Lösung: So lassen sich dynamische L2L-Tunnel in verschiedene Tunnelgruppen unterteilen

Einführung

Dieses Dokument enthält Informationen dazu, wie dynamische L2L-Tunnel in verschiedene Tunnelgruppen fallen können.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardwareversionen beschränkt.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).

Symptom

Im vorliegenden Beispiel muss der Netzwerkadministrator VPN-Richtlinien erstellen, bei denen verschiedene Remote-VPN-Spokes, die eine Verbindung zu einem Hub herstellen, mit separaten Tunnelgruppen verbunden werden sollen, damit auf jede Remote-Verbindung unterschiedliche VPN-Richtlinien angewendet werden können.

Ursache/Problembeschreibung

In dynamischen L2L-Tunneln verfügt eine Seite des Tunnels (der Initiator) über eine dynamische IP-Adresse. Da der Empfänger nicht weiß, von welchen IP-Adressen er stammt, fallen im Gegensatz zu statischen L2L-Tunneln verschiedene Peers automatisch in die Standard-L2L-Gruppe. In einigen Fällen ist dies jedoch nicht akzeptabel, und der Benutzer muss jedem Peer möglicherweise eine andere Gruppenrichtlinie oder einen vorinstallierten Schlüssel zuweisen.

Bedingungen/Umgebung

Auflösung

Dies lässt sich auf zwei Arten erreichen:

• Zertifikate

  Der Tunnelgruppensuchprozess auf der ASA landet die Verbindungen basierend auf einem Zertifikatfeld, das von den Stationen angezeigt wird.

  no tunnel-group-map enable rules
  tunnel-group-map enable ou
  tunnel-group-map enable ike-id
  tunnel-group-map enable peer-ip
  tunnel-group-map default-group DefaultRAGroup

• PSKs und aggressiver Modus

  Nicht alle Benutzer verfügen über eine PKI-Infrastruktur. Gleiches kann jedoch auch mit einem aggressiven Modus-Parameter wie hier beschrieben erreicht werden:

  HUB

  crypto ipsec transform-set myset esp-3des esp-sha-hmac
  crypto ipsec security-association lifetime seconds 28800
  crypto ipsec security-association lifetime kilobytes 4608000
  crypto dynamic-map mydyn 10 set transform-set myset
  crypto map mymap 65535 ipsec-isakmp dynamic mydyn
  crypto map mymap interface outside
  
  crypto isakmp enable outside
  crypto isakmp policy 10
   authentication pre-share
   encryption 3des
   hash sha
   group 2
   lifetime 86400
  
  tunnel-group SPOKE1 type ipsec-l2l
  tunnel-group SPOKE1 ipsec-attributes
   pre-shared-key cisco123
  tunnel-group SPOKE2 type ipsec-l2l
  tunnel-group SPOKE2 ipsec-attributes
   pre-shared-key cisco456

  SPOKE1

  access-list interesting extended permit ip 
  192.168.15.0 255.255.255.0 192.168.1.0 255.255.255.0
  
  crypto ipsec transform-set myset esp-3des esp-sha-hmac
  crypto ipsec security-association lifetime seconds 28800
  crypto ipsec security-association lifetime kilobytes 4608000
  crypto map mymap 10 match address interesting
  crypto map mymap 10 set peer 10.198.16.141
  crypto map mymap 10 set transform-set myset
  crypto map mymap 10 set phase1-mode aggressive
  crypto map mymap interface outside
  crypto isakmp identity key-id SPOKE1
  crypto isakmp enable outside
  crypto isakmp policy 10
   authentication pre-share
   encryption 3des
   hash sha
   group 2
   lifetime 86400
  
  tunnel-group 10.198.16.141 type ipsec-l2l
  tunnel-group 10.198.16.141 ipsec-attributes
   pre-shared-key cisco123

  SPOKE2

  ip access-list extended interesting
   permit ip 192.168.16.0 0.0.0.255 192.168.1.0 0.0.0.255
  
  crypto isakmp policy 10
   encr 3des
   authentication pre-share
   group 2
  
  crypto isakmp peer address 10.198.16.141
   set aggressive-mode password cisco456
   set aggressive-mode client-endpoint fqdn SPOKE2
  
  crypto ipsec transform-set myset esp-3des esp-sha-hmac
  
  crypto map mymap 10 ipsec-isakmp
   set peer 10.198.16.141
   set transform-set myset
   match address interesting
  
  interface FastEthernet0/0
   crypto map mymap

  HUB-ÜBERPRÜFUNG

  Session Type: LAN-to-LAN Detailed
  
  Connection   : SPOKE2
  Index        : 59                     IP Addr      : 10.198.16.132
  Protocol     : IKE IPsec
  Encryption   : 3DES                   Hashing      : SHA1
  Bytes Tx     : 400                    Bytes Rx     : 400
  Login Time   : 23:45:00 UTC Thu Oct 27 2011
  Duration     : 0h:00m:18s
  IKE Tunnels: 1
  IPsec Tunnels: 1
  
  IKE:
    Tunnel ID    : 59.1
    UDP Src Port : 500                    UDP Dst Port : 500
    IKE Neg Mode : Aggressive             Auth Mode    : preSharedKeys
    Encryption   : 3DES                   Hashing      : SHA1
    Rekey Int (T): 86400 Seconds          Rekey Left(T): 86381 Seconds
    D/H Group    : 2
    Filter Name  :
  
  IPsec:
    Tunnel ID    : 59.2
    Local Addr   : 192.168.1.0/255.255.255.0/0/0
    Remote Addr  : 192.168.16.0/255.255.255.0/0/0
    Encryption   : 3DES                   Hashing      : SHA1
    Encapsulation: Tunnel
    Rekey Int (T): 3600 Seconds           Rekey Left(T): 3581 Seconds
    Rekey Int (D): 4608000 K-Bytes        Rekey Left(D): 4608000 K-Bytes
    Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
    Bytes Tx     : 400                    Bytes Rx     : 400
    Pkts Tx      : 4                      Pkts Rx      : 4
  
  NAC:
    Reval Int (T): 0 Seconds              Reval Left(T): 0 Seconds
    SQ Int (T)   : 0 Seconds              EoU Age(T)   : 21 Seconds
    Hold Left (T): 0 Seconds              Posture Token:
    Redirect URL :
  
  Connection   : SPOKE1
  Index        : 60                     IP Addr      : 10.198.16.142
  Protocol     : IKE IPsec
  Encryption   : 3DES                   Hashing      : SHA1
  Bytes Tx     : 400                    Bytes Rx     : 400
  Login Time   : 23:45:12 UTC Thu Oct 27 2011
  Duration     : 0h:00m:08s
  IKE Tunnels: 1
  IPsec Tunnels: 1
  
  IKE:
    Tunnel ID    : 60.1
    UDP Src Port : 500                    UDP Dst Port : 500
    IKE Neg Mode : Aggressive             Auth Mode    : preSharedKeys
    Encryption   : 3DES                   Hashing      : SHA1
    Rekey Int (T): 86400 Seconds          Rekey Left(T): 86391 Seconds
    D/H Group    : 2
    Filter Name  :
  
  IPsec:
    Tunnel ID    : 60.2
    Local Addr   : 192.168.1.0/255.255.255.0/0/0
    Remote Addr  : 192.168.15.0/255.255.255.0/0/0
    Encryption   : 3DES                   Hashing      : SHA1
    Encapsulation: Tunnel
    Rekey Int (T): 28800 Seconds          Rekey Left(T): 28791 Seconds
    Rekey Int (D): 4608000 K-Bytes        Rekey Left(D): 4608000 K-Bytes
    Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
    Bytes Tx     : 400                    Bytes Rx     : 400
    Pkts Tx      : 4                      Pkts Rx      : 4
  
  NAC:
    Reval Int (T): 0 Seconds              Reval Left(T): 0 Seconds
    SQ Int (T)   : 0 Seconds              EoU Age(T)   : 9 Seconds
    Hold Left (T): 0 Seconds              Posture Token:
    Redirect URL :

Zugehörige Informationen

• Technischer Support und Dokumentation - Cisco Systems