VPN настройка PIX

PIX 6.x: пример конфигурации простого VPN-туннеля PIX-PIX Перевод выполнен профессиональным переводчиком Перевод выполнен профессиональным переводчиком Интерактивный: В данном документе содержится анализ конкретного устройства Cisco.

Содержание Введение Предварительные условия Требования Используемые компоненты Условные обозначения Общие сведения Настройка Схема сети Конфигурация IKE и IPSec Настройки Проверка Команды PIX-01 show Команды PIX-02 show Поиск и устранение неисправностей Команды поиска и устранения неисправностей Дополнительные сведения Введение Эта конфигурация позволяет двум брандмауэрам Cisco Secure PIX поддерживать простой туннель частной виртуальной сети (VPN) из PIX в PIX через Интернет или любую публичную сеть, которая использует IP-безопасность (IPSec).

IPSec - это комбинация открытых стандартов, которые обеспечивают конфиденциальность и целостность данных и проверку их происхождения между равноправными узлами IPSec. Подробнее для оборудования Cisco Security под управлением программного обеспечения версии 7.x см. "PIX/ASA 7.x: пример конфигурации простого VPN-туннеля PIX-to-PIX". Предварительные условия Требования Для данного документа нет особых требований. Используемые компоненты

Стр. 1

Сведения, содержащиеся в данном документе, касаются следующих версий программного и аппаратного обеспечения: Брандмауэр Cisco Secure PIX 515E с программным обеспечением версии 6.3(5) Брандмауэр Cisco Secure PIX 515E с программным обеспечением версии 6.3(5) Условные обозначения См. Технические советы Cisco. Условные обозначения для получения дополнительной информации об условных обозначениях в документах. Общие сведения Процесс согласования IPSec можно разделить на пять шагов, в которые входят два этапа обмена ключами в Интернете (IKE). Туннель IPSec инициирован содержательным трафиком. Трафик считается содержательным при передаче между двумя одноранговыми узлами IPsec. 1. 2.

На втором этапе обмена ключами (IKE) для равноправных узлов IPSec выполняется согласование установленной политики сопоставлений безопасности (SA) IKE. По завершении аутентификации равноправных пользователей создается защищенный туннель с применением протокола ISAKMP (Протокол управления ключами Ассоциации безопасности Интернет). На втором этапе IKE для равноправных узлов IPSec выполняется согласование SA IPSec с применением аутентификации и защищенного туннеля. Согласование общей политики определяет то, как будет установлен туннель IPSec. 3. Туннель IPSec создан, и данные передаются между узлами IPSec на основании параметров IPSec, настроенных в наборах преобразования IPSec. 4.

Разъединение туннеля IPSec выполняется при удалении SA IPSec или по истечении срока их действия. 5. Примечание: согласование IPSec между двумя PIX не работает, если SA на обеих фазах IKE не совпадают на равноправных узлах. Настройка В этом разделе приводятся сведения о настройке функций, описанных в данном документе. Примечание: для поиска дополнительной информации о командах, упоминаемых в данном документе, используйте средство Command Lookup Tool ( только для зарегистрированных заказчиков ). Схема сети В данном документе используется следующая схема сети: Примечание: схемы IP-адресации, которые использованы в данной конфигурации, нельзя применять в Интернете.

Это адреса RFC 1918 , которые использовались в лабораторной среде.

Стр. 2

Конфигурация IKE и IPSec Конфигурация IPSec на каждом PIX должна изменяться только при внесении сведений об одноранговом устройстве и соглашения об именовании для криптокарт и наборов преобразования. Конфигурацию можно проверить с помощью команд write terminal или show . Соответствующие команды: show isakmp , show isakmp policy , show access-list , show crypto IPSec transform-set и show crypto map . Подробнее см. "Справочник по командам брандмауэра Cisco Secure PIX". Для настройки IPSec выполните следующие действия: Настройте IKE для предварительно разрешенных для общего доступа ключей 1. Настройте IPSec 2. Настройте Network Address Translation (NAT) 3. Настройте системные параметры PIX 4.

Настройка IKE для предварительно разрешенных для общего доступа ключей Задайте команду isakmp enable , чтобы включить IKE на конечных интерфейсах IPSec. В этом сценарии внешний интерфейс является конечным интерфейсом IPSec обоих PIX. IKE настроен на обоих PIX. Следующие команды показывают только PIX-01. isakmp enable outside Необходимо определить также политику IKE, которые используются во время согласований IKE. Для этого задайте команду isakmp policy . При задании этой команды необходимо назначить уровень приоритета так, чтобы политики определялись уникально. В этом случае политике будет назначен высочайший приоритет - 1.

Политика также настраивается на использование предварительно разрешенного для общего доступа ключа, алгоритма хэширования MD5 для аутентификации данных, DES для Encapsulating Security Payload (ESP) и группы 1 Диффи-Хельмана. Указывается также использование срока действия SA. isakmp policy 1 authentication pre-share isakmp policy 1 encryption des isakmp policy 1 hash md5 isakmp policy 1 group 1 isakmp policy 1 lifetime 1000 Конфигурацию IKE можно проверить с помощью команды show isakmp policy : PIX-01# show isakmp policy Protection suite of priority 1 encryption algorithm: DES - Data Encryption Standard (56 bit keys). hash algorithm: Message Digest 5 authentication method:

Pre-Shared Key Diffie-Hellman group: #1 (768 bit) lifetime: 1000 seconds , no volume limit Default protection suite encryption algorithm: DES - Data Encryption Standard (56 bit keys). hash algorithm: Secure Hash Standard authentication method: Rivest-Shamir-Adleman Signature Diffie-Hellman group: #1 (768 bit) lifetime: 86400 seconds, no volume limit В конце задайте команду isakmp key , чтобы настроить предварительно разрешенный для общего доступа ключ и назначить адрес однорангового узла. Предварительно разрешенные для общего доступа ключи одноранговых узлов IPSec должны совпадать. Адреса

Стр. 3

различаются, что зависит от IP-адреса удаленного однорангового узла. isakmp key ********** address 172.22.112.12 netmask 255.255.255.255 PIX-01# Политику можно проверить с помощью команд write terminal и show isakmp : PIX-01# show isakmp isakmp enable outside isakmp key ********** address 172.22.112.12 netmask 255.255.255.255 isakmp identity address isakmp policy 1 authentication pre-share isakmp policy 1 encryption des isakmp policy 1 hash md5 isakmp policy 1 group 1 isakmp policy 1 lifetime 1000 Настройка IPSec IPSec инициируется, когда один из PIX получает трафик, предназначенный для внутренней сети другого PIX.

Данный трафик считается содержательным трафиком, для которого требуется защита по протоколу IPSec. Список доступа используется для определения того, какой трафик инициирует соглашения IKE и IPSec. Этот список доступа разрешает трафик, который должен отправляться из сети 10.1.1.x через туннель IPSec в сеть 172.16.1.x. Список доступа в конфигурации противоположного PIX является зеркальным отражением этого списка. Это подходит для PIX-01. access-list 101 permit ip 10.1.1.0 255.255.255.0 172.16.1.0 255.255.255.0 Набор преобразования IPSec определяет политику безопасности, которую одноранговые узлы используют для защиты потока данных.

Преобразование IPSec определяется через использование команды crypto IPSec transform-set . Необходимо выбрать уникальное имя для настройки преобразования, а для определения протоколов безопасности IPSec можно выбрать до трех преобразований. В этой конфигурации используются только два преобразования: esp-hmac-md5 и esp-des . crypto IPSec transform-set chevelle esp-des esp-md5-hmac С помощью криптокарт осуществляется настройка сопоставлений IPSec SA для зашифрованного трафика. Для создания криптокарты необходимо назначить имя карты и номер последовательности. Затем определяются параметры криптокарты.

Показанная криптокарта "transam" использует алгоритм IKE для установления защищенных соединений по протоколу IPSec, шифрует все, что совпадает со списком доступа 101, и использует набор преобразований chevelle для применения своей политики безопасности к трафику. crypto map transam 1 IPSec-isakmp crypto map transam 1 match address 101 crypto map transam 1 set peer 172.22.112.12 crypto map transam 1 set transform-set chevelle После задания криптокарты примените ее к интерфейсу. Следует выбрать конечный интерфейс IPSec. crypto map transam interface outside

Стр. 4