional, como o software de cliente VPN da Cisco.

Este documento fornece uma configuração de exemplo para o cliente nativo L2TP/IPSec Android. Ele o leva através de todos os comandos necessários em um Cisco Adaptive Security Appliance (ASA), bem como as etapas a serem seguidas no próprio dispositivo Android.

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações deste documento são baseadas nas seguintes versões de software e de hardware:

- O Android L2TP/IPSec requer o software Cisco ASA versão 8.2.5 ou posterior, versão 8.3.2.12 ou posterior, ou versão 8.4.1 ou posterior.

- O ASA oferece suporte à assinatura de certificado do Secure Hash Algorithm 2 (SHA2) para clientes VPN nativos do Microsoft Windows 7 e Android quando o protocolo L2TP/IPSec é usado.

- Consulte o Guia de configuração do Cisco ASA 5500 Series usando CLI, 8.4 e 8.6: Configurando L2TP sobre IPSec: Requisitos de licenciamento para L2TP sobre IPSec.

As informações apresentadas neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Esta seção descreve as informações necessárias para configurar os recursos descritos neste documento.

Configure a conexão L2TP/IPSec no Android

Este procedimento descreve como configurar a conexão L2TP/IPSec no Android:

1. Abra o menu e escolha Configurações.

2. Escolha Wireless e ou Wireless Controls. A opção disponível depende da sua versão do Android.

3. Escolha Configurações de VPN.

4. Escolha Adicionar VPN.

5. Escolha Add L2TP/IPsec PSK VPN.

6. Escolha VPN Name e insira um nome descritivo.

7. Escolha Set VPN Server e insira um nome descritivo.

8. Escolha Definir chave pré-compartilhada IPSec.

9. Desmarque Ativar segredo L2TP.

10. [Opcional] Defina o identificador de IPSec como o nome do grupo de túnel ASA. Nenhuma configuração significa que ela será classificada como DefaultRAGroup no ASA.

11. Abra o menu e escolha Salvar.

Configurar a conexão L2TP/IPSec no ASA

Estas são as configurações de política necessárias do ASA Internet Key Exchange Version 1 (IKEv1) (Internet Security Association and Key Management Protocol [ISAKMP]) que permitem aos clientes VPN nativos, integrados ao sistema operacional em um endpoint, fazer uma conexão VPN com o ASA quando o protocolo L2TP sobre IPSec é usado:

- Fase 1 do IKEv1 - criptografia 3DES (Triple Data Encryption Standard) com método hash SHA1

- IPSec fase 2 - criptografia 3DES ou AES (Advanced Encryption Standard) com método de hash Message Digest 5 (MD5) ou SHA

- Autenticação PPP - Password Authentication Protocol (PAP), Microsoft Challenge Handshake Authentication Protocol versão 1 (MS-CHAPv1) ou MS-CHAPv2 (preferencial)

- Chave pré-compartilhada

Note: O ASA suporta apenas as autenticações PPP PAP e MS-CHAP (versões 1 e 2) no banco de dados local. O EAP (Extensible Authentication Protocol) e o CHAP são executados por servidores de autenticação de proxy. Portanto, se um usuário remoto pertencer a um grupo de túneis configurado com os comandos authentication eap-proxy ou authentication chap e se o ASA estiver configurado para usar o banco de dados local, esse usuário não poderá se conectar.

Além disso, o Android não suporta PAP e, como o LDAP (Lightweight Diretory Access Protocol) não suporta MS-CHAP, o LDAP não é um mecanismo de autenticação viável. A única solução alternativa é usar o RADIUS. Consulte Cisco Bug ID CSCtw58945, "L2TP sobre IPSec falha nas conexões com autorização ldap e mschapv2", para obter mais detalhes sobre problemas com MS-CHAP e LDAP.

Este procedimento descreve como configurar a conexão L2TP/IPSec no ASA:

1. Defina um pool de endereços local ou use um servidor dhcp para o aplicativo de segurança adaptável para alocar endereços IP aos clientes para a política de grupo.

2. Crie uma política de grupo interna.

1. Defina o protocolo de túnel como l2tp-ipsec.

2. Configure um servidor de nomes de domínio (DNS) a ser usado pelos clientes.

3. Crie um novo grupo de túneis ou modifique os atributos do DefaultRAGroup existente. (Um novo grupo de túneis pode ser usado se o identificador de IPSec estiver definido como nome de grupo no telefone; consulte a etapa 10 para obter a configuração do telefone.)

4. Defina os atributos gerais do grupo de túneis que são usados.

1. Mapeie a política de grupo definida para este grupo de túneis.

2. Mapeie o pool de endereços definido a ser usado por esse grupo de túneis.

3. Modifique o grupo do servidor de autenticação se quiser usar algo diferente de LOCAL.

5. Defina a chave pré-compartilhada sob os atributos de IPSec do grupo de túneis a ser usado.

6. Modifique os atributos PPP do grupo de túneis que são usados para que somente chap, ms-chap-v1 e ms-chap-v2 sejam usados.

7. Crie um conjunto de transformações com um tipo de criptografia ESP (encapsulating security payload, payload de segurança de encapsulamento específico) e um tipo de autenticação.

8. Instrua o IPSec a usar o modo de transporte em vez do modo de túnel.

9. Defina uma política ISAKMP/IKEv1 usando a criptografia 3DES com método hash SHA1.

10. Crie um mapa de criptografia dinâmico e mapeie-o para um mapa de criptografia.

11. Aplique o mapa de criptografia a uma interface.

12. Ative o ISAKMP nessa interface.

Comandos do arquivo de configuração para compatibilidade com ASA

Note: Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Este exemplo mostra os comandos do arquivo de configuração que garantem a compatibilidade do ASA com um cliente VPN nativo em qualquer sistema operacional.

Exemplo de configuração do ASA 8.2.5 ou posterior

Username <name> password <passwd> mschap

ip local pool l2tp-ipsec_address 192.168.1.1-192.168.1.10

group-policy l2tp-ipsec_policy internal

group-policy l2tp-ipsec_policy attributes

dns-server value <dns_server>

vpn-tunnel-protocol l2tp-ipsec

tunnel-group DefaultRAGroup general-attributes

default-group-policy l2tp-ipsec_policy

address-pool l2tp-ipsec_address

tunnel-group DefaultRAGroup ipsec-attributes

pre-shared-key *

tunnel-group DefaultRAGroup ppp-attributes

no authentication pap

authentication chap

authentication ms-chap-v1

authentication ms-chap-v2

crypto ipsec transform-set trans esp-3des esp-sha-hmac

crypto ipsec transform-set trans mode transport

crypto dynamic-map dyno 10 set transform-set set trans

crypto map vpn 65535 ipsec-isakmp dynamic dyno

crypto map vpn interface outside

crypto isakmp enable outside

crypto isakmp policy 10

authentication pre-share

encryption 3des

hash sha

group 2

lifetime 86400

Exemplo de configuração do ASA 8.3.2.12 ou posterior

Username <name> password <passwd> mschap

ip local pool l2tp-ipsec_address 192.168.1.1-192.168.1.10

group-policy l2tp-ipsec_policy internal

group-policy l2tp-ipsec_policy attributes

dns-server value <dns_server>

vpn-tunnel-protocol l2tp-ipsec

tunnel-group DefaultRAGroup general-attributes

default-group-policy l2tp-ipsec_policy

address-pool l2tp-ipsec_addresses

tunnel-group DefaultRAGroup ipsec-attributes

pre-shared-key *

tunnel-group DefaultRAGroup ppp-attributes

no authentication pap

authentication chap

authentication ms-chap-v1

authentication ms-chap-v2

crypto ipsec ikev1 transform-set my-transform-set-ikev1 esp-3des esp-sha-hmac

crypto ipsec ikev1 transform-set my-transform-set-ikev1 mode transport

crypto dynamic-map dyno 10 set ikev1 transform-set my-transform-set-ikev1

crypto map vpn 20 ipsec-isakmp dynamic dyno

crypto map vpn interface outside

crypto ikev1 enable outside

crypto ikev1 policy 10

authentication pre-share

encryption 3des

hash sha

group 2

lifetime 86400

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Este procedimento descreve como configurar a conexão:

1. Abra o menu e escolha Configurações.

2. Selecione Wireless e Network ou Wireless Controls. (A opção disponível depende da sua versão do Android.)

3. Selecione a configuração da VPN na lista.

4. Insira seu nome de usuário e senha.

5. Selecione Lembrar nome de usuário.

6. Selecione Conectar.

Este procedimento descreve como desconectar:

1. Abra o menu e escolha Configurações.

2. Selecione Wireless e Network ou Wireless Controls. (A opção disponível depende da sua versão do Android.)

3. Selecione a configuração da VPN na lista.

4. Selecione Desconectar.

Use estes comandos para confirmar se sua conexão está funcionando corretamente.

- show run crypto isakmp - Para ASA versão 8.2.5

- show run crypto ikev1 - Para ASA versão 8.3.2.12 ou posterior

- show vpn-sessiondb ra-ikev1-ipsec - Para ASA versão 8.3.2.12 ou posterior

- show vpn-sessiondb remote - para ASA versão 8.2.5

Note: A ferramenta Output Interpreter (exclusiva para clientes registrados) é compatível com alguns comandos de exibição.. Use a ferramenta Output Interpreter para visualizar uma análise do resultado gerado pelo comando show..

Caveats conhecidos

- ID de bug da Cisco CSCtq21535, "Retorno de rastreamento ASA ao conectar-se com o cliente Android L2TP/IPsec"

- ID de bug da Cisco CSCtj57256, "A conexão L2TP/IPSec do Android não é estabelecida para o ASA55xx"

- ID de bug da Cisco CSCtw58945, "conexões L2TP sobre IPSec falham com autorização ldap e mschapv2"

Informações Relacionadas

- Guia de configuração do Cisco ASA 5500 Series usando CLI, 8.4 e 8.6: Configurando L2TP sobre IPsec

- Notas de versão do Cisco ASA 5500 Series, versão 8.4(x)

- Guia de configuração do Cisco ASA 5500 Series usando CLI, 8.3: Informações sobre NAT

- Exemplos de configuração de NAT ASA de pré-8.3 a 8.3

- Suporte Técnico e Documentação - Cisco Systems