配置ISE 2.2 IPSEC巩固纳季(IOS)通信

Size: px

Start display at page:

Download "配置ISE 2.2 IPSEC巩固纳季(IOS)通信"

众夕
4 years ago
Views:

1 配置 ISE 2.2 IPSEC 巩固纳季 (IOS) 通信目录简介先决条件要求使用的组件背景信息 ISE IPSec 体系结构网络图配置 ikev1 IPSec VPN 使用预先共享密钥 ( 箱外 ) IOS 路由器 CLI 配置配置接口配置 ISAKMP (IKEv1) 策略配置 crypto Isakmp key 配置 VPN 流量的 ACL 利益配置转换集配置加密映射并且应用它对接口 IOS 最终配置 ISE 配置配置在 ISE 的 IP 地址添加纳季到 ISE 的 IPSec 组启用在 ISE 的 IPSEC 设置在 ISE 的 TACACS 策略验证 IOS 路由器 ESR ISE 故障排除配置 FlexVPN 站点到站点 ( 对 SVTI 的 DVTI) 在纳季和 ISE 2.2 之间弹性 VPN 设计优点路由器配置在 ISE 的 ESR 配置 FlexVPN 设计注意事项简介本文描述如何配置和排除故障 TACACS IPSEC 巩固思科身份服务引擎 (ISE) 网络接入设备 ( 纳季 ) 通信 TACACS 流量可以用在路由器和 ISE 之间的站点到站点 (LAN 对 LAN) IPSec 互联网密钥交换版本 2 (IKEv2) 通道加密本文不包括 TACACS 配置零件先决条件

2 要求 Cisco 建议您了解以下主题 : ISE Cisco 路由器将军 IPSec 概念一般 TACACS 概念使用的组件本文档中的信息基于以下软件和硬件版本 : 运行软件版本 15.4(3)S2 的 Cisco ISR4451-X 路由器 Cisco 身份服务引擎版本 2.2 Windows 7 服务包 1 本文档中的信息都是基于特定实验室环境中的设备编写的本文档中使用的所有设备最初均采用原始 ( 默认 ) 配置如果您使用的是真实网络, 请确保您已经了解所有命令的潜在影响背景信息目标是对以 IPSec 使用不安全 MD5 哈希 Radius 和 TACACS 的安全协议考虑到的少量事实 : 思科 ISE 支持在通道和交通方式的 IPSec 当您启用在思科 ISE 接口时的 IPSec, IPSec 隧道创建在思科 ISE 和纳季之间巩固通信您能定义预先共享密钥或使用 X.509 证书 IPSec 认证 IPSec 在 Eth1 可以启用通过 Eth5 接口您只能配置在一个思科 ISE 接口的 IPSec 每个 PSN ISE IPSec 体系结构

一旦加密的信息包由 GE-1 ISE 接口接收, 嵌入式服务路由器 (ESR) 在 Eth0/0 接口拦截他们 interface Ethernet0/0 description e0/0->connection to external NAD ip address 10.48.17.87 255.

3 一旦加密的信息包由 GE-1 ISE 接口接收, 嵌入式服务路由器 (ESR) 在 Eth0/0 接口拦截他们 interface Ethernet0/0 description e0/0->connection to external NAD ip address ip nat outside ip virtual-reassembly in no ip route-cache crypto map radius ESR 解密他们, 并且根据预先配置的 NAT 规则进行地址转换流出的 ( 往纳季 ) RADIUS/TACACS 数据包翻译对 Ethernet0/0 接口地址并且之后加密 ip nat inside source list 1 interface Ethernet0/0 overload ip nat inside source static udp interface Ethernet0/ ip nat inside source static udp interface Ethernet0/ ip nat inside source static udp interface Ethernet0/ ip nat inside source static udp interface Ethernet0/ ip nat inside source static tcp interface Ethernet0/0 49 access-list 1 permit 被注定对 Eth0/0 在 RADIUS/TACACS 端口的接口的数据包应该通过 Eth0/1 对 IP 地址的接口 forwared, 是 ISE 内部地址 Eth0/1 的 ESR 配置 interface Ethernet0/1 description e0/1->tap0 internal connection to ISE ip address ip nat inside ip virtual-reassembly in no ip route-cache 内部 Tap-0 接口的 ISE 配置 :

ISE22-1ek/admin# show interface b tap0 tap0: flags=4163<up,broadcast,running,multicast> mtu 1500 inet 10.1.1.2 netmask 255.255.255.252 broadcast 10.1.1.3 inet6 fe80::6c2e:37ff:fe5f:b609 prefixlen 64 scopeid 0x20<link> ether 6e:2e:37:5f:b6:09 txqueuelen 500 (Ethernet) RX packets 81462 bytes 8927953 (8.

4 ISE22-1ek/admin# show interface b tap0 tap0: flags=4163<up,broadcast,running,multicast> mtu 1500 inet netmask broadcast inet6 fe80::6c2e:37ff:fe5f:b609 prefixlen 64 scopeid 0x20<link> ether 6e:2e:37:5f:b6:09 txqueuelen 500 (Ethernet) RX packets bytes (8.5 MiB) RX errors 0 dropped overruns 0 frame 0 TX packets 105 bytes 8405 (8.2 KiB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 网络图本文档中的信息使用此网络设置 : 配置 ikev1 IPSec VPN 使用预先共享密钥 ( 箱外 ) 此部分描述如何完成 IOS CLI 和 ISE 配置 IOS 路由器 CLI 配置配置接口如果 IOS 路由器接口没有配置, 则应该配置至少广域网接口示例如下 : interface GigabitEthernet0/0/0 ip address negotiation auto no shutdown 保证有连接给应该使用为了设立站点到站点 VPN 通道的远端对等体您能使用 ping 为了验证基本连通性配置 ISAKMP (IKEv1) 策略为了配置 IKEv1 连接的 ISAKMP 策略, 请输入 crypto isakmp policy <priority> in 命令全局配置模式示例如下 : crypto isakmp policy 10 encr aes hash sha256 authentication pre-share group 16 注意 : 您能配置在参加 IPSec 的每对等体的多 IKE 策略当 IKE 协商开始时, 尝试查找在两个配置对等体的一项普通政策, 并且从在远端对等体指定的最高优先级的策略开始

5 配置 crypto Isakmp key 为了配置一预共享认证密钥, 请输入 crypto isakmp key 命令在全局配置模式 : crypto isakmp key Krakow123 address 配置 VPN 流量的 ACL 利益请使用延长或指定访问表为了指定应该由加密保护的流量示例如下 : access-list 101 permit ip 注意 : VPN 流量的 ACL 在 NAT 以后使用源和目的 IP 地址配置转换集为了定义 IPSec 转换集 ( 安全协议和算法的一个可接受组合 ), 请输入 crypto ipsec transform-set 命令在全局配置模式示例如下 : crypto ipsec transform-set SET esp-aes esp-sha256-hmac mode transport 配置加密映射并且应用它对接口为了创建或修改加密映射项和输入加密映射配置模式, 请输入加密映射全局配置命令为了的加密映射项完成, 那里是必须定义在最低的一些方面 : 已保护流量可以转发的 IPSec 对等体必须定义这些是 SA 可以设立的对等体为了指定加密映射项的 IPSec 对等体, 请输入 set peer 命令是可接受为了用在已保护流量上的转换集必须定义为了指定能使用与加密映射项的转换集, 请输入 set transform-set 命令应该保护的流量必须定义为了指定加密映射项的一扩展访问列表, 请输入 address 命令的匹配示例如下 : crypto map MAP 10 ipsec-isakmp set peer set transform-set SET match address 101 最后一步将应用以前定义加密映射集对接口为了应用此, 请输入加密映射接口配置命令 : interface GigabitEthernet0/0 crypto map MAP IOS 最终配置这是最终 IOS 路由器 CLI 配置 : aaa group server tacacs+ ISE_TACACS server name ISE22 aaa authentication login default group ISE_TACACS aaa authorization exec default group ISE_TACACS crypto isakmp policy 10

6 encr aes hash sha256 authentication pre-share group 16 crypto isakmp key Krakow123 address crypto ipsec transform-set SET esp-aes esp-sha256-hmac mode transport crypto map MAP 10 ipsec-isakmp set peer set transform-set SET match address 101 access-list 101 permit ip interface GigabitEthernet0/0/0 ip address negotiation auto no shutdown crypto map MAP 10 ipsec-isakmp set peer set transform-set SET match address 101 tacacs server ISE22 address ipv key cisco ISE 配置配置在 ISE 的 IP 地址在从 CLI 的接口 GE1-GE5 应该配置地址, GE0 不支持 interface GigabitEthernet 1 ip address ipv6 address autoconfig ipv6 enable 注意 : 在 IP 地址以后的应用程序重新启动在接口配置 : 更改 IP 地址的 % 也许引起 ISE 服务重新启动继续 IP 地址更改? Y/N [N] :Y 添加纳季到 ISE 的 IPSec 组导航到 Administration > 网络资源 > 网络设备单击 Add 保证您配置名称, IP 地址, 共享塞克雷终止从纳季挑选 YES 的 IPSec 隧道 IPSEC 网络设备组

一旦纳季被添加, 在 ISE 应该创建额外路由, 保证 RADIUS 流量通过 ESR 并且被加密 : ip route 10

7 一旦纳季被添加, 在 ISE 应该创建额外路由, 保证 RADIUS 流量通过 ESR 并且被加密 : ip route gateway 在 ISE 的 Enable (event) IPSEC 导航对管理 >System > 设置点击 Radius 并且促进在 IPSEC 选择 PSN ( 单个 / 多个 / 所有 ) 选择 Enable 选项, 选择接口并且选择认证方法单击 Save 服务在所选节点这时重新启动

注意, 那, 在服务重新启动 ISE CLI 配置显示配置接口, 不用 IP 地址和在关闭状态后, 预计, 当 ESR ( 嵌入式服务路由器 ) 控制 ISE 接口 interface GigabitEthernet 1 shutdown ipv6 address autoconfig ipv6 enable 一旦服务被重新启动, ESR 功能启用要登陆到 ESR 请键入在 line 命令的

8 注意, 那, 在服务重新启动 ISE CLI 配置显示配置接口, 不用 IP 地址和在关闭状态后, 预计, 当 ESR ( 嵌入式服务路由器 ) 控制 ISE 接口 interface GigabitEthernet 1 shutdown ipv6 address autoconfig ipv6 enable 一旦服务被重新启动, ESR 功能启用要登陆到 ESR 请键入在 line 命令的 esr : ISE22-1ek/admin# esr % Entering ESR 5921 shell % Cisco IOS Software, C5921 Software (C5921_I86-UNIVERSALK9-M), Version 15.5(2)T2, RELEASE SOFTWARE (fc3) % Technical Support: % Copyright (c) Cisco Systems, Inc. Press RETURN to get started, <CTRL-C> to exit ise-esr5921>en ise-esr5921# ESR 附有此加密配置, 是足够有 IPSec 隧道终止与预先共享密钥 : crypto keyring MVPN-spokes pre-shared-key address key Krakow123 crypto isakmp policy 10 encr aes

9 hash sha256 authentication pre-share group 16 crypto isakmp policy 20 encr aes hash sha256 authentication pre-share group 14 crypto isakmp key Krakow123 address crypto isakmp profile MVPN-profile description LAN-to-LAN for spoke router(s) connection keyring MVPN-spokes match identity address crypto ipsec transform-set radius esp-aes esp-sha256-hmac mode tunnel crypto ipsec transform-set radius-2 esp-aes esp-sha256-hmac mode transport crypto dynamic-map MVPN-dynmap 10 set transform-set radius radius-2 crypto map radius 10 ipsec-isakmp dynamic MVPN-dynmap 确保 ESR 有发送的路由加密的信息包 : ip route 设置在 ISE 的 TACACS 策略验证 IOS 路由器在 SSH 会话启动到路由器前, 没有激活 VPN 连接 : ISR4451#sh cry isa sa IPv4 Crypto ISAKMP SA

10 dst src state conn-id status IPv6 Crypto ISAKMP SA 因为使用, 客户端连接到路由器验证来源 ISE 2.2 EKORNEYC-M-K04E:~ ekorneyc$ ssh Password: ISR4451# IOS 在路由器发送 TACACS 数据包, 触发 VPN 会话建立, 一次通道是此输出被看到它确认通道的相位 1 是 UP : ISR4451#sh cry isa sa IPv4 Crypto ISAKMP SA dst src state conn-id status QM_IDLE 1962 ACTIVE IPv6 Crypto ISAKMP SA ISR4451# 第 2 阶段是 UP, 并且数据包加密并且解密 : ISR4451#sh cry ipsec sa interface: GigabitEthernet0/0/0 Crypto map tag: MAP, local addr protected vrf: (none) local ident (addr/mask/prot/port): ( / /0/0) remote ident (addr/mask/prot/port): ( / /0/0) current_peer port 500 PERMIT, flags={origin_is_acl,} #pkts encaps: 48, #pkts encrypt: 48, #pkts digest: 48 #pkts decaps: 48, #pkts decrypt: 48, #pkts verify: 48 #pkts compressed: 0, #pkts decompressed: 0 #pkts not compressed: 0, #pkts compr. failed: 0 #pkts not decompressed: 0, #pkts decompress failed: 0 #send errors 0, #recv errors 0 local crypto endpt.: , remote crypto endpt.: plaintext mtu 1458, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet0/0/0 current outbound spi: 0x64BD51B8( ) PFS (Y/N): N, DH group: none inbound esp sas: spi: 0xFAE51DF8( ) transform: esp-aes esp-sha256-hmac, in use settings ={Transport, } conn id: 2681, flow_id: ESG:681, sibling_flags FFFFFFFF , crypto map: MAP sa timing: remaining key lifetime (k/sec): ( /3127) IV size: 16 bytes replay detection support: Y Status: ACTIVE(ACTIVE) inbound ah sas: inbound pcp sas: outbound esp sas: spi: 0x64BD51B8( ) transform: esp-aes esp-sha256-hmac, in use settings ={Transport, } conn id: 2682, flow_id: ESG:682, sibling_flags FFFFFFFF , crypto map: MAP

11 sa timing: remaining key lifetime (k/sec): ( /3127) IV size: 16 bytes replay detection support: Y Status: ACTIVE(ACTIVE) outbound ah sas: outbound pcp sas: ISR4451# ESR 同样输出可以被检查 ESR, 第一阶段是 UP : ise-esr5921#sh cry isa sa IPv4 Crypto ISAKMP SA dst src state conn-id status QM_IDLE 1002 ACTIVE IPv6 Crypto ISAKMP SA ise-esr5921# 第 2 阶段是 UP, 数据包顺利地加密并且解密 : ise-esr5921#sh cry ipsec sa interface: Ethernet0/0 Crypto map tag: radius, local addr protected vrf: (none) local ident (addr/mask/prot/port): ( / /0/0) remote ident (addr/mask/prot/port): ( / /0/0) current_peer port 500 PERMIT, flags={} #pkts encaps: 48, #pkts encrypt: 48, #pkts digest: 48 #pkts decaps: 48, #pkts decrypt: 48, #pkts verify: 48 #pkts compressed: 0, #pkts decompressed: 0 #pkts not compressed: 0, #pkts compr. failed: 0 #pkts not decompressed: 0, #pkts decompress failed: 0 #send errors 0, #recv errors 0 local crypto endpt.: , remote crypto endpt.: plaintext mtu 1458, path mtu 1500, ip mtu 1500, ip mtu idb Ethernet0/0 current outbound spi: 0xFAE51DF8( ) PFS (Y/N): N, DH group: none inbound esp sas: spi: 0x64BD51B8( ) transform: esp-aes esp-sha256-hmac, in use settings ={Transport, } conn id: 3, flow_id: SW:3, sibling_flags , crypto map: radius sa timing: remaining key lifetime (k/sec): ( /3056) IV size: 16 bytes replay detection support: Y Status: ACTIVE(ACTIVE) inbound ah sas: inbound pcp sas: outbound esp sas: spi: 0xFAE51DF8( ) transform: esp-aes esp-sha256-hmac,

$in use settings ={Transport, } conn id: 4, flow_id: SW:4, sibling_flags 80000000, crypto map: radius sa timing: remaining key lifetime (k/sec):$ 验证指示正常 PAP_ASCII 验证 : 捕获采取在 GE1 ISE 接口和过滤与 ESP 或 TACACS, 确认没有在明文的 TACACS, 并且所有流量加密 : 故障排除普通的 VPN 故障排除技术可以应用排除故障与 IPSEC 涉及的问题您能找到下面有用的文件 :

验证指示正常 PAP_ASCII 验证 : 捕获采取在 GE1 ISE 接口和过滤与 ESP 或 TACACS, 确认没有在明文的 TACACS, 并且所有流量加密 : 故障排除普通的 VPN 故障排除技术可以应用排除故障与 IPSEC 涉及的问题您能找到下面有用的文件 :

12 in use settings ={Transport, } conn id: 4, flow_id: SW:4, sibling_flags , crypto map: radius sa timing: remaining key lifetime (k/sec): ( /3056) IV size: 16 bytes replay detection support: Y Status: ACTIVE(ACTIVE) outbound ah sas: outbound pcp sas: ise-esr5921# ISE Live 验证指示正常 PAP_ASCII 验证 : 捕获采取在 GE1 ISE 接口和过滤与 ESP 或 TACACS, 确认没有在明文的 TACACS, 并且所有流量加密 : 故障排除普通的 VPN 故障排除技术可以应用排除故障与 IPSEC 涉及的问题您能找到下面有用的文件 : 站点到站点 VPN 的 IOS IKEv2 调试与排除故障 TechNote 的 PSKs 站点到站点 VPN 的 ASA IKEv2 调试与 PSKs IPSec 故障排除 : 了解和使用调试指令配置 FlexVPN 站点到站点 ( 对 SVTI 的 DVTI) 在纳季和 ISE 2.2 之间

保护与 FlexVPN 的 RADIUS 流量也是可能的以下拓扑用于下面示例 : FlexVPN 配置是直接的可以找到更多详细信息此处 : http://www.cisco.com/c/en/us/support/docs/security/flexvpn/115782-flexvpn-site-to-site-00.

13 保护与 FlexVPN 的 RADIUS 流量也是可能的以下拓扑用于下面示例 : FlexVPN 配置是直接的可以找到更多详细信息此处 : 弹性 VPN 设计优点您能运行沿所有您的上一个 IPsec VPN 的弹性多数方案允许先前配置和弹性共存弹性 VPN 根据而不是 IKEv2 IKEv1, 改进几乎协商和协议稳定性的所有方面多个功能可达成与一个框架配置方便通过使用神志正常的默认的 - 您在有意义和更新的默认不需要定义策略, 转换集等, IKEv2 构件路由器配置 aaa new-model aaa group server tacacs+ ISE_TACACS server name ISE22_VRF ip vrf forwarding TACACS aaa authentication login default group ISE_TACACS aaa authorization exec default group ISE_TACACS aaa authorization network default local crypto ikev2 authorization policy default route set interface Loopback0 no route set interface crypto ikev2 keyring mykeys peer ISE22 address pre-shared-key Krakow123 crypto ikev2 profile default match identity remote address authentication remote pre-share (with the command authentication remote pre-share key <key> in place keyring is not required) authentication local pre-share keyring local mykeys aaa authorization group psk list default default

14 ip tftp source-interface GigabitEthernet0 crypto ipsec profile default set ikev2-profile default (it is default configuration) interface Loopback0 ip vrf forwarding TACACS ip address interface Tunnel0 ip vrf forwarding TACACS ip address tunnel source GigabitEthernet0/0/0 tunnel mode ipsec ipv4 tunnel destination tunnel protection ipsec profile default interface GigabitEthernet0/0/0 ip address negotiation auto ip route ip tacacs source-interface Loopback0 tacacs server ISE22_VRF address ipv key cisco ISR4451# 在 ISE 的 ESR 配置 aaa new-model aaa group server tacacs+ ISE_TACACS server name ISE22_VRF ip vrf forwarding TACACS aaa authentication login default group ISE_TACACS aaa authorization exec default group ISE_TACACS aaa authorization network default local crypto ikev2 authorization policy default route set interface Loopback0 no route set interface crypto ikev2 keyring mykeys peer ISE22 address pre-shared-key Krakow123 crypto ikev2 profile default

15 match identity remote address authentication remote pre-share (with the command authentication remote pre-share key <key> in place keyring is not required) authentication local pre-share keyring local mykeys aaa authorization group psk list default default ip tftp source-interface GigabitEthernet0 crypto ipsec profile default set ikev2-profile default (it is default configuration) interface Loopback0 ip vrf forwarding TACACS ip address interface Tunnel0 ip vrf forwarding TACACS ip address tunnel source GigabitEthernet0/0/0 tunnel mode ipsec ipv4 tunnel destination tunnel protection ipsec profile default interface GigabitEthernet0/0/0 ip address negotiation auto ip route ip tacacs source-interface Loopback0 tacacs server ISE22_VRF address ipv key cisco ISR4451# FlexVPN 设计注意事项在 G0/1 ISE 接口应该终止在大多数情况下 Radius 连接, 是 E0/0 ESR 接口使用路由, 当曾经加密映射时, 应该定义关注数据流与访问列表, 与 SVTI - 它不会工作, 如果两路由器配置对 ISE 接口一通过通道 ( 加密 ) 和一通过接口 ( 隧道建立 ) 同一个问题适用于路由器配置为此关注数据流 ( 已加密 Radius) 被传达在路由器的 Lo0 ISE 接口和 Tap0 接口之间 ( 没有 nat 在 ESR 在这种情况下必要 ) 因此, ip route 可以配置, 强制 RADIUS 流量通过通道和被加密因为 Tap0 ISE 的接口的 IP 地址修复 ( ) 在 VRF 可以安置在路由器, 保证通信对此 IP 地址仅仅发生为 TACACS 和通过通道

配置 Cisco 827 上带VPN IPSec NAT 超载的PPPoE

配置 Cisco 827 上带VPN IPSec NAT 超载的PPPoE 配置 Cisco 827 上带 VPN IPSec NAT 超载的 PPPoE 目录简介开始使用前规则先决条件使用的组件配置网络图配置验证故障排除故障排除命令相关信息简介 Cisco 827 路由器通常是 DSL 客户端前置设备 (CPE) 在此示例配置中, 思科 827 配置用于以太网点对点协议 (PPPoE 的 ), 用作使用思科 3600 路由器的 LAN-to-LAN IPSec 隧道中的对端