Contenu

Introduction

Conditions préalables

Conditions requises

Composants utilisés

Conventions

Configuration

Diagramme du réseau

Configuration ASDM du tunnel VPN

Configuration du NTP ASDM

Configuration ASA1 CLI

Configuration ASA2 CLI

Vérifiez

Dépannez

Dépannage des commandes

Informations connexes

Introduction

Ce document fournit à une configuration d'échantillon pour synchroniser l'horloge de l'appliance de sécurité adaptable (ASA) un Serveur de synchronisation de réseau utilisant le Protocole NTP (Network Time Protocol). ASA1 communique directement avec le Serveur de synchronisation de réseau. Le trafic de NTP des passages ASA2 par un tunnel d'IPsec à ASA1, qui consécutivement en avant les paquets au Serveur de synchronisation de réseau.

Reportez-vous à la section ASA/PIX : NTP avec et sans un exemple de configuration de tunnel d'IPsec pour une configuration identique sur Cisco ASA avec des versions 8.2 et antérieures.

Remarque: Un routeur peut également être utilisé en tant que serveur de NTP pour synchroniser l'horloge de dispositifs de sécurité ASA.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Cisco ASA avec la version 8.3 et ultérieures

- Version 6.x et ultérieures du Cisco Adaptive Security Device Manager (ASDM)

Remarque: Référez-vous à Permettre l'accès HTTPS pour l'ASDM afin de permettre l'ASA d'être configuré par l'ASDM.

Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Configuration

Diagramme du réseau

Ce document utilise la configuration réseau suivante :

Remarque: Les schémas d'adressage d'IP utilisés dans cette configuration ne sont pas légalement routables sur Internet. Ce sont des adresses RFC 1918 qui ont été utilisées dans un environnement de laboratoire.

- Configuration ASDM du tunnel VPN

- Configuration du NTP ASDM

- Configuration ASA1 CLI

- Configuration ASA2 CLI

Configuration ASDM du tunnel VPN

Pour créer le tunnel VPN, exécutez les étapes suivantes :

1. Ouvrez votre navigateur et tapez le <Inside_IP_Address_of_ASA> de https:// afin d'accéder à l'ASDM sur l'ASA.

Assurez-vous d'autoriser tous les avertissements que votre navigateur vous donne en ce qui concerne l'authenticité de certificat SSL. Le nom d'utilisateur par défaut et le mot de passe sont tous deux vides.

L'ASA présente cette fenêtre afin de permettre le téléchargement de l'application ASDM.

Cet exemple charge l'application sur l'ordinateur local et ne fonctionne pas dans une applet Java.

2. Cliquez sur Download ASDM Launcher and Start ASDM pour télécharger le programme d'installation de l'application ASDM.

3. Une fois le lanceur d'ASDM téléchargé, exécutez les étapes stipulées par les invites afin d'installer le logiciel et d'exécuter le lanceur de Cisco ASDM.

4. Entrez l'adresse IP pour l'interface que vous avez configurée avec la commande http -, ainsi qu'un nom d'utilisateur et un mot de passe, le cas échéant.

Cet exemple utilise le nom d'utilisateur et mot de passe vide par défaut :

5. Exécutez l'assistant VPN une fois que l'application ASDM se connecte à l'ASA.

6. Choisissez le site à site pour le type de tunnel VPN d'IPsec, et cliquez sur Next.

7. Spécifiez l'adresse IP externe du partenaire distant. Écrivez les informations d'authentification pour l'utiliser, qui sont la clé pré-partagée dans cet exemple :

8. Spécifiez les attributs à utiliser pour l'IKE, également connus sous le nom de « Phase 1 ». Ces attributs doivent être identiques des deux côtés du tunnel.

9. Spécifiez les attributs à utiliser pour IPsec, également connus sous le nom de « Phase 2 ». Ces attributs doivent correspondre des deux côtés.

10. Spécifiez les hôtes dont le trafic devrait être autorisé à passer par le tunnel VPN. Dans cette étape, vous devez fournir les réseaux locaux et les réseaux distants pour le tunnel VPN. Cliquez sur le bouton à côté des réseaux locaux (comme affiché ici) afin de choisir l'adresse de réseau local du menu déroulant :

11. Choisissez l'adresse de réseau local, et cliquez sur OK.

12. Cliquez sur le bouton à côté des réseaux distants afin de choisir l'adresse de réseau distant du menu déroulant.

13. Choisissez l'adresse de réseau distant, et cliquez sur OK.

Remarque: Si vous n'avez pas le réseau distant dans la liste, alors le réseau doit être ajouté à la liste. Cliquez sur Add afin de faire ainsi.

14. Activez la case à cocher Exempt ASA side host/network from address translation afin d'empêcher le trafic du tunnel de subir la traduction d'adresses de réseau. Cliquez sur Next (Suivant).

15. Les attributs définis par l'assistant VPN sont affichés dans ce récapitulatif. Revérifiez la configuration et cliquez sur Finish quand vous êtes satisfait que les configurations sont correctes.

Configuration du NTP ASDM

Terminez-vous ces étapes afin de configurer le NTP sur l'appliance de sécurité Cisco :

1. Choisissez la configuration dans la page d'accueil ASDM.

2. Choisissez l'installation de périphérique > l'heure système > le NTP afin d'ouvrir la page de configuration de NTP de l'ASDM.

3. Cliquez sur Add afin d'ajouter un serveur de NTP et fournir les attributs requis tels que le nom d'adresse IP, d'interface (intérieur ou extérieur), le nombre de clé, et la valeur principale pour l'authentification dans la nouvelle fenêtre qui monte. Cliquez sur OK.

Remarque: Le nom d'interface devrait être choisi en tant qu'à l'intérieur pour ASA1 et extérieur pour ASA2.

Remarque: La clé d'authentification de ntp devrait être identique dans l'ASA et le serveur de NTP.

La configuration d'attribut d'authentification dans le CLI pour ASA1 et ASA2 sont affichés ici :

ASA1#ntp authentication-key 1 md5 cisco

ntp trusted-key 1

ntp server 172.22.1.161 key 1 source inside

ASA2#ntp authentication-key 1 md5 cisco

ntp trusted-key 1

ntp server 172.22.1.161 key 1 source outside

4. Cliquez sur l'authentification de NTP d'enable de case à cocher et cliquez sur Apply, qui se termine la tâche de configuration de NTP.

Configuration ASA1 CLI

ASA1

ASA#show run

: Saved

ASA Version 8.3(1)

!

hostname ASA1

domain-name default.domain.invalid

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet0

nameif outside

security-level 0

ip address 10.10.10.1 255.255.255.0

!--- Configure the outside interface. !

interface Ethernet1

nameif inside

security-level 100

ip address 172.22.1.163 255.255.255.0

!--- Configure the inside interface. !

!-- Output suppressed !

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

dns server-group DefaultDNS

domain-name default.domain.invalid

access-list inside_nat0_outbound extended permit ip 172.22.1.0 255.255.255.0 172

.16.1.0 255.255.255.0

!--- This access list (inside_nat0_outbound) is used !--- with the nat zero command. This prevents traffic which !--- matches the access list from undergoing network address translation (NAT). !--- The traffic specified by this ACL is traffic that is to be encrypted and !--- sent across the VPN tunnel. This ACL is intentionally !--- the same as (outside_cryptomap_20). !--- Two separate access lists should always be used in this configuration.

access-list outside_cryptomap_20 extended permit ip 172.22.1.0 255.255.255.0 172

.16.1.0 255.255.255.0

!--- This access list (outside_cryptomap_20) is used !--- with the crypto map outside_map !--- to determine which traffic should be encrypted and sent !--- across the tunnel. !--- This ACL is intentionally the same as (inside_nat0_outbound). !--- Two separate access lists should always be used in this configuration.

pager lines 24

mtu inside 1500

mtu outside 1500

no failover

asdm image flash:/asdm-631.bin

!--- Enter this command to specify the location of the ASDM image.

asdm history enable

arp timeout 14400

object network obj-local

subnet 172.22.1.0 255.255.255.0

object network obj-remote

subnet 172.16.1.0 255.255.255.0

nat (inside,outside) 1 source static obj-local obj-local destination static

obj-remote obj-remote

!--- NAT 0 prevents NAT for networks specified in !--- the ACL inside_nat0_outbound.

route outside 0.0.0.0 0.0.0.0 10.10.10.2 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00

timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

http server enable

!--- Enter this command in order to enable the HTTPS server !--- for ASDM.

http 172.22.1.1 255.255.255.255 inside

!--- Identify the IP addresses from which the security appliance !--- accepts HTTPS connections.

no snmp-server location

no snmp-server contact

!--- PHASE 2 CONFIGURATION ---! !--- The encryption types for Phase 2 are defined here.

crypto ipsec transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac

!--- Define the transform set for Phase 2.

crypto map outside_map 20 match address outside_cryptomap_20

!--- Define which traffic should be sent to the IPsec peer.

crypto map outside_map 20 set peer 10.20.20.1

!--- Sets the IPsec peer

crypto map outside_map 20 set transform-set ESP-AES-256-SHA

!--- Sets the IPsec transform set "ESP-AES-256-SHA" !--- to be used with the crypto map entry "outside_map".

crypto map outside_map interface outside

!--- Specifies the interface to be used with !--- the settings defined in this configuration.

!--- PHASE 1 CONFIGURATION ---! !--- This configuration uses isakmp policy 10. !--- Policy 65535 is included in the config by default. !--- The configuration commands here define the Phase !--- 1 policy parameters that are used.

isakmp enable outside

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption aes-256

isakmp policy 10 hash sha

isakmp policy 10 group 5

isakmp policy 10 lifetime 86400

isakmp policy 65535 authentication pre-share

isakmp policy 65535 encryption 3des

isakmp policy 65535 hash sha

isakmp policy 65535 group 2

isakmp policy 65535 lifetime 86400

tunnel-group 10.20.20.1 type ipsec-l2l

!--- In order to create and manage the database of connection-specific !--- records for ipsec-l2l—IPsec (LAN-to-LAN) tunnels, use the command !--- tunnel-group in global configuration mode. !--- For L2L connections, the name of the tunnel group MUST be the IP !--- address of the IPsec peer.

tunnel-group 10.20.20.1 ipsec-attributes

pre-shared-key *

!--- Enter the pre-shared-key in order to configure the !--- authentication method.

telnet timeout 5

ssh timeout 5

console timeout 0

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map global_policy

class inspection_default

inspect dns maximum-length 512

inspect ftp

inspect h323 h225

inspect h323 ras

inspect netbios

inspect rsh

inspect rtsp

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

inspect sip

inspect xdmcp

!

service-policy global_policy global

!--- Define the NTP server authentication-key,Trusted-key !--- and the NTP server address for configuring NTP.

ntp authentication-key 1 md5 *

ntp trusted-key 1

!--- The NTP server source is to be mentioned as inside for ASA1

ntp server 172.22.1.161 key 1 source inside

Cryptochecksum:ce7210254f4a0bd263a9072a4ccb7cf7

: end

Ce vidéo signalé à la Communauté de support de Cisco explique avec une démonstration, la procédure pour configurer l'ASA comme client de NTP :

Comment configurer une appliance de sécurité adaptable Cisco (ASA) pour synchroniser son horloge avec un serveur de Protocole NTP (Network Time Protocol).

Configuration ASA2 CLI

ASA2

ASA Version 8.3(1)

!

hostname ASA2

domain-name default.domain.invalid

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet0

nameif outside

security-level 0

ip address 10.20.20.1 255.255.255.0

!

interface Ethernet1

nameif inside

security-level 100

ip address 172.16.1.1 255.255.255.0

!

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

dns server-group DefaultDNS

domain-name default.domain.invalid

access-list inside_nat0_outbound extended permit ip 172.16.1.0 255.255.255.0 172

.22.1.0 255.255.255.0

!--- Note that this ACL is a mirror of the inside_nat0_outbound !--- ACL on ASA1.

access-list outside_cryptomap_20 extended permit ip 172.16.1.0 255.255.255.0 172

.22.1.0 255.255.255.0

!--- Note that this ACL is a mirror of the outside_cryptomap_20 !--- ACL on ASA1.

pager lines 24

mtu inside 1500

mtu outside 1500

no failover

asdm image flash:/asdm-631.bin

no asdm history enable

arp timeout 14400

object network obj-local

subnet 172.22.1.0 255.255.255.0

object network obj-remote

subnet 172.16.1.0 255.255.255.0

nat (inside,outside) 1 source static obj-local obj-local destination static

obj-remote obj-remote

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00

timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

http server enable

http 0.0.0.0 0.0.0.0 inside

no snmp-server location

no snmp-server contact

crypto ipsec transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac

crypto map outside_map 20 match address outside_cryptomap_20

crypto map outside_map 20 set peer 10.10.10.1

crypto map outside_map 20 set transform-set ESP-AES-256-SHA

crypto map outside_map interface outside

isakmp enable outside

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption aes-256

isakmp policy 10 hash sha

isakmp policy 10 group 5

isakmp policy 10 lifetime 86400

tunnel-group 10.10.10.1 type ipsec-l2l

tunnel-group 10.10.10.1 ipsec-attributes

pre-shared-key *

telnet timeout 5

ssh timeout 5

console timeout 0

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map global_policy

class inspection_default

inspect dns maximum-length 512

inspect ftp

inspect h323 h225

inspect h323 ras

inspect netbios

inspect rsh

inspect rtsp

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

inspect sip

inspect xdmcp

!

service-policy global_policy global

!--- Define the NTP server authentication-key,Trusted-key !--- and the NTP server address for configuring NTP.

ntp authentication-key 1 md5 *

ntp trusted-key 1

!--- The NTP server source is to be mentioned as outside for ASA2.

ntp server 172.22.1.161 key 1 source outside

Cryptochecksum:d5e2ee898f5e8bd28e6f027aeed7f41b

: end

ASA#

Vérifiez

Cette section fournit des informations qui vous permettront de vérifier que votre configuration fonctionne correctement.

Certaines commandes show sont prises en charge par l'Output Interpreter Tool (clients enregistrés uniquement), qui vous permet de voir une analyse de la sortie de la commande show.

- show ntp status - Affiche les informations d'horloge de NTP.

ASA1#show ntp status

Clock is synchronized, stratum 2, reference is 172.22.1.161

nominal freq is 99.9984 Hz, actual freq is 99.9983 Hz, precision is 2**6

reference time is ccf22b77.f7a6e7b6 (13:28:23.967 UTC Tue Dec 16 2008)

clock offset is 34.8049 msec, root delay is 4.78 msec

root dispersion is 60.23 msec, peer dispersion is 25.41 msec

- show ntp associations [détail] - Affiche les associations configurées de Serveur de synchronisation de réseau.

ASA1#show ntp associations detail

172.22.1.161 configured, authenticated, our_master, sane, valid, stratum 1

ref ID .LOCL., time ccf2287d.3668b946 (13:15:41.212 UTC Tue Dec 16 2008)

our mode client, peer mode server, our poll intvl 64, peer poll intvl 64

root delay 0.00 msec, root disp 0.03, reach 7, sync dist 23.087

delay 4.52 msec, offset 9.7649 msec, dispersion 20.80

precision 2**19, version 3

org time ccf22896.f1a4fca3 (13:16:06.943 UTC Tue Dec 16 2008)

rcv time ccf22896.efb94b28 (13:16:06.936 UTC Tue Dec 16 2008)

xmt time ccf22896.ee5691dc (13:16:06.931 UTC Tue Dec 16 2008)

filtdelay =     4.52    4.68    4.61    0.00    0.00    0.00    0.00    0.00

filtoffset =    9.76    7.09    3.85    0.00    0.00    0.00    0.00    0.00

filterror =    15.63   16.60   17.58 14904.3 14904.3 14904.3 14904.3 14904.3

Dépannez

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Dépannage des commandes

Certaines commandes show sont prises en charge par l'Output Interpreter Tool (clients enregistrés uniquement), qui vous permet de voir une analyse de la sortie de la commande show.

Remarque: Avant d'émettre des commandes de débogage, référez-vous aux informations importantes sur des commandes de debug.

- validité de debug ntp - Validité d'horloge de ntp peer d'affichages.

C'est sortie de débogage de la non-concordance principale :

NTP: packet from 172.22.1.161 failed validity tests 10

Authentication failed

- paquet de debug ntp - Les informations de paquet de NTP d'affichages.

Quand il n'y a aucune réponse du serveur, seulement le paquet de xmit de NTP est vu sur l'ASA sans le paquet récepteur de NTP.

ASA1# NTP: xmit packet to 172.22.1.161:

leap 0, mode 3, version 3, stratum 2, ppoll 64

rtdel 012b (4.562), rtdsp 0cb6 (49.652), refid ac1601a1 (172.22.1.161)

ref ccf22916.f1211384 (13:18:14.941 UTC Tue Dec 16 2008)

org ccf22916.f426232d (13:18:14.953 UTC Tue Dec 16 2008)

rec ccf22916.f1211384 (13:18:14.941 UTC Tue Dec 16 2008)

xmt ccf22956.f08ee8b4 (13:19:18.939 UTC Tue Dec 16 2008)

NTP: rcv packet from 172.22.1.161 to 172.22.1.163 on inside:

leap 0, mode 4, version 3, stratum 1, ppoll 64

rtdel 0000 (0.000), rtdsp 0002 (0.031), refid 4c4f434c (76.79.67.76)

ref ccf2293d.366a4808 (13:18:53.212 UTC Tue Dec 16 2008)

org ccf22956.f08ee8b4 (13:19:18.939 UTC Tue Dec 16 2008)

rec ccf22956.f52e480e (13:19:18.957 UTC Tue Dec 16 2008)

xmt ccf22956.f5688c29 (13:19:18.958 UTC Tue Dec 16 2008)

inp ccf22956.f982bcd9 (13:19:18.974 UTC Tue Dec 16 2008)

Informations connexes

- Cisco Adaptive Security Device Manager

- Dispositifs de sécurité adaptatifs de la gamme Cisco ASA 5500

- Demandes de commentaires (RFC)

- Support et documentation techniques - Cisco Systems