Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Configurar

Configurar a política FlexConfig e o objeto FlexConfig

Verificar

Troubleshoot

Informações Relacionadas

Introduction

Este documento descreve como modificar o atributo vpn-idle-timeout de uma VPN com Políticas FlexConfig no Cisco Firepower Management Center (FMC) para evitar o tempo de inatividade do túnel devido ao tempo limite de inatividade ou ociosidade.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Firepower Threat Defense (FTD)

- FMC

- Políticas FlexConfig

- Topologias de VPN site a site

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software:

- FMCv - 6.5.0.4 (build 57)

- FTDv - 6.4.0.10 (build 95)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Tanto o Internet Key Exchange versão 1 (IKEv1) como o Internet Key Exchange versão 2 (IKEv2) Policy Based (mapa de criptografia) VPNs site a site são túneis sob demanda. Por padrão, o FTD encerra a conexão VPN se não houver nenhuma atividade de comunicação no túnel em um determinado período chamado vpn-idle-timeout. Esse temporizador é definido como 30 minutos por padrão.

Configurar

Configurar a política FlexConfig e o objeto FlexConfig

Etapa 1. Em Dispositivos > FlexConfig crie uma nova política FlexConfig (se ainda não existir) e a anexe ao FTD onde a VPN de site a site está configurada.

or

Etapa 2. Dentro dessa política, crie um objeto FlexConfig da seguinte maneira:

Nome: S2S_Idle_TimeOut

Implantação: Sempre

Digite: Acrescentar

group-policy .DefaultS2SGroupPolicy atributos

vpn-idle-timeout none

e Salve-o.

Etapa 3. No painel esquerdo, procure-o e arraste-o para o painel direito com o botão >.

Salve as alterações e implemente.

Etapa 3.1 (Opcional) Como etapa intermediária, depois que as alterações de configuração tiverem sido salvas, você poderá escolher Preview Config para garantir que os comandos FlexConfig estejam prontos para serem enviados no final da configuração.

Verificar

Quando a implantação estiver concluída, você poderá executar esse comando no LINA (> system support diagnostic-cli) para confirmar se a nova configuração está lá:

firepower# show running-config group-policy .DefaultS2SGroupPolicy

group-policy .DefaultS2SGroupPolicy internal

group-policy .DefaultS2SGroupPolicy attributes

vpn-idle-timeout none <<<--------------

<omitted output>

Caution: Lembre-se de que essa alteração afeta todas as VPNs S2S no FTD. NÃO é uma configuração por túnel, mas global.

Mesmo que a configuração esteja lá, o túnel ativo precisa ser devolvido (clear crypto ipsec sa peer <Remote_Peer_IP_Address>) para que a alteração tenha efeito quando o túnel for estabelecido novamente. Você pode confirmar se a alteração está em vigor com este comando:

firepower# show vpn-sessiondb detail l2l filter ipaddress

Session Type: LAN-to-LAN Detailed

Connection : X.X.X.X

Index : 7 IP Addr : X.X.X.X

Protocol : IKEv1 IPsec

Encryption : IKEv1: (1)AES256 IPsec: (1)AES256

Hashing : IKEv1: (1)SHA1 IPsec: (1)SHA1

Bytes Tx : 400 Bytes Rx : 400

Login Time : 22:06:56 UTC Tue Jun 15 2021

Duration : 0h:18m:00s

Tunnel Zone : 0

IKEv1 Tunnels: 1

IPsec Tunnels: 1

IKEv1:

Tunnel ID : 7.1

UDP Src Port : 500 UDP Dst Port : 500

IKE Neg Mode : Main Auth Mode : preSharedKeys

Encryption : AES256 Hashing : SHA1

Rekey Int (T): 86400 Seconds Rekey Left(T): 85319 Seconds

D/H Group : 5

Filter Name :

IPsec:

Tunnel ID : 7.2

Local Addr : A.A.A.A/255.255.255.255/0/0

Remote Addr : B.B.B.B/255.255.255.128/0/0

Encryption : AES256 Hashing : SHA1

Encapsulation: Tunnel

Rekey Int (T): 28800 Seconds Rekey Left(T): 27719 Seconds

Rekey Int (D): 4608000 K-Bytes Rekey Left(D): 4608000 K-Bytes

Idle Time Out: 0 Minutes Idle TO Left : 0 Minutes <<<<<<<---------------

Bytes Tx : 400 Bytes Rx : 400

Pkts Tx : 4 Pkts Rx : 4

O contador de tempo ocioso limite deve ser definido como 0 minutos em vez de 30 minutos e a VPN deve permanecer ativa independentemente da atividade/tráfego sendo executado sobre ela.

Note: No momento da escrita, existe um bug de aprimoramento para integrar a capacidade de modificar essa configuração diretamente no FMC sem a necessidade do Flexconfig. Consulte o bug da Cisco ID CSCvr82274 - ENH: torne o vpn-idle-timeout configurável

Troubleshoot

No momento, não há informações específicas disponíveis para solucionar problemas.

Informações Relacionadas

- Guia de Configuração do Firepower Management Center, Versão 7.0 - Capítulo: Políticas FlexConfig para Firepower Threat Defense

- Guia de Configuração do Firepower Management Center, Versão 7.0 - Capítulo: VPNs de site a site para Firepower Threat Defense

- Suporte Técnico e Documentação - Cisco Systems