Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Conventions

Configuration

Diagramme du réseau

Configurations

Vérification

Résumé des commandes

Dépannage

Exemple de sortie de débogage

Informations connexes

Introduction

Cet exemple de configuration décrit comment configurer un tunnel VPN LAN à LAN à l'aide de deux pare-feu PIX. PIX Device Manager (PDM) s'exécute sur le PIX distant via l'interface externe du côté public et chiffre le trafic réseau normal et le trafic PDM.

PDM est un outil de configuration basé sur navigateur conçu pour vous aider à configurer, configurer et surveiller votre pare-feu PIX à l'aide d'une interface utilisateur graphique. Vous n'avez pas besoin d'une connaissance approfondie de l'interface de ligne de commande (CLI) du pare-feu PIX.

Conditions préalables

Conditions requises

Ce document nécessite une compréhension de base du chiffrement IPsec et du PDM.

Assurez-vous que tous les périphériques utilisés dans votre topologie répondent aux exigences décrites dans le Guide d'installation matérielle du pare-feu Cisco PIX, version 6.3.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Logiciel Cisco PIX Firewall version 6.3(1) et 6.3(3)

- PIX A et PIX B sont Cisco PIX Firewall 515E

- PIX B utilise PDM version 2.1(1)

Remarque : PDM 3.0 ne fonctionne pas avec les versions du logiciel pare-feu PIX antérieures à la version 6.3. PDM Version 3.0 est une image unique qui prend en charge uniquement PIX Firewall Version 6.3.

Remarque : les configurations NAT de stratégie forcent PDM 3.0 à passer en mode surveillance. La NAT de stratégie est prise en charge dans PDM version 4.0 et ultérieure.

Remarque : Lorsque vous êtes invité à entrer un nom d'utilisateur et un mot de passe pour le gestionnaire de périphériques PIX (PDM), les paramètres par défaut ne requièrent aucun nom d'utilisateur. Si un mot de passe enable a été précédemment configuré, saisissez ce mot de passe en tant que mot de passe PDM. S'il n'y a pas de mot de passe actif, laissez les entrées de nom d'utilisateur et de mot de passe vides et cliquez sur OK pour continuer.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : utilisez l'outil de recherche de commandes (clients enregistrés uniquement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

Diagramme du réseau

Ce document utilise la configuration réseau suivante :

Configurations

Ce document utilise les configurations suivantes :

- PIX A

- PIX B

PIX A

PIX A

PIX Version 6.3(3)

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname PIXA

domain-name cisco.com

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060

fixup protocol skinny 2000

names

!--- Allow traffic from the host PC that is going to !--- run the PDM to the outside interface of PIX B.

access-list 101 permit ip host 172.18.124.102 host 10.1.1.2

!--- Allow traffic from the private network behind PIX A !--- to access the private network behind PIX B.

access-list 101 permit ip 172.18.124.0 255.255.255.0 192.168.10.0 255.255.255.0

pager lines 24

interface ethernet0 10baset

interface ethernet1 10baset

mtu outside 1500

mtu inside 1500

ip address outside 10.1.2.2 255.255.255.0

ip address inside 172.18.124.215 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

pdm history enable

arp timeout 14400

!--- Do not use NAT !--- on traffic which matches access control list (ACL) 101.

nat (inside) 0 access-list 101

!--- Configures a default route towards the gateway router.

route outside 0.0.0.0 0.0.0.0 10.1.2.1 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00

rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

!--- Enable the HTTP server required to run PDM.

http server enable

!--- This is the interface name and IP address of the host or !--- network that initiates the HTTP connection.

http 172.18.124.102 255.255.255.255 inside

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

!--- Implicitly permit any packet that came from an IPsec !--- tunnel and bypass the checking of an associated access-list, conduit, or !--- access-group command statement for IPsec connections.

sysopt connection permit-ipsec

!--- Specify IPsec (phase 2) transform set.

crypto ipsec transform-set vpn esp-3des esp-md5-hmac

!--- Specify IPsec (phase 2) attributes.

crypto map vpn 10 ipsec-isakmp

crypto map vpn 10 match address 101

crypto map vpn 10 set peer 10.1.1.2

crypto map vpn 10 set transform-set vpn

crypto map vpn interface outside

!--- Specify ISAKMP (phase 1) attributes.

isakmp enable outside

isakmp key ******** address 10.1.1.2 netmask 255.255.255.255

isakmp identity address

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption 3des

isakmp policy 10 hash md5

isakmp policy 10 group 1

isakmp policy 10 lifetime 86400

telnet timeout 5

ssh timeout 5

terminal width 80

Cryptochecksum:24e43efa87d6ef07dfabe097b82b5b40

: end

[OK]

PIXA(config)#

PIX B

PIX B

PIX Version 6.3(1)

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname PIXB

domain-name cisco.com

fixup protocol ftp 21

fixup protocol http 80P

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060

fixup protocol skinny 2000

names

!--- Allow traffic from the host PC that is going to !--- run the PDM to the outside interface of PIX B.

access-list 101 permit ip host 10.1.1.2 host 172.18.124.102

!--- Allow traffic from the private network behind PIX A !--- to access the private network behind PIX B.

access-list 101 permit ip 192.168.10.0 255.255.255.0 172.18.124.0 255.255.255.0

pager lines 24

interface ethernet0 10baset

interface ethernet1 10baset

mtu outside 1500

mtu inside 1500

ip address outside 10.1.1.2 255.255.255.0

ip address inside 192.168.10.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

!--- Assists PDM with network topology discovery by associating an external !--- network object with an interface. Note: The pdm location !--- command does not control which host can launch PDM.

pdm location 172.18.124.102 255.255.255.255 outside

pdm history enable

arp timeout 14400

!--- Do not use NAT on traffic which matches ACL 101.

nat (inside) 0 access-list 101

!--- Configures a default route towards the gateway router.

route outside 0.0.0.0 0.0.0.0 10.1.1.1 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00

h323 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

!--- Enables the HTTP server required to run PDM.

http server enable

!--- This is the interface name and IP address of the host or !--- network that initiates the HTTP connection.

http 172.18.124.102 255.255.255.255 outside

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

!--- Implicitly permit any packet that came from an IPsec !--- tunnel and bypass the checking of an associated access-list, conduit, or !--- access-group command statement for IPsec connections.

sysopt connection permit-ipsec

!--- Specify IPsec (phase 2) transform set.

crypto ipsec transform-set vpn esp-3des esp-md5-hmac

!--- Specify IPsec (phase 2) attributes.

crypto map vpn 10 ipsec-isakmp

crypto map vpn 10 match address 101

crypto map vpn 10 set peer 10.1.2.2

crypto map vpn 10 set transform-set vpn

crypto map vpn interface outside

isakmp enable outside

!--- Specify ISAKMP (phase 1) attributes.

isakmp key ******** address 10.1.2.2 netmask 255.255.255.255

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption 3des

isakmp policy 10 hash md5

isakmp policy 10 group 1

isakmp policy 10 lifetime 86400

telnet timeout 5

ssh timeout 5

terminal width 80

Cryptochecksum:d5ba4da0d610d0c6140e1b781abef9d0

: end

[OK]

PIXB(config)#

Vérification

Cette section présente des informations que vous pouvez utiliser pour vous assurer que votre configuration fonctionne correctement.

L'Outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .

- show crypto isakmp sa/show isakmp sa - Vérifie que la phase 1 est établie.

- show crypto ipsec sa - Vérifie que la phase 2 s'établit.

- show crypto engine : affiche les statistiques d'utilisation du moteur de cryptographie utilisé par le pare-feu.

Résumé des commandes

Une fois les commandes VPN entrées dans les PIXes, un tunnel VPN doit s'établir lorsque le trafic passe entre le PC PDM (172.18.124.102) et l'interface externe de PIX B (10.1.1.2). À ce stade, le PC PDM peut accéder à https://10.1.1.2 et atteindre l'interface PDM de PIX B via le tunnel VPN.

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration. Référez-vous à Dépannage de PIX Device Manager pour résoudre les problèmes liés au PDM.

Exemple de sortie de débogage

show crypto isakmp sa

Ce résultat montre un tunnel formé entre 10.1.1.2 et 10.1.2.2.

PIXA#show crypto isakmp sa

Total     : 1

Embryonic : 0

dst         src         state     pending    created

10.1.1.2    10.1.2.2    QM_IDLE        0           1

show crypto ipsec sa

Ce résultat montre un tunnel qui passe le trafic entre 10.1.1.2 et 172.18.124.102.

PIXA#show crypto ipsec sa

interface: outside

Crypto map tag: vpn, local addr. 10.1.2.2

local  ident (addr/mask/prot/port): (172.18.124.102/255.255.255.255/0/0)

remote ident (addr/mask/prot/port): (10.1.1.2/255.255.255.255/0/0)

current_peer: 10.1.1.2

>     PERMIT, flags={origin_is_acl,}

#pkts encaps: 14472, #pkts encrypt: 14472, #pkts digest 14472

#pkts decaps: 16931, #pkts decrypt: 16931, #pkts verify 16931

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0,

#pkts decompress failed: 0, #send errors 9, #recv errors 0

local crypto endpt.: 10.1.2.2, remote crypto endpt.: 10.1.1.2

path mtu 1500, ipsec overhead 56, media mtu 1500

current outbound spi: 4acd5c2a

inbound esp sas:

spi: 0xcff9696a(3489229162)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2, crypto map: vpn

sa timing: remaining key lifetime (k/sec): (4600238/15069)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0x4acd5c2a(1254972458)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 1, crypto map: vpn

sa timing: remaining key lifetime (k/sec): (4607562/15069)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

Informations connexes

- Référence des commandes PIX

- Dispositifs de sécurité de la gamme Cisco PIX 500

- Demandes de commentaires (RFC)

- Support et documentation techniques - Cisco Systems