Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Priorità VPN

L2L dinamico-statico sempre attivo

Disconnetti tutte le connessioni VPN esistenti in un determinato momento

Introduzione

Cisco IOS® Software Embedded Event Manager (EEM) è un sottosistema potente e flessibile che fornisce il rilevamento degli eventi di rete in tempo reale e l'automazione integrata. Questo documento offre esempi di come EEM può aiutare in diversi scenari VPN

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza della funzione EEM ASA.

Componenti usati

Questo documento si basa sulle appliance Cisco Adaptive Security (ASA) con software versione 9.2(1) o successive.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Embedded Event Manager era originariamente chiamato "background-debug" sull'appliance ASA ed era una funzionalità usata per eseguire il debug di un problema specifico. Dopo l'esame, è stato rilevato che era sufficientemente simile al software Cisco IOS EEM, quindi è stato aggiornato per corrispondere a tale CLI.

La funzionalità EEM consente di eseguire il debug dei problemi e fornisce la registrazione per scopi generici per la risoluzione dei problemi. L'EEM risponde agli eventi nel sistema EEM eseguendo azioni. Sono disponibili due componenti: gli eventi attivati da EEM e le applet del gestore eventi che definiscono le azioni. È possibile aggiungere più eventi a ogni applet di gestione eventi, in modo da richiamare le azioni configurate su di essa.

Priorità VPN

Se si configura una VPN con più indirizzi IP peer per una voce crittografica, la VPN viene stabilita con l'indirizzo IP peer di backup una volta che il peer primario diventa inattivo. Tuttavia, una volta che il peer primario ritorna, la VPN non ha diritto di priorità sull'indirizzo IP primario. È necessario eliminare manualmente l'associazione di protezione esistente per riavviare la negoziazione VPN e passare all'indirizzo IP primario.

ASA 1

crypto map outside_map 10 match address outside_cryptomap_20

crypto map outside_map 10 set peer 209.165.200.225 209.165.201.1

crypto map outside_map 10 set transform-set ESP-AES-256-SHA

crypto map outside_map interface outside

Nell'esempio, viene usata un'aggregazione a livello di sito IP (SLA) per monitorare il tunnel primario. In caso di guasto del peer, il peer di backup subentra, ma lo SLA controlla ancora il server primario; una volta eseguito il backup del database primario, il syslog generato attiva l'EEM per cancellare il tunnel secondario, consentendo all'ASA di negoziare nuovamente con il database primario.

sla monitor 123

type echo protocol ipIcmpEcho 209.165.200.225 interface outside

num-packets 3

frequency 10

sla monitor schedule 123 life forever start-time now

track 1 rtr 123 reachability

route outside 209.165.200.225 255.255.255.0 203.0.113.254 1 track 1

event manager applet PREEMPT

event syslog id 622001 occurs 2

action 1 cli command "clear crypto ipsec sa peer 209.165.101.1"

output none

L2L dinamico-statico sempre attivo

Quando si stabilisce un tunnel LAN-LAN, è necessario conoscere l'indirizzo IP di entrambi i peer IPSec. Se uno degli indirizzi IP non è noto perché è dinamico, ossia è ottenuto tramite DHCP, l'unica alternativa è utilizzare una mappa crittografica dinamica. Il tunnel può essere avviato solo dal dispositivo con l'IP dinamico, poiché l'altro peer non ha idea dell'IP in uso.

Questo è un problema nel caso in cui nessuno si trovi dietro il dispositivo con l'IP dinamico per attivare il tunnel in caso di disattivazione; quindi la necessità di avere sempre questo tunnel. Anche se si imposta il timeout di inattività su none, il problema non verrà risolto perché, in seguito a una nuova chiave, se non è presente traffico in transito sul tunnel, il problema si ridurrà. In quel momento, l'unico modo per far ripartire il tunnel è inviare il traffico proveniente dal dispositivo con l'IP dinamico. La stessa cosa si verifica se il tunnel si interrompe per un motivo imprevisto, ad esempio per un DPD, ecc.

L'EEM invierà un ping ogni 60 secondi attraverso il tunnel corrispondente all'associazione di sicurezza desiderata per mantenere la connessione attiva.

event manager applet VPN-Always-UP

event timer watchdog time 60

action 1 cli command "ping inside 192.168.20.1"

output none

Disconnetti tutte le connessioni VPN esistenti in un determinato momento

L'appliance ASA non può impostare un tempo di interruzione delle sessioni VPN. In ogni caso, lo si fa con EEM. Nell'esempio viene mostrato come scollegare i client VPN e i client Anyconnect alle 17:00

event manager applet VPN-Disconnect

event timer absolute time 17:00:00

action 1 cli command "vpn-sessiondb logoff ra-ikev1-ipsec noconfirm"

action 2 cli command "vpn-sessiondb logoff anyconnect noconfirm"

output none