Solución: Cómo hacer que los túneles L2L dinámicos caigan en diferentes grupos de túnel

Introducción

Este documento provee información sobre cómo hacer que los túneles dinámicos L2L caigan en diversos grupos de túnel.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

Convenciones

Consulte Convenciones de Consejos TécnicosCisco para obtener más información sobre las convenciones del documento.

Síntoma

En el ejemplo de este documento, el administrador de la red necesita crear políticas de VPN donde diferentes radios VPN remotas que se conectan a un hub se conecten a grupos de túnel separados para que se puedan aplicar diferentes políticas de VPN a cada conexión remota.

Descripción de la causa/problema

En los túneles L2L dinámicos, un lado del túnel (el iniciador) tiene una dirección IP dinámica. Debido a que el receptor no sabe de qué direcciones IP provienen, a diferencia de los túneles L2L estáticos, diferentes pares caen automáticamente en el grupo L2L predeterminado. Sin embargo, en algunas situaciones esto no es aceptable y el usuario puede necesitar asignar una política de grupo diferente o una clave previamente compartida a cada par.

Condiciones/Entorno

Resolución

Esto se puede lograr de estas dos maneras:

• Certificados

  El proceso de búsqueda de grupo de túnel en el ASA desembarcará las conexiones basándose en un campo de certificado presentado por los radios.

  no tunnel-group-map enable rules
  tunnel-group-map enable ou
  tunnel-group-map enable ike-id
  tunnel-group-map enable peer-ip
  tunnel-group-map default-group DefaultRAGroup

• PSK y modo agresivo

  No todos los usuarios tendrán una infraestructura PKI. Sin embargo, todavía se puede lograr lo mismo con un parámetro de modo agresivo como se describe aquí:

  HUB

  crypto ipsec transform-set myset esp-3des esp-sha-hmac
  crypto ipsec security-association lifetime seconds 28800
  crypto ipsec security-association lifetime kilobytes 4608000
  crypto dynamic-map mydyn 10 set transform-set myset
  crypto map mymap 65535 ipsec-isakmp dynamic mydyn
  crypto map mymap interface outside
  
  crypto isakmp enable outside
  crypto isakmp policy 10
   authentication pre-share
   encryption 3des
   hash sha
   group 2
   lifetime 86400
  
  tunnel-group SPOKE1 type ipsec-l2l
  tunnel-group SPOKE1 ipsec-attributes
   pre-shared-key cisco123
  tunnel-group SPOKE2 type ipsec-l2l
  tunnel-group SPOKE2 ipsec-attributes
   pre-shared-key cisco456

  SPOKE1

  access-list interesting extended permit ip 
  192.168.15.0 255.255.255.0 192.168.1.0 255.255.255.0
  
  crypto ipsec transform-set myset esp-3des esp-sha-hmac
  crypto ipsec security-association lifetime seconds 28800
  crypto ipsec security-association lifetime kilobytes 4608000
  crypto map mymap 10 match address interesting
  crypto map mymap 10 set peer 10.198.16.141
  crypto map mymap 10 set transform-set myset
  crypto map mymap 10 set phase1-mode aggressive
  crypto map mymap interface outside
  crypto isakmp identity key-id SPOKE1
  crypto isakmp enable outside
  crypto isakmp policy 10
   authentication pre-share
   encryption 3des
   hash sha
   group 2
   lifetime 86400
  
  tunnel-group 10.198.16.141 type ipsec-l2l
  tunnel-group 10.198.16.141 ipsec-attributes
   pre-shared-key cisco123

  SPOKE2

  ip access-list extended interesting
   permit ip 192.168.16.0 0.0.0.255 192.168.1.0 0.0.0.255
  
  crypto isakmp policy 10
   encr 3des
   authentication pre-share
   group 2
  
  crypto isakmp peer address 10.198.16.141
   set aggressive-mode password cisco456
   set aggressive-mode client-endpoint fqdn SPOKE2
  
  crypto ipsec transform-set myset esp-3des esp-sha-hmac
  
  crypto map mymap 10 ipsec-isakmp
   set peer 10.198.16.141
   set transform-set myset
   match address interesting
  
  interface FastEthernet0/0
   crypto map mymap

  VERIFICACIÓN DEL HUB

  Session Type: LAN-to-LAN Detailed
  
  Connection   : SPOKE2
  Index        : 59                     IP Addr      : 10.198.16.132
  Protocol     : IKE IPsec
  Encryption   : 3DES                   Hashing      : SHA1
  Bytes Tx     : 400                    Bytes Rx     : 400
  Login Time   : 23:45:00 UTC Thu Oct 27 2011
  Duration     : 0h:00m:18s
  IKE Tunnels: 1
  IPsec Tunnels: 1
  
  IKE:
    Tunnel ID    : 59.1
    UDP Src Port : 500                    UDP Dst Port : 500
    IKE Neg Mode : Aggressive             Auth Mode    : preSharedKeys
    Encryption   : 3DES                   Hashing      : SHA1
    Rekey Int (T): 86400 Seconds          Rekey Left(T): 86381 Seconds
    D/H Group    : 2
    Filter Name  :
  
  IPsec:
    Tunnel ID    : 59.2
    Local Addr   : 192.168.1.0/255.255.255.0/0/0
    Remote Addr  : 192.168.16.0/255.255.255.0/0/0
    Encryption   : 3DES                   Hashing      : SHA1
    Encapsulation: Tunnel
    Rekey Int (T): 3600 Seconds           Rekey Left(T): 3581 Seconds
    Rekey Int (D): 4608000 K-Bytes        Rekey Left(D): 4608000 K-Bytes
    Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
    Bytes Tx     : 400                    Bytes Rx     : 400
    Pkts Tx      : 4                      Pkts Rx      : 4
  
  NAC:
    Reval Int (T): 0 Seconds              Reval Left(T): 0 Seconds
    SQ Int (T)   : 0 Seconds              EoU Age(T)   : 21 Seconds
    Hold Left (T): 0 Seconds              Posture Token:
    Redirect URL :
  
  Connection   : SPOKE1
  Index        : 60                     IP Addr      : 10.198.16.142
  Protocol     : IKE IPsec
  Encryption   : 3DES                   Hashing      : SHA1
  Bytes Tx     : 400                    Bytes Rx     : 400
  Login Time   : 23:45:12 UTC Thu Oct 27 2011
  Duration     : 0h:00m:08s
  IKE Tunnels: 1
  IPsec Tunnels: 1
  
  IKE:
    Tunnel ID    : 60.1
    UDP Src Port : 500                    UDP Dst Port : 500
    IKE Neg Mode : Aggressive             Auth Mode    : preSharedKeys
    Encryption   : 3DES                   Hashing      : SHA1
    Rekey Int (T): 86400 Seconds          Rekey Left(T): 86391 Seconds
    D/H Group    : 2
    Filter Name  :
  
  IPsec:
    Tunnel ID    : 60.2
    Local Addr   : 192.168.1.0/255.255.255.0/0/0
    Remote Addr  : 192.168.15.0/255.255.255.0/0/0
    Encryption   : 3DES                   Hashing      : SHA1
    Encapsulation: Tunnel
    Rekey Int (T): 28800 Seconds          Rekey Left(T): 28791 Seconds
    Rekey Int (D): 4608000 K-Bytes        Rekey Left(D): 4608000 K-Bytes
    Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes
    Bytes Tx     : 400                    Bytes Rx     : 400
    Pkts Tx      : 4                      Pkts Rx      : 4
  
  NAC:
    Reval Int (T): 0 Seconds              Reval Left(T): 0 Seconds
    SQ Int (T)   : 0 Seconds              EoU Age(T)   : 9 Seconds
    Hold Left (T): 0 Seconds              Posture Token:
    Redirect URL :

Información Relacionada

• Soporte Técnico y Documentación - Cisco Systems