Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konfigurieren

Definition von geschützten Netzwerken

Standortübergreifendes VPN konfigurieren

ASA-Konfiguration

Überprüfen

Fehlerbehebung

Anfängliche Verbindungsprobleme

Datenverkehrsspezifische Probleme

Einführung

In diesem Dokument wird beschrieben, wie Sie Site-to-Site-VPN auf Firepower Threat Defense (FTD) konfigurieren, das vom FirePower Device Manager (FDM) verwaltet wird.

Mitwirkend von Cameron Schäffer, Cisco TAC Engineer.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- Grundlegendes VPN

- Erfahrung mit FDN

- Erfahrung mit der ASA-Befehlszeile (Adaptive Security Appliance)

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- Cisco FTD 6.5

- ASA 9.10(1)32

- IKEv2

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konfigurieren

Beginnen Sie mit der Konfiguration auf FTD mit FDM.

Definition von geschützten Netzwerken

Navigieren Sie zu Objekte > Netzwerke > Neues Netzwerk hinzufügen.

Konfigurieren von Objekten für die LAN-Netzwerke über die FDM-GUI Erstellen Sie ein Objekt für das lokale Netzwerk hinter dem FDM-Gerät, wie im Bild gezeigt.

Erstellen Sie ein Objekt für das Remote-Netzwerk hinter dem ASA-Gerät, wie im Bild gezeigt.

Standortübergreifendes VPN konfigurieren

Navigieren Sie zu Site-to-Site-VPN > Site-to-Site-Verbindung erstellen.

Gehen Sie den Site-to-Site-Assistenten für FDM durch, wie im Bild gezeigt.

Geben Sie der Site-to-Site-Verbindung einen leicht identifizierbaren Namen für das Verbindungsprofil.

Wählen Sie die richtige externe Schnittstelle für die FTD aus, und wählen Sie dann das lokale Netzwerk aus, das über das Site-to-Site-VPN verschlüsselt werden soll.

Legen Sie die öffentliche Schnittstelle des Remote-Peers fest. Wählen Sie dann das Remote-Peer-Netzwerk aus, das wie im Bild gezeigt über das Site-to-Site-VPN verschlüsselt wird.

Wählen Sie auf der nächsten Seite die Schaltfläche Bearbeiten, um die IKE-Parameter (Internet Key Exchange) festzulegen, wie im Bild gezeigt.

Wählen Sie die Schaltfläche Neue IKE-Richtlinie erstellen, wie im Bild gezeigt.

In diesem Leitfaden werden folgende Parameter für den anfänglichen IKEv2-Austausch verwendet:

Verschlüsselung AES-256

Integrität SHA256

DH-Gruppe 14

PRF SHA256

Wenn Sie wieder auf der Hauptseite sind, wählen Sie die Schaltfläche Bearbeiten für das IPSec-Angebot aus. Erstellen Sie ein neues IPSec-Angebot, wie im Bild gezeigt.

In diesem Handbuch werden folgende Parameter für IPSec verwendet:

Verschlüsselung AES-256

Integrität SHA256

Legen Sie für die Authentifizierung einen Pre-Shared Key fest, und geben Sie den Pre-Shared Key (PSK) ein, der an beiden Enden verwendet wird. In diesem Leitfaden wird der PSK von Cisco wie im Bild gezeigt verwendet.

Legen Sie die interne NAT Exempt-Schnittstelle fest. Wenn mehrere interne Schnittstellen verwendet werden, muss unter Richtlinien > NAT eine manuelle NAT-Freistellungsregel erstellt werden.

Auf der letzten Seite wird eine Zusammenfassung der Site-to-Site-Verbindung angezeigt. Stellen Sie sicher, dass die richtigen IP-Adressen ausgewählt und die richtigen Verschlüsselungsparameter verwendet werden, und drücken Sie die Schaltfläche zum Beenden. Bereitstellen des neuen Site-to-Site-VPN

Die ASA-Konfiguration wird mithilfe der CLI abgeschlossen.

ASA-Konfiguration

1. Aktivieren Sie IKEv2 auf der externen Schnittstelle der ASA:

Crypto ikev2 enable outside

2. Erstellen Sie die IKEv2-Richtlinie, die die gleichen Parameter definiert, die für die FTD konfiguriert wurden:

Crypto ikev2 policy 1

Encryption aes-256

Integrity sha256

Group 14

Prf sha256

Lifetime seconds 86400

3. Erstellen Sie eine Gruppenrichtlinie, die das IKEv2-Protokoll zulässt:

Group-policy FDM_GP internal

Group-policy FDM_GP attributes

Vpn-tunnel-protocol ikev2

4. Erstellen Sie eine Tunnelgruppe für die öffentliche FTD-IP-Adresse des Peers. Verweisen Sie auf die Gruppenrichtlinie, und geben Sie den vorinstallierten Schlüssel an:

Tunnel-group 172.16.100.10 type ipsec-l2l

Tunnel-group 172.16.100.10 general-attributes

Default-group-policy FDM_GP

Tunnel-group 172.16.100.10 ipsec-attributes

ikev2 local-authentication pre-shared-key cisco

ikev2 remote-authentication pre-shared-key cisco

5. Erstellen Sie eine Zugriffsliste, die den zu verschlüsselnden Datenverkehr definiert: (FTDSubnet 10.10.116.0/24) (ASASubnet 10.10.110.0/24):

Object network FDMSubnet

Subnet 10.10.116.0 255.255.255.0

Object network ASASubnet

Subnet 10.10.110.0 255.255.255.0

Access-list ASAtoFTD extended permit ip object ASASubnet object FTDSubnet

6. Erstellen Sie einen IKEv2-IPsec-Vorschlag, der auf die in FTD angegebenen Algorithmen verweist:

Crypto ipsec ikev2 ipsec-proposal FDM

Protocol esp encryption aes-256

Protocol esp integrity sha-256

7. Erstellen Sie einen Crypto Map-Eintrag, der mit der Konfiguration verknüpft ist:

Crypto map outside_map 20 set peer 172.16.100.10

Crypto map outside_map 20 match address ASAtoFTD

Crypto map outside_map 20 set ikev2 ipsec-proposal FTD

Crypto map outside_map 20 interface outside

8. Erstellen Sie eine NAT-Ausnahmeanweisung, die verhindert, dass der VPN-Datenverkehr von der Firewall NATTIERT wird:

Nat (inside,outside) 1 source static ASASubnet ASASubnet destination static FDMSubnet FDMSubnet

no-proxy-arp route-lookup

Überprüfen

In diesem Abschnitt überprüfen Sie, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Versuchen Sie, den Datenverkehr durch den VPN-Tunnel zu initiieren. Mit Zugriff auf die Befehlszeile von ASA oder FTD kann dies mit dem Befehl Packet Tracer durchgeführt werden. Wenn Sie den Befehl Packet-Tracer verwenden, um den VPN-Tunnel zu aktivieren, muss er zweimal ausgeführt werden, um zu überprüfen, ob der Tunnel verfügbar ist. Bei der ersten Ausgabe des Befehls ist der VPN-Tunnel inaktiv, sodass der Befehl Packet-Tracer bei der VPN-Verschlüsselung DROP fehlschlägt. Verwenden Sie nicht die interne IP-Adresse der Firewall als Quell-IP-Adresse im Paket-Tracer, da dies immer fehlschlägt.

firepower# packet-tracer input inside icmp 10.10.116.10 8 0 10.10.110.10

Phase: 9

Type: VPN

Subtype: encrypt

Result: DROP

Config:

Additional Information:

firepower# packet-tracer input inside icmp 10.10.116.10 8 0 10.10.110.10

Phase: 1

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 172.16.100.1 using egress ifc outside

Phase: 2

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,outside) source static |s2sAclSrcNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 |s2sAclSrcNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 destination static |s2sAclDestNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 |s2sAclDestNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 no-proxy-arp route-lookup

Additional Information:

NAT divert to egress interface outside

Untranslate 10.10.110.10/0 to 10.10.110.10/0

Phase: 3

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group NGFW_ONBOX_ACL global

access-list NGFW_ONBOX_ACL advanced trust object-group |acSvcg-268435457 ifc inside any ifc outside any rule-id 268435457 event-log both

access-list NGFW_ONBOX_ACL remark rule-id 268435457: ACCESS POLICY: NGFW_Access_Policy

access-list NGFW_ONBOX_ACL remark rule-id 268435457: L5 RULE: Inside_Outside_Rule

object-group service |acSvcg-268435457

service-object ip

Additional Information:

Phase: 4

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,outside) source static |s2sAclSrcNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 |s2sAclSrcNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 destination static |s2sAclDestNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 |s2sAclDestNwgV4|c9911223-779d-11ea-9c1b-5ddd47126971 no-proxy-arp route-lookup

Additional Information:

Static translate 10.10.116.10/0 to 10.10.116.10/0

Phase: 9

Type: VPN

Subtype: encrypt

Result: ALLOW

Config:

Additional Information:

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: outside

output-status: up

output-line-status: up

Action: allow

Um den Tunnelstatus zu überwachen, navigieren Sie zur CLI der FTD oder ASA.

Überprüfen Sie in der FTD-CLI Phase-1 und Phase-2 mit dem Befehl show crypto ikev2 sa.

> show crypto ikev2 sa

IKEv2 SAs:

Session-id:1, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                                               Remote                                                  Status         Role

3821043 172.16.100.10/500                                    192.168.200.10/500                                         READY    INITIATOR

Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Life/Active Time: 86400/1150 sec

Child sa: local selector  10.10.116.0/0 - 10.10.116.255/65535

remote selector 10.10.110.0/0 - 10.10.110.255/65535

ESP spi in/out: 0x7398dcbd/0x2303b0c0

Fehlerbehebung

Dieser Abschnitt enthält Informationen, die Sie zur Fehlerbehebung bei Ihrer Konfiguration verwenden können.

Anfängliche Verbindungsprobleme

Beim Aufbau eines VPNs verhandeln zwei Seiten über den Tunnel. Daher sollten Sie beide Seiten des Gesprächs ansprechen, wenn Sie eine Fehlerbehebung bei Tunnelausfällen durchführen. Eine detaillierte Anleitung zum Debuggen von IKEv2-Tunneln finden Sie hier: Debuggen von IKEv2-VPNs

Die häufigste Ursache für Tunnelfehler ist ein Verbindungsproblem. Die beste Methode, dies zu bestimmen, ist die Erfassung von Paketen auf dem Gerät.

Verwenden Sie diesen Befehl, um Paketerfassungen auf dem Gerät aufzunehmen:

Capture capout interface outside match ip host 172.16.100.10 host 192.168.200.10

Nach der Erfassung wird versucht, Datenverkehr über das VPN zu senden und in der Paketerfassung auf bidirektionalen Datenverkehr zu überprüfen.

Überprüfen Sie die Paketerfassung mit dem Befehl show cap capout.

firepower# show cap capout

4 packets captured

1: 01:21:06.763983       172.16.100.10.500 > 192.168.200.10.500:  udp 574

2: 01:21:06.769415       192.168.200.10.500 > 172.16.100.10.500:  udp 619

3: 01:21:06.770666       172.16.100.10.500 > 192.168.200.10.500:  udp 288

4: 01:21:06.773748       192.168.200.10.500 > 172.16.100.10.500:  udp 256

Datenverkehrsspezifische Probleme

Häufige Datenverkehrsprobleme der Benutzer sind:

- Routingprobleme hinter dem FTD - internes Netzwerk, das Pakete nicht an die zugewiesenen IP-Adressen und VPN-Clients weiterleiten kann.

- Zugriffskontrolllisten blockieren Datenverkehr.

- Network Address Translation (NAT) wird bei VPN-Datenverkehr nicht umgangen.

Weitere Informationen zu Site-to-Site-VPNs im vom FDM verwalteten FTD finden Sie im vollständigen Konfigurationsleitfaden unter: FTD wird im FDM-Konfigurationsleitfaden verwaltet.