Inhalt

Einführung

Voraussetzungen

Verwendete Komponenten

Architektur

Anforderungen

Topologieübersicht

Low-Level-Design

Lösung

Verkabelung

IP-Adresse

VPN und NAT

Konfigurationsbeispiel

Ähnliche Diskussionen in der Cisco Support Community

Einführung

Service Provider bieten Managed WAN-Services in ihrem Portfolio an. Die Cisco ASA FirePOWER-Plattform bietet Funktionen für das einheitliche Management von Bedrohungen, um differenzierte Services bereitzustellen. Ein ASA-FirePOWER-Gerät verfügt über separate Schnittstellen für die Verwaltungsanbindung an ein LAN-Gerät. Wenn Sie jedoch eine Verwaltungsschnittstelle mit einem LAN-Gerät verbinden, besteht eine Abhängigkeit von einem LAN-Gerät.

Dieses Dokument enthält eine Lösung, mit der Sie ein Cisco ASA FirePOWER (SFR)-Modul verwalten können, ohne eine Verbindung zu einem LAN-Gerät herzustellen oder eine zweite Schnittstelle vom Edge-Gerät des Service Providers zu verwenden.

Voraussetzungen

Verwendete Komponenten

- Plattform der Serie ASA 5500-X mit FirePOWER-Services (SFR)

- Verwaltungsschnittstelle, die von ASA und dem FirePOWER-Modul gemeinsam genutzt wird.

Architektur

Anforderungen

- Dedizierter Internetzugang, Übergabe vom Edge-Gerät des Service Providers an die ASA FirePOWER.

- Der Zugriff auf die Verwaltungsschnittstelle ist erforderlich, um den Schnittstellenstatus auf "up" (aktiv) zu ändern.

- Die Management-Schnittstelle der ASA sollte erhalten bleiben, um das FirePOWER-Modul zu verwalten.

- Die Management-Konnektivität sollte nicht verloren gehen, wenn der Kunde das LAN-Gerät trennt.

- Die Verwaltungsarchitektur sollte Active/Backup-WAN-Failover unterstützen.

Topologieübersicht

Low-Level-Design

Lösung

Mit den folgenden Konfigurationen können Sie das SFR-Modul über VPN remote verwalten, ohne dass eine LAN-Verbindung erforderlich ist.

Verkabelung

- Verbinden Sie die Management-Schnittstelle 1/1 mithilfe eines Ethernet-Kabels mit der GigabitEthernet1/8-Schnittstelle.

Hinweis: Das ASA FirePOWER-Modul muss die Management 1/x (1/0 oder 1/1)-Schnittstelle verwenden, um Management-Datenverkehr zu senden und zu empfangen. Da sich die Management 1/x-Schnittstelle nicht auf der Datenebene befindet, müssen Sie die Verwaltungsschnittstelle physisch mit einem anderen LAN-Gerät verkabeln, um den Datenverkehr über die ASA-Ebene zu leiten.

Als Teil der One-Box-Lösung verbinden Sie die Management-Schnittstelle 1/1 mithilfe eines Ethernet-Kabels mit der GigabitEthernet1/8-Schnittstelle.

IP-Adresse

- GigabitEthernet 1/8-Schnittstelle: 192.168.10.1/24

- SFR-Management-Schnittstelle: 192.168.10.2/24

- SFR-Gateway: 192.168.10.1

- Management 1/1-Schnittstelle: Für die Verwaltungsschnittstelle ist keine IP-Adresse konfiguriert. Der Management-Access-Befehl muss für Verwaltungszwecke (MGMT) konfiguriert werden.

Der lokale und der Remote-Datenverkehr erfolgt in den folgenden Subnetzen:

- Der lokale Datenverkehr befindet sich im Management-Subnetz 192.168.10.0/24.

- Der Remote-Datenverkehr läuft im Subnetz 192.168.11.0/24.

VPN und NAT

- Definieren Sie die VPN-Richtlinien.

- Der NAT-Befehl sollte mit dem Präfix für die Route-Lookup konfiguriert werden, um die Ausgangsschnittstelle mithilfe einer Route-Lookup zu ermitteln, anstatt die im NAT-Befehl angegebene Schnittstelle zu verwenden.

Konfigurationsbeispiel

!

management-access MGMT

!

interface GigabitEthernet1/1

nameif outside

security-level 0

ip address 10.106.223.1 255.255.255.0

!

interface GigabitEthernet1/8

nameif MGMT

security-level 90

ip address 192.168.10.1 255.255.255.252

!

interface Management1/1

management-only

no nameif

no security-level

no ip address

!

object network obj_any

subnet 0.0.0.0 0.0.0.0

object-group network LOCAL-LAN

network-object 192.168.10.0 255.255.255.0

object-group network REMOTE-LAN

network-object 192.168.11.0 255.255.255.0

access-list INTREST-TRAFFIC extended permit ip 192.168.10.0 255.255.255.0 192.168.11.0 255.255.255.0

access-list TEST extended permit tcp any any eq www

access-list TEST extended permit tcp any any eq https

nat (MGMT,outside) source static LOCAL-LAN LOCAL-LAN destination static REMOTE-LAN REMOTE-LAN route-lookup

object network obj_any

nat (any,outside) dynamic interface

route outside 0.0.0.0 0.0.0.0 10.106.223.2 1

crypto ipsec ikev1 transform-set TRANS-SET esp-3des esp-md5-hmac

crypto ipsec security-association pmtu-aging infinite

crypto map CMAP 10 match address INTREST-TRAFFIC

crypto map CMAP 10 set peer 10.106.223.2

crypto map CMAP 10 set ikev1 transform-set TRANS-SET

crypto map CMAP interface outside

crypto ikev1 enable outside

crypto ikev1 policy 10

authentication pre-share

encryption 3des

hash md5

group 2

lifetime 86400

!

tunnel-group 10.106.223.1 type ipsec-l2l

tunnel-group 10.106.223.1 ipsec-attributes

ikev1 pre-shared-key *****

!

class-map TEST

match access-list TEST

policy-map global_policy

class TEST

sfr fail-close

!