Cisco - Firewall ASA - Configurando uma VPN Site-to-Site
Autor: Talaricus | Publicado: 2016-07-13T16:55:00-03:00






Neste post estão relacionados os comandos básicos para a criação de um túnel Site-To-Site IPsec IKEv1 via CLI utilizando firewall Cisco ASA. Foram utilizados firewalls de modelo 5510 com versão de software 9.1.

Para a configuração da VPN é necessário seguir algumas etapas:
&nbsp;- Criação da IKE Policy (Fase 1);
&nbsp;- Habilitar a IKE Policy na interface outside;
&nbsp;- Criação de um Tunnel Group;
&nbsp;- Criação do IPsec (Fase 2);
&nbsp;- Criação de uma ACL;
&nbsp;- Configuração do Crypto Map;
&nbsp;- Criação de uma política de exceção de NAT;


CONFIGURAÇÃO

Criação da IKE Policy (Fase 1)


&nbsp;# crypto ikev1 policy &lt;priority&gt;

Na criação de uma política IKEv1 são definidos os parâmetros de criptografia, hash, autenticação, Diffie-Hellman e lifetime. Você precisa atribuir um número de prioridade para cada política. Quanto menor o número maior a prioridade. No momento da negociação de uma SA os pares tentam encontrar uma configuração em comum, entre as várias políticas existentes, respeitando a ordem de prioridade.



&nbsp;# authentication pre-share 

Para autenticação é possível utilizar o RSA através de certificado digital ou chave pré-compartilhada (PSK). Na opção acima está indicado apenas a opção de chave compartilhada.



&nbsp;# encryption &lt;algoritmo de criptografia&gt;

Você deve especificar um algoritmo de criptografia para proteção dos dados para a garantia da privacidade.
Opções:
3des &nbsp;&nbsp;&nbsp; &nbsp;&nbsp; - 3des encryption
aes &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; - aes-128 encryption
aes-192 &nbsp;&nbsp;&nbsp; - aes-192 encryption
aes-256 &nbsp;&nbsp;&nbsp; - aes-256 encryption
des &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; - des encryption



&nbsp;# hash &lt;algoritmo de hash&gt;

Nesse ponto é preciso especificar um algoritmo de hash que será utilizado pelos pares para garantir que as mensagens não tenham sido modificadas durante a transmissão.
Opções:
md5 &nbsp;&nbsp;&nbsp; - set hash md5
sha &nbsp;&nbsp;&nbsp; - set hash sha1



&nbsp;# group &lt;ID do grupo Diffie-Hellman &gt;

Especificar o grupo Diffie-Hellman. O Firewall ASA utiliza esse algoritmo para derivar as chaves de criptografia e hash. O grupo default é 2.
Opções:
1 &nbsp;&nbsp;&nbsp; - Diffie-Hellman group 1
2 &nbsp;&nbsp;&nbsp; - Diffie-Hellman group 2
5 &nbsp;&nbsp;&nbsp; - Diffie-Hellman



&nbsp;# lifetime &lt;valor em segundos&gt;

Especificar o lifetime para a Secure Association. É a definição de um período de tempo para o usa das chaves de criptografia. Ao término desse período a chave é substituída. Se os valores não forem correspondentes, o firewall ASA usará o menor valor. O default é 86400 (24horas)

EXEMPLO
(config)# crypto ikev1 policy 1
(config-ikev1-policy)# encryption aes-256
(config-ikev1-policy)# hash sha
(config-ikev1-policy)# authentication pre-share
(config-ikev1-policy)# group 2
(config-ikev1-policy)# lifetime 28800



Habilitar a IKE Policy na interface outside


&nbsp;# crypto ikev1 enable &lt;nome da interface&gt;

Comando permite habilitar o ikev1 na interface de saída do firewall.


Criação de um Tunnel Group 


&nbsp;# tunnel-group &lt;nome do túnel&gt; type ipsec-l2l
&nbsp;# tunnel-group &lt;nome do túnel&gt; ipsec-attributes
&nbsp;# ikev1 pre-shared-key &lt;chave compartilhada&gt; 


Configuração do Tunnel Group onde são passados os parâmetros do IPsec para conexão. Nessa etapa você informará o endereço IP do par remoto, definirá um nome para o túnel e a chave pré-compartilhada utilizada.



Criação do IPsec (Fase 2)


&nbsp;# crypto ipsec ikev1 transform-set &lt;nome/tag&gt; [opções de criptografia] [opções de autenticação/integridade] 

O transform-set é utilizado pelos pares durante as negociações de uma associação de segurança IPsec com IKEv1. Você precisará indicar um nome para a identificação do transform set e definir os algoritmos de criptografia e hash utilizados para o túnel.

Opções:
esp-3des&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; - esp 3des encryption
esp-aes&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; - esp aes 128 encryption
esp-aes-192&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; - esp aes 192 encryption
esp-aes-256&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; - esp aes 256 encryption
esp-des&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; - esp des encryption
esp-md5-hmac &nbsp;&nbsp; &nbsp; - esp md5 authentication
esp-sha-hmac&nbsp; &nbsp;&nbsp;&nbsp; - esp sha authentication

EXEMPLO
crypto ipsec ikev1 transform-set TSET-AES-SHA esp-aes-256 esp-sha-hmac


Criação de uma ACL


&nbsp;access-list &lt;número&gt; extended permit &lt;protocolo&gt; object &lt;endereço de origem&gt; &lt;endereço de destino&gt;

Criação de uma access list para definição do tráfego que será criptografado e tunelado. No firewall ASA podem ser criados objetos e grupos de objetos para auxiliar nessa atividade. O exemplo utilizado acima é de uma ACL estendida. Essa access list será utilizada na configuração do Crypto Map.


Configuração do Crypto Map


&nbsp;# crypto map &lt;Nome do Crypto Map&gt; &lt;número/id&gt; set peer &lt;endereço ip remoto&gt;

&nbsp;# crypto map &lt;Nome do Crypto Map&gt; &lt;número/id&gt; set ikev1 transform-set &lt;Nome do transform-set&gt;

&nbsp;# crypto map &lt;Nome do Crypto Map&gt; &lt;número/id&gt; match address &lt;access-list&gt;

&nbsp;# crypto map &lt;Nome do Crypto Map&gt; interface outside

Comandos para configuração do cripto map contendo o endereço IP do par remoto, parâmetros do transform set criado na etapa anterior, definição do tráfego de interesse com a indicação da ACL, indicação da interface de saída e parâmetros opcionais para reforçar a segurança.


Criação de uma política de exceção de NAT


&nbsp;# object-group network &lt;nome do objeto&gt;
&nbsp;network-object &lt;endereço de rede&gt; &lt;máscara de rede&gt;




&nbsp;# nat (inside,outside) 1 source static &lt;objeto de origem&gt; &lt;objeto de origem&gt; destination static &lt;objeto de destino&gt;&nbsp; &lt;objeto de destino&gt; no-proxy-arp route-lookup


Nessa etapa você precisará garantir que o tráfego destinado à VPN não receba tratamento de NAT. Você criará uma regra/política de NAT indicando os elementos de origem e destino. Para a criação da política são utilizados objetos ou grupo de objetos que corresponderão a endereços de hosts ou redes. Os objetos de origem e destino são configurados de forma repetida/duplicada.



&nbsp;_________________________________________

As informações contidas neste post são baseadas em documentos publicados no site da Cisco&nbsp;&nbsp;e obtidas através da experiência com o próprio equipamento.&nbsp;Para o exemplo mostrado foi utilizado um Firewall ASA modelo 5510 com versão de software 9.1.