Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.
Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.
Ce document décrit comment configurer un tunnel VPN de site à site FlexVPN entre 2 routeurs Cisco lorsque l'homologue distant a une adresse IP dynamique.
Cisco vous recommande de prendre connaissance des rubriques suivantes :
Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.
Dans cet exemple, la topologie présente un routeur Cisco et un autre routeur Cisco dont l'interface publique comporte une adresse IP dynamique.
Cette section décrit comment configurer le tunnel FlexVPN site à site sur un routeur Cisco lorsque l'homologue distant utilise une adresse IP dynamique.
Dans cet exemple de configuration, la méthode d'authentification utilisée est Pre-Shared-Key (PSK). Cependant, l'infrastructure à clé publique (PKI) peut également être utilisée.
Dans cet exemple, les valeurs Smart Defaults IKEv2 du routeur ont été utilisées. La fonctionnalité Smart Defaults d'IKEv2 réduit la configuration FlexVPN en couvrant la plupart des cas d'utilisation. Les paramètres par défaut intelligents IKEv2 peuvent être personnalisés pour des cas d'utilisation spécifiques, bien que cela ne soit pas recommandé. Les valeurs par défaut intelligentes incluent la stratégie d'autorisation IKEv2, la proposition IKEv2, la stratégie IKEv2, le profil IPsec (Internet Protocol Security) et l'ensemble de transformation IPsec.
Pour vérifier les valeurs par défaut de votre périphérique, vous pouvez exécuter les commandes répertoriées ci-dessous.
Étape 1 - Configurez le porte-clés IKEv2.
crypto ikev2 keyring FLEXVPN_KEYRING peer spoke address 0.0.0.0 0.0.0.0 pre-shared-key local Cisco123 pre-shared-key remote Cisco123
Étape 2 - Configurez le modèle AAA (Authentication, Authorization and Accounting).
aaa new-model
aaa authorization network FLEXVPN local
Étape 3 - Configurez le profil IKEv2.
crypto ikev2 profile FLEXVPN_PROFILE match identity remote key-id Peer123
identity local address 172.16.1.1 authentication remote pre-share authentication local pre-share keyring local FLEXVPN_KEYRING aaa authorization group psk list FLEXVPN default virtual-template 1
Étape 4 - Configurez le profil IPsec.
crypto ipsec profile defualt set ikev2-profile FLEXVPN_PROFILE
Étape 5 - Configurez l’interface de bouclage et l’interface de modèle virtuel.
interface Loopback1 ip address 192.168.1.1 255.255.255.0
interface Virtual-Template1 type tunnel ip unnumbered Loopback1 tunnel protection ipsec profile default
Pour le routeur de filiale, configurez le porte-clés IKEv2, le modèle AAA, le profil IPsec et le profil IKEv2 comme indiqué dans les étapes précédentes avec les modifications de configuration nécessaires et celles décrites ci-dessous :
1. Configurez l’identité locale envoyée au routeur du siège social en tant qu’identificateur.
crypto ikev2 profile FLEXVPN_PROFILE
identity local key-id Peer123
match identity remote address 172.16.1.1 authentication remote pre-share authentication local pre-share keyring local FLEXVPN_KEYRING aaa authorization group psk list FLEXVPN default
Étape 5 - Configurez l’interface de tunnel virtuel statique.
interface Tunnel0 ip address 192.168.1.10 255.255.255.0 tunnel source GigabitEthernet0 tunnel destination 172.16.1.1 tunnel protection ipsec profile default
Dans cet exemple, le routage est défini lors de l'établissement de l'association de sécurité IKEv2 avec la configuration d'une liste de contrôle d'accès. Définit le trafic à envoyer sur le VPN. Vous pouvez également configurer des protocoles de routage dynamique, mais cela ne fait pas partie de la portée de ce document.
Étape 5. Définissez l'ACL.
Routeur du siège :
ip access-list standard Flex-ACL permit 10.10.10.0 255.255.255.0
Routeur de filiale :
ip access-list standard Flex-ACL permit 10.20.20.0 255.255.255.0
Étape 6. Modifiez les profils d'autorisation IKEv2 sur chaque routeur pour définir la liste de contrôle d'accès.
crypto ikev2 authorization policy default route set interface route set access-list Flex-ACL
aaa new-model
aaa authorization network FLEXVPN local
crypto ikev2 authorization policy default route set interface route set access-list Flex-ACL crypto ikev2 keyring FLEXVPN_KEYRING peer spoke address 0.0.0.0 0.0.0.0 pre-shared-key local Cisco123 pre-shared-key remote Cisco123 crypto ikev2 profile FLEXVPN_PROFILE match identity remote key-id Peer123
identity local address 172.16.1.1 authentication remote pre-share authentication local pre-share keyring local FLEXVPN_KEYRING aaa authorization group psk list FLEXVPN default virtual-template 1 crypto ipsec profile default set ikev2-profile FLEXVPN_PROFILE interface Loopback1 ip address 192.168.1.1 255.255.255.0 interface Loopback10 ip address 10.10.10.10 255.255.255.255 interface GigabitEthernet0 ip address 172.16.1.1 255.255.255.0 interface Virtual-Template1 type tunnel ip unnumbered Loopback1 tunnel protection ipsec profile default ip access-list standard Flex-ACL 5 permit 10.10.10.0 255.255.255.0
aaa new-model
aaa authorization network FLEXVPN local
crypto ikev2 authorization policy default route set interface route set access-list Flex-ACL crypto ikev2 keyring FLEXVPN_KEYRING peer HUB address 0.0.0.0 0.0.0.0 pre-shared-key local Cisco123 pre-shared-key remote Cisco123 crypto ikev2 profile FLEXVPN_PROFILE
identity local key-id Peer123
match identity remote address 172.16.1.1 authentication remote pre-share authentication local pre-share keyring local FLEXVPN_KEYRING aaa authorization group psk list FLEXVPN default crypto ipsec profile default set ikev2-profile FLEXVPN_PROFILE interface Loopback20 ip address 10.20.20.20 255.255.255.255 interface Tunnel0 ip address 192.168.1.10 255.255.255.0 tunnel source GigabitEthernet0 tunnel destination 172.16.1.1 tunnel protection ipsec profile default interface GigabitEthernet0 ip address dhcp negotiation auto ip access-list standard Flex-ACL 10 permit 10.20.20.0 255.255.255.0
Pour vérifier le tunnel, vous devez vérifier que les phases 1 et 2 fonctionnent correctement.
Headquarter#show crypto ikev2 sa detail IPv4 Crypto IKEv2 SA Tunnel-id Local Remote fvrf/ivrf Status 1 172.16.1.1/500 172.16.2.1/500 none/none READY Encr: AES-CBC, keysize: 256, PRF: SHA512, Hash: SHA512, DH Grp:19, Auth sign: PSK, Auth verify: PSK Life/Active Time: 86400/74645 sec CE id: 61256, Session-id: 1 Status Description: Negotiation done Local spi: D5129F36B1180175 Remote spi: F9298874F90BFEC7 Local id: 172.16.1.1 Remote id: 172.16.2.1 Local req msg id: 16 Remote req msg id: 31 Local next msg id: 16 Remote next msg id: 31 Local req queued: 16 Remote req queued: 31 Local window: 5 Remote window: 5 DPD configured for 0 seconds, retry 0 Fragmentation not configured. Dynamic Route Update: enabled Extended Authentication not configured. NAT-T is not detected Cisco Trust Security SGT is disabled Initiator of SA : No Remote subnets: -------------> This section shows the traffic to be routed across this tunnel. 192.168.1.10 255.255.255.255 10.20.20.20 255.255.255.255 IPv6 Crypto IKEv2 SA
Phase 2, Ipsec
Headquarter#show crypto ipsec sa interface: Virtual-Access1 Crypto map tag: Virtual-Access1-head-0, local addr 172.16.1.1 protected vrf: (none) local ident (addr/mask/prot/port): (172.16.1.1/255.255.255.255/47/0) remote ident (addr/mask/prot/port): (172.16.2.1/255.255.255.255/47/0) current_peer 172.16.2.1 port 500 PERMIT, flags={origin_is_acl,} #pkts encaps: 225, #pkts encrypt: 0, #pkts digest: 0 #pkts decaps: 225, #pkts decrypt: 225, #pkts verify: 225 #pkts compressed: 0, #pkts decompressed: 0 #pkts not compressed: 0, #pkts compr. failed: 0 #pkts not decompressed: 0, #pkts decompress failed: 0 #send errors 0, #recv errors 0 local crypto endpt.: 172.16.1.1, remote crypto endpt.: 172.16.2.1 plaintext mtu 1458, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet0 current outbound spi: 0xC124D7C1(3240417217) PFS (Y/N): N, DH group: none inbound esp sas: spi: 0xC2AADCAB(3265977515) transform: esp-aes esp-sha-hmac , in use settings ={Transport, } conn id: 2912, flow_id: CSR:912, sibling_flags FFFFFFFF80000008, crypto map: Virtual-Access1-head-0 sa timing: remaining key lifetime (k/sec): (4607993/628) IV size: 16 bytes replay detection support: Y Status: ACTIVE(ACTIVE) inbound ah sas: inbound pcp sas: outbound esp sas: spi: 0xC124D7C1(3240417217) transform: esp-aes esp-sha-hmac , in use settings ={Transport, } conn id: 2911, flow_id: CSR:911, sibling_flags FFFFFFFF80000008, crypto map: Virtual-Access1-head-0 sa timing: remaining key lifetime (k/sec): (4608000/628) IV size: 16 bytes replay detection support: Y Status: ACTIVE(ACTIVE) outbound ah sas: outbound pcp sas:
Vous devez également vérifier que l'interface d'accès virtuel est à l'état UP.
show interface Virtual-Access1 Virtual-Access2 is up, line protocol is up Hardware is Virtual Access interface Interface is unnumbered. Using address of Loopback1 (192.168.1.1) MTU 9934 bytes, BW 100 Kbit/sec, DLY 50000 usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation TUNNEL Tunnel vaccess, cloned from Virtual-Template1 Vaccess status 0x4, loopback not set Keepalive not set Tunnel linestate evaluation up Tunnel source 172.16.1.1, destination 172.16.2.1 Tunnel protocol/transport GRE/IP Key disabled, sequencing disabled Checksumming of packets disabled Tunnel TTL 255, Fast tunneling enabled Tunnel transport MTU 1434 bytes Tunnel transmit bandwidth 8000 (kbps) Tunnel receive bandwidth 8000 (kbps) Tunnel protection via IPSec (profile "default") Last input 20:53:34, output 20:53:34, output hang never Last clearing of "show interface" counters 20:55:43 Input queue: 0/375/0/0 (size/max/drops/flushes); Total output drops: 0 Queueing strategy: fifo Output queue: 0/0 (size/max) 5 minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec 586 packets input, 149182 bytes, 0 no buffer Received 0 broadcasts (0 IP multicasts) 0 runts, 0 giants, 0 throttles 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort 15 packets output, 1860 bytes, 0 underruns Output 0 broadcasts (0 IP multicasts) 0 output errors, 0 collisions, 0 interface resets 0 unknown protocol drops 0 output buffer failures, 0 output buffers swapped out
Cette section décrit comment dépanner l'établissement du tunnel
Effectuez ces étapes si la négociation IKE échoue :
2. Utilisez ces commandes afin de déboguer le processus de négociation de tunnel :
Révision | Date de publication | Commentaires |
---|---|---|
1.0 |
06-Feb-2024 |
Première publication |