Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Convenciones

Configuración

Topología de red

Autoridad certificadora (opcional)

configuración de CA del IOS

Cómo verificar si la EKU correcta se estableció en el certificado

Configuración de cabecera

configuración PKI

Configuración de cifrado/IPSec

Cliente

Inscripción de certificados

perfil de AnyConnect

Verificación de la conexión

Criptografía de última generación

Advertencias y problemas conocidos

Información Relacionada

Introducción

Este documento proporciona información sobre cómo lograr una conexión protegida por IPSec desde un dispositivo que ejecuta el cliente AnyConnect a un router Cisco IOS® con sólo autenticación de certificado mediante el uso del marco FlexVPN.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- FlexVPN

- AnyConnect

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

Encabezado

El router Cisco IOS puede ser cualquier router capaz de ejecutar IKEv2, ejecutando al menos la versión 15.2 M&T. Sin embargo, debe utilizar una versión más reciente (consulte la sección advertencias conocidas), si está disponible.

Cliente

Versión AnyConnect 3.x

Autoridad de certificados

En este ejemplo, la autoridad certificadora (CA) ejecutará la versión 15.2(3)T.

Es fundamental que se utilice una de las versiones más recientes debido a la necesidad de admitir el uso de clave extendida (EKU).

En esta implementación, el router IOS se utiliza como CA. Sin embargo, cualquier aplicación CA basada en estándares capaz de utilizar EKU debe estar bien.

Convenciones

Consulte Convenciones de Consejos TécnicosCisco para obtener más información sobre las convenciones del documento.

Configuración

Topología de red

Autoridad certificadora (opcional)

Si decide utilizarla, el router IOS puede actuar como una CA.

configuración de CA del IOS

Debe recordar que el servidor de la CA debe poner la EKU correcta en los certificados de cliente y servidor. En este caso, se configuró EKU servidor-autenticación y cliente-autenticación para todos los certificados.

bsns-1941-3#show run | s crypto pki

crypto pki server CISCO

database level complete

database archive pem password 7 00071A1507545A545C

issuer-name cn=bsns-1941-3.cisco.com,ou=TAC,o=cisco

grant auto rollover ca-cert

grant auto

auto-rollover

eku server-auth client-auth

Cómo verificar si la EKU correcta se estableció en el certificado

Tenga en cuenta que bsns-1941-3 es el servidor de CA mientras que bsns-1941-4 es la cabecera IPsec. Partes de la salida omitidas para la brevedad.

BSNS-1941-4#show crypto pki certificate verbose

Certificate

(...omitted...)

Public Key Algorithm: rsaEncryption

RSA Public Key: (1024 bit)

Signature Algorithm: SHA1 with RSA Encryption

Fingerprint MD5: C3D52BE9 1EE97559 C7323995 3C51DC53

Fingerprint SHA1: 76BC7CD4 F298F8D9 A95338DC E5AF7602 9B57BE31

X509v3 extensions:

X509v3 Key Usage: A0000000

Digital Signature

Key Encipherment

X509v3 Subject Key ID: 83647B09 D3300A97 577C3E2C AAE7F47C F2D88ADF

X509v3 Authority Key ID: B3CC331D 7159C3CD 27487322 88AC02ED FAF2AE2E

Authority Info Access:

Extended Key Usage:

Client Auth

Server Auth

Associated Trustpoints: CISCO2

Storage: nvram:bsns-1941-3c#5.cer

Key Label: BSNS-1941-4.cisco.com

Key storage device: private config

CA Certificate

(...omitted...)

Configuración de cabecera

La configuración de cabecera consta de dos partes: la parte PKI y flex/IKEv2 real.

configuración PKI

Observará que se utiliza CN de bsns-1941-4.cisco.com. Esto debe coincidir con una entrada DNS adecuada y debe incluirse en el perfil de AnyConnect en <Nombre de host>.

crypto pki trustpoint CISCO2

enrollment url http://10.48.66.14:80

serial-number

ip-address 10.48.66.15

subject-name cn=bsns-1941-4.cisco.com,ou=TAC,o=cisco

revocation-check none

crypto pki certificate map CMAP 10

subject-name co cisco

Configuración de cifrado/IPSec

Tenga en cuenta que su configuración de PRF/integridad en la propuesta NECESITA coincidir con lo que su certificado admite. Esto suele ser SHA-1.

crypto ikev2 authorization policy AC

pool AC

crypto ikev2 proposal PRO

encryption 3des aes-cbc-128

integrity sha1

group 5 2

crypto ikev2 policy POL

match fvrf any

proposal PRO

crypto ikev2 profile PRO

match certificate CMAP

identity local dn

authentication remote rsa-sig

authentication local rsa-sig

pki trustpoint CISCO2

aaa authorization group cert list default AC

virtual-template 1

no crypto ikev2 http-url cert

crypto ipsec transform-set TRA esp-3des esp-sha-hmac

crypto ipsec profile PRO

set transform-set TRA

set ikev2-profile PRO

interface Virtual-Template1 type tunnel

ip unnumbered GigabitEthernet0/0

tunnel mode ipsec ipv4  tunnel protection ipsec profile PRO

Cliente

La configuración del cliente para una conexión AnyConnect correcta con IKEv2 y los certificados consta de dos partes.

Inscripción de certificados

Cuando el certificado está correctamente inscrito, puede verificar que está presente en la máquina o en el almacén personal. Recuerde que los certificados de cliente también necesitan tener EKU.

perfil de AnyConnect

El perfil de AnyConnect es largo y muy básico.

La parte pertinente es definir:

1. Host al que se conecta

2. Tipo de protocolo

3. Autenticación que se utilizará cuando se conecte a ese host

Qué se utiliza:

<ServerList>

<HostEntry>

<HostName>bsns-1941-4.cisco.com</HostName>

<PrimaryProtocol>IPsec

<StandardAuthenticationOnly>true

<AuthMethodDuringIKENegotiation>

IKE-RSA

</AuthMethodDuringIKENegotiation>

</StandardAuthenticationOnly>

</PrimaryProtocol>

</HostEntry>

</ServerList>

En el campo de conexión de AnyConnect debe proporcionar el FQDN completo, que es el valor que se ve en <HostName>.

Verificación de la conexión

Se omite parte de la información por brevedad.

BSNS-1941-4#show crypto ikev2 sa

IPv4 Crypto IKEv2  SA

Tunnel-id Local          Remote          fvrf/ivrf          Status

2    10.48.66.15/4500    10.55.193.212/65311   none/none    READY

Encr: AES-CBC, keysize: 128, Hash: SHA96, DH Grp:5,

Auth sign: RSA, Auth verify: RSA

Life/Active Time: 86400/180 sec

IPv6 Crypto IKEv2  SA

BSNS-1941-4#show crypto ipsec sa

interface: Virtual-Access1

Crypto map tag: Virtual-Access1-head-0, local addr 10.48.66.15

protected vrf: (none)

local  ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

remote ident (addr/mask/prot/port): (172.16.1.2/255.255.255.255/0/0)

current_peer 10.55.193.212 port 65311

PERMIT, flags={origin_is_acl,}

#pkts encaps: 2, #pkts encrypt: 2, #pkts digest: 2

#pkts decaps: 26, #pkts decrypt: 26, #pkts verify: 26

local crypto endpt.: 10.48.66.15, remote crypto endpt.: 10.55.193.212

path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet0/0

current outbound spi: 0x5C171095(1545015445)

PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0x8283D0F0(2189676784)

transform: esp-3des esp-sha-hmac ,

in use settings ={Tunnel UDP-Encaps, }

conn id: 2003, flow_id: Onboard VPN:3, sibling_flags 80000040,

crypto map: Virtual-Access1-head-0

sa timing: remaining key lifetime (k/sec): (4215478/3412)

IV size: 8 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

outbound esp sas:

spi: 0x5C171095(1545015445)

transform: esp-3des esp-sha-hmac ,

in use settings ={Tunnel UDP-Encaps, }

conn id: 2004, flow_id: Onboard VPN:4, sibling_flags 80000040,

crypto map: Virtual-Access1-head-0

sa timing: remaining key lifetime (k/sec): (4215482/3412)

IV size: 8 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

Criptografía de última generación

La configuración anterior se proporciona como referencia para mostrar una configuración de funcionamiento mínima. Cisco recomienda utilizar la criptografía de última generación (NGC) siempre que sea posible.

Las recomendaciones actuales para la migración se pueden encontrar aquí: http://www.cisco.com/web/about/security/intelligence/nextgen_crypto.html

Al elegir la configuración de NGC, asegúrese de que tanto el software del cliente como el hardware de cabecera lo admitan. Los routers ISR de segunda generación y ASR 1000 se recomiendan como cabeceras debido a su soporte de hardware para NGC.

En el lado de AnyConnect, a partir de la versión AnyConnect 3.1, se admite el conjunto de algoritmos Suite B de la NSA.

Advertencias y problemas conocidos

- Recuerde tener esta línea configurada en su cabecera IOS: no crypto ikev2 http-url cert. El error producido por IOS y AnyConnect cuando no se configura es bastante engañoso.

- Es posible que el software IOS 15.2M&T temprano con sesión IKEv2 no se active para la autenticación RSA-SIG. Esto puede estar relacionado con el ID de bug de Cisco CSCtx31294 (sólo clientes registrados) . Asegúrese de ejecutar el software 15.2M o 15.2T más reciente.

- En algunos escenarios, es posible que IOS no pueda elegir el punto de confianza correcto para autenticar. Cisco es consciente del problema y se ha corregido a partir de las versiones 15.2(3)T1 y 15.2(4)M1.

- Si AnyConnect está notificando un mensaje similar a este:

The client certificate's cryptographic service provider(CSP)

does not support the sha512 algorithm

A continuación, debe asegurarse de que la configuración de integridad/PRF de sus propuestas IKEv2 coincide con lo que pueden manejar sus certificados. En el ejemplo de configuración anterior, se utiliza SHA-1.

Información Relacionada

- Soporte Técnico y Documentación - Cisco Systems