Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konfiguration

Schritt 1: Definieren Sie die VPN-Topologie.

Schritt 2: Konfigurieren Sie die IKE-Parameter.

Schritt 3: Konfigurieren von IPsec-Parametern

Schritt 4: Zugriffskontrolle umgehen.

Schritt 5: Erstellen einer Zugriffskontrollrichtlinie.

Schritt 6: Konfigurieren der NAT-Ausnahme

Schritt 7: Konfigurieren Sie die ASA.

Überprüfen

Fehlerbehebung und Fehlerbehebung

Anfängliche Verbindungsprobleme

Datenverkehrsspezifische Probleme

Einführung

Dieses Dokument enthält ein Konfigurationsbeispiel für Site-to-Site-VPN auf Firepower Threat Defense (FTD), das vom FMC verwaltet wird.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- Grundlegendes VPN

- Erfahrung mit FirePOWER Management Center

- Erfahrung mit der ASA-Befehlszeile

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- Cisco FTD 6.5

- ASA 9.10(1)32

- IKEv2

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konfiguration

Beginnen Sie mit der Konfiguration auf FTD mit FirePower Management Center.

Schritt 1: Definieren Sie die VPN-Topologie.

1. Navigieren Sie zu Geräte > VPN > Site-to-Site. Klicken Sie unter VPN hinzufügen auf FirePOWER Threat Defense Device, wie in diesem Bild gezeigt.

2. Das Feld Neue VPN-Topologie erstellen wird angezeigt. VPN einen leicht identifizierbaren Namen geben.

Netzwerktopologie: Point-to-Point

IKE-Version: IKEv2

Wenn Sie in diesem Beispiel Endgeräte auswählen, ist Knoten A die FTD und Knoten B die ASA. Klicken Sie auf die grüne Plus-Schaltfläche, um der Topologie Geräte hinzuzufügen, wie in diesem Bild gezeigt.

3. Fügen Sie das FTD als ersten Endpunkt hinzu.

Wählen Sie die Schnittstelle aus, auf der eine Crypto Map platziert wird. Die IP-Adresse sollte automatisch aus der Gerätekonfiguration übernommen werden.

Klicken Sie auf das grüne Pluszeichen unter Protected Networks (Geschützte Netzwerke), wie in diesem Bild gezeigt, um festzulegen, welche Subnetze in diesem VPN verschlüsselt werden sollen.

4. Klicken Sie auf grün plus, und hier wird ein Netzwerkobjekt erstellt.

5. Fügen Sie der FTD alle lokalen Subnetze hinzu, die verschlüsselt werden müssen. Klicken Sie auf Hinzufügen, um sie in die ausgewählten Netzwerke zu verschieben. Klicken Sie jetzt auf OK, wie in diesem Bild gezeigt.

FTDSubnet = 10.10.113.0/24

Knoten A: (FTD) Endgerät ist abgeschlossen. Klicken Sie auf das grüne Pluszeichen für Knoten B, wie im Bild gezeigt.

Knoten B ist eine ASA. Geräte, die nicht vom FMC verwaltet werden, gelten als Extranet.

6. Fügen Sie einen Gerätenamen und eine IP-Adresse hinzu. Klicken Sie auf das grüne Pluszeichen, um geschützte Netzwerke hinzuzufügen, wie im Bild gezeigt.

7. Wählen Sie, wie in diesem Bild gezeigt, die ASA-Subnetze aus, die verschlüsselt werden sollen, und fügen Sie sie den ausgewählten Netzwerken hinzu.

ASASubnet = 10.10.110.0/24

Schritt 2: Konfigurieren Sie die IKE-Parameter.

Jetzt sind beide Endpunkte vorhanden, um die IKE/IPSEC-Konfiguration zu durchlaufen.

1. Geben Sie auf der Registerkarte IKE die Parameter an, die für den ersten IKEv2-Austausch verwendet werden. Klicken Sie auf das grüne Pluszeichen, um eine neue IKE-Richtlinie zu erstellen, wie im Bild gezeigt.

2. Geben Sie in der neuen IKE-Richtlinie eine Prioritätsnummer sowie die Lebensdauer von Phase 1 der Verbindung an. In diesem Dokument werden folgende Parameter für den ersten Austausch verwendet: Integrity (SHA256), Encryption (AES-256), PRF (SHA256) und Diffie-Hellman Group (Gruppe 14)

Hinweis: Alle IKE-Richtlinien auf dem Gerät werden an den Remote-Peer gesendet, unabhängig davon, was im ausgewählten Richtlinienabschnitt angegeben ist. Die erste IKE-Richtlinie, die dem Remote-Peer zugeordnet ist, wird für die VPN-Verbindung ausgewählt. Wählen Sie aus, welche Richtlinie zuerst mithilfe des Prioritätsfelds gesendet wird. Priorität 1 wird zuerst gesendet.

3. Wählen Sie nach dem Hinzufügen der Parameter diese Richtlinie aus, und wählen Sie den Authentifizierungstyp aus.

4. Wählen Sie Pre-shared-key Manual (Vorinstallierter Schlüssel) aus. Für dieses Dokument wird das PSK cisco123 verwendet.

Schritt 3: Konfigurieren von IPsec-Parametern

1. Klicken Sie unter IPsec auf den Bleistift, um den Transformationssatz zu bearbeiten und ein neues IPsec-Angebot zu erstellen, wie in diesem Bild gezeigt.

2. Klicken Sie zum Erstellen eines neuen IKEv2 IPsec-Angebots auf das grüne Pluszeichen, und geben Sie die Parameter für Phase 2 ein.

Wählen Sie ESP Encryption > AES-GCM-256 aus. Wenn der GCM-Algorithmus für die Verschlüsselung verwendet wird, ist kein Hash-Algorithmus erforderlich. Mit GCM ist die Hash-Funktion integriert.

3. Wenn das neue IPsec-Angebot erstellt wurde, fügen Sie es den ausgewählten Transformationssätzen hinzu.

Das neu ausgewählte IPsec-Angebot ist jetzt unter den IKEv2 IPsec-Angeboten aufgeführt.

Bei Bedarf können die Phase-2-Lebensdauer und PFS hier bearbeitet werden. In diesem Beispiel wird die Lebensdauer als Standard festgelegt und PFS deaktiviert.

Optional: Sie müssen entweder die Option zum Umgehen der Zugriffskontrolle ausfüllen oder eine Zugriffskontrollrichtlinie erstellen.

Schritt 4: Zugriffskontrolle umgehen.

Optional kann sysopt permit-vpn unter Erweitert > Tunnel aktiviert werden.

Dadurch ist es nicht mehr möglich, die Zugriffskontrollrichtlinie zur Überprüfung des Datenverkehrs der Benutzer zu verwenden. VPN-Filter oder herunterladbare ACLs können weiterhin zum Filtern des Benutzerdatenverkehrs verwendet werden. Dieser globale Befehl gilt für alle VPNs, wenn dieses Kontrollkästchen aktiviert ist.

Wenn sysopt permit-vpn nicht aktiviert ist, muss eine Zugriffskontrollrichtlinie erstellt werden, um den VPN-Datenverkehr über das FTD-Gerät zuzulassen. Wenn sysopt permit-vpn aktiviert ist, überspringen Sie das Erstellen einer Zugriffskontrollrichtlinie.

Schritt 5: Erstellen einer Zugriffskontrollrichtlinie.

Navigieren Sie unter Zugriffskontrollrichtlinien zu Richtlinien > Zugriffskontrolle > Zugriffskontrolle, und wählen Sie die Richtlinie für das FTD-Gerät aus. Um eine Regel hinzuzufügen, klicken Sie auf Regel hinzufügen, wie im Bild hier dargestellt.

Der Datenverkehr vom internen Netzwerk zum externen Netzwerk und vom externen Netzwerk zum internen Netzwerk muss zugelassen werden. Erstellen Sie eine Regel, um beide Regeln auszuführen, oder erstellen Sie zwei Regeln, um sie voneinander zu trennen. In diesem Beispiel wird eine Regel erstellt, um beide Vorgänge auszuführen.

Schritt 6: Konfigurieren der NAT-Ausnahme

Konfigurieren Sie eine NAT-Freischaltungsanweisung für den VPN-Datenverkehr. Es muss eine NAT-Ausnahme vorhanden sein, um zu verhindern, dass der VPN-Datenverkehr eine andere NAT-Anweisung erreicht und den VPN-Datenverkehr nicht korrekt übersetzt.

1. Navigieren Sie zu Devices > NAT, und wählen Sie die NAT-Richtlinie aus, die auf die FTD abzielt. Erstellen Sie eine neue Regel, während Sie auf die Schaltfläche Regel hinzufügen klicken.

2. Erstellen Sie eine neue statische manuelle NAT-Regel. Verweisen Sie auf die internen und externen Schnittstellen.

3. Wählen Sie auf der Registerkarte Übersetzung das Quell- und Zielsubnetz aus. Da es sich um eine NAT-Freistellungsregel handelt, müssen die ursprüngliche Quelle/das ursprüngliche Ziel und die übersetzte Quelle/Ziel identisch sein, wie in diesem Bild gezeigt:

4. Wechseln Sie schließlich zur Registerkarte Erweitert, und aktivieren Sie "no-proxy-arp" und "route-lookup".

5. Speichern Sie diese Regel, und überprüfen Sie die Endergebnisse in der NAT-Liste.

6. Speichern und Bereitstellen der Konfiguration nach Abschluss der Konfiguration im FTD

Schritt 7: Konfigurieren Sie die ASA.

1. Aktivieren Sie IKEv2 auf der externen Schnittstelle der ASA:

Crypto ikev2 enable outside

2. Erstellen Sie die IKEv2-Richtlinie, die die gleichen Parameter definiert, die für die FTD konfiguriert wurden:

Crypto ikev2 policy 1

Encryption aes-256

Integrity sha256

Group 14

Prf sha256

Lifetime seconds 86400

3. Erstellen Sie eine Gruppenrichtlinie, die das Protokoll "ikev2" zulässt:

Group-policy FTD_GP internal

Group-policy FTD_GP attributes

Vpn-tunnel-protocol ikev2

4. Erstellen Sie eine Tunnelgruppe für die öffentliche FTD-IP-Adresse des Peers. Verweisen Sie auf die Gruppenrichtlinie, und geben Sie den vorinstallierten Schlüssel an:

Tunnel-group 172.16.100.20 type ipsec-l2l

Tunnel-group 172.16.100.20 general-attributes

Default-group-policy FTD_GP

Tunnel-group 172.16.100.20 ipsec-attributes

ikev2 local-authentication pre-shared-key cisco123

ikev2 remote-authentication pre-shared-key cisco123

5. Erstellen Sie eine Zugriffsliste, die den zu verschlüsselnden Datenverkehr definiert: (FTDSubnet 10.10.113.0/24) (ASASubnet 10.10.110.0/24)

Object network FTDSubnet

Subnet 10.10.113.0 255.255.255.0

Object network ASASubnet

Subnet 10.10.110.0 255.255.255.0

Access-list ASAtoFTD extended permit ip object ASASubnet object FTDSubnet

6. Erstellen Sie einen ikev2 ipsec-Vorschlag, der auf die in FTD angegebenen Algorithmen verweist:

Crypto ipsec ikev2 ipsec-proposal FTD

Protocol esp encryption aes-gcm-256

7. Erstellen Sie einen Crypto Map-Eintrag, der mit der Konfiguration verknüpft ist:

Crypto map outside_map 10 set peer 172.16.100.20

Crypto map outside_map 10 match address ASAtoFTD

Crypto map outside_map 10 set ikev2 ipsec-proposal FTD

Crypto map outside_map 10 interface outside

8. Erstellen Sie eine NAT-Ausnahmeanweisung, die verhindert, dass der VPN-Datenverkehr von der Firewall NATTIERT wird:

Nat (inside,outside) 1 source static ASASubnet ASASubnet destination static FTDSubnet FTDSubnet no-proxy-arp route-lookup

Überprüfen

Hinweis: Derzeit ist es nicht möglich, den VPN-Tunnelstatus vom FMC zu überprüfen. Für diese Funktion wird eine Erweiterungsanforderung CSCvh77603 angefordert.

Versuchen Sie, den Datenverkehr durch den VPN-Tunnel zu initiieren. Mit Zugriff auf die Befehlszeile von ASA oder FTD kann dies mit dem Befehl Packet Tracer durchgeführt werden. Wenn der Befehl Packet-Tracer zum Herstellen des VPN-Tunnels verwendet wird, muss er zweimal ausgeführt werden, um zu überprüfen, ob der Tunnel wieder betriebsbereit ist. Bei der ersten Ausgabe des Befehls ist der VPN-Tunnel inaktiv, sodass der Befehl Packet-Tracer mit dem VPN-Verschlüsselungs-DROP fehlschlägt. Verwenden Sie nicht die interne IP-Adresse der Firewall als Quell-IP-Adresse im Paket-Tracer, da dies immer fehlschlägt.

firepower# packet-tracer input inside icmp 10.10.113.10 8 0 10.10.110.10

Phase: 10

Type: VPN

Subtype: encrypt

Result: DROP

Config:

Additional Information:

firepower# packet-tracer input inside icmp 10.10.113.10 8 0 10.10.110.10

Phase: 1

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 172.16.100.1 using egress ifc outside

Phase: 2

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (Inside,outside) source static FTDSubnet FTDSubnet destination static ASASubnet ASASubnet no-proxy-arp route-lookup

Additional Information:

NAT divert to egress interface outside

Untranslate 10.10.110.10/0 to 10.10.110.10/0

Phase: 3

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip ifc Inside object-group FMC_INLINE_src_rule_268436483 ifc outside object-group FMC_INLINE_dst_rule_268436483 rule-id 268436483

access-list CSM_FW_ACL_ remark rule-id 268436483: ACCESS POLICY: FTD-Access-Control-Policy - Mandatory

access-list CSM_FW_ACL_ remark rule-id 268436483: L7 RULE: VPN_Traffic

object-group network FMC_INLINE_src_rule_268436483

description: Auto Generated by FMC from src of UnifiedNGFWRule# 1 (FTD-Access-Control-Policy/mandatory)

network-object object ASASubnet

network-object object FTDSubnet

object-group network FMC_INLINE_dst_rule_268436483

description: Auto Generated by FMC from dst of UnifiedNGFWRule# 1 (FTD-Access-Control-Policy/mandatory)

network-object object ASASubnet

network-object object FTDSubnet

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 5

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (Inside,outside) source static FTDSubnet FTDSubnet destination static ASASubnet ASASubnet no-proxy-arp route-lookup

Additional Information:

Static translate 10.10.113.10/0 to 10.10.113.10/0

Phase: 10

Type: VPN

Subtype: encrypt

Result: ALLOW

Config:

Additional Information:

Result:

input-interface: Inside

input-status: up

input-line-status: up

output-interface: outside

output-status: up

output-line-status: up

Action: allow

Um den Tunnelstatus zu überwachen, navigieren Sie zur CLI der FTD oder ASA.

Über die FTD-CLI können Sie Phase-1 und Phase-2 mit dem folgenden Befehl überprüfen:

Show crypto ikev2 sa

> show crypto ikev2 sa

IKEv2 SAs:

Session-id:4, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                                               Remote                                                  Status         Role

9528731 172.16.100.20/500                                    192.168.200.10/500                                         READY    INITIATOR

Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Life/Active Time: 86400/118 sec

Child sa: local selector  10.10.113.0/0 - 10.10.113.255/65535

remote selector 10.10.110.0/0 - 10.10.110.255/65535

ESP spi in/out: 0x66be357d/0xb74c8753

Fehlerbehebung und Fehlerbehebung

Anfängliche Verbindungsprobleme

Beim Aufbau eines VPN verhandeln zwei Seiten über den Tunnel. Daher sollten Sie beide Seiten des Gesprächs ansprechen, wenn Sie eine Fehlerbehebung bei Tunnelausfällen durchführen. Eine detaillierte Anleitung zum Debuggen von IKEv2-Tunneln finden Sie hier: Debuggen von IKEv2-VPNs

Die häufigste Ursache für Tunnelfehler ist ein Verbindungsproblem. Die beste Methode, dies zu bestimmen, ist die Erfassung von Paketen auf dem Gerät. Verwenden Sie diesen Befehl, um Paketerfassungen auf dem Gerät aufzunehmen:

Capture capout interface outside match ip host 172.16.100.20 host 192.168.200.10

Nach der Erfassung wird versucht, Datenverkehr über das VPN zu senden und in der Paketerfassung auf bidirektionalen Datenverkehr zu überprüfen.

Überprüfen Sie die Paketerfassung mit dem folgenden Befehl:

Kapitän mit Schaukasten

firepower# show cap capout

4 packets captured

1: 11:51:12.059628       172.16.100.20.500 > 192.168.200.10.500:  udp 690

2: 11:51:12.065243       192.168.200.10.500 > 172.16.100.20.500:  udp 619

3: 11:51:12.066692       172.16.100.20.500 > 192.168.200.10.500:  udp 288

4: 11:51:12.069835       192.168.200.10.500 > 172.16.100.20.500:  udp 240

Datenverkehrsspezifische Probleme

Häufige Datenverkehrsprobleme sind:

- Routingprobleme hinter der FTD - internes Netzwerk, das Pakete nicht an die zugewiesenen IP-Adressen und VPN-Clients zurücksenden kann.

- Zugriffskontrolllisten blockieren Datenverkehr.

- Network Address Translation wird für VPN-Datenverkehr nicht umgangen.

Weitere Informationen zu VPNs im von FMC verwalteten FTD finden Sie im vollständigen Konfigurationsleitfaden unter: FTD verwaltet durch FMC-Konfigurationsleitfaden