目錄

簡介

必要條件

需求

採用元件

慣例

設定

網路圖表

配置PIX

配置VPN 3000 Concentrator

驗證

檢驗PIX

驗證VPN 3000 Concentrator

疑難排解

排除PIX故障

VPN 3000 Concentrator故障排除

PFS

相關資訊

簡介

本文檔提供了如何在PIX防火牆7.x和Cisco VPN 3000集中器之間建立LAN到LAN IPsec VPN隧道的配置示例。

請參閱採用TACACS+驗證的PIX/ASA 7.x增強型分支到客戶端VPN配置示例，以瞭解更多有關PIX之間的LAN到LAN隧道也允許VPN客戶端通過中心PIX訪問分支PIX的方案的資訊。

請參閱PIX/ASA 7.x安全裝置到IOS路由器LAN到LAN IPsec隧道配置示例，以瞭解有關PIX/ASA和IOS路由器之間的LAN到LAN隧道的方案的詳細資訊。

必要條件

需求

嘗試此組態之前，請確保符合以下要求：

- 本文檔需要對IPsec協定有基本的瞭解。請參閱IPsec加密簡介以瞭解有關IPsec的詳細資訊。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Cisco PIX 500系列安全裝置，軟體版本為7.1(1)

- Cisco VPN 3060集中器及軟體版本4.7.2(B)

註：PIX 506/506E不支援7.x。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

要配置PIX 6.x，請參閱Cisco VPN 3000集中器和PIX防火牆之間的LAN到LAN IPSec隧道配置示例。

慣例

請參閱思科技術提示慣例以瞭解更多有關文件慣例的資訊。

設定

本節提供用於設定本文件中所述功能的資訊。

- 配置PIX

- 配置VPN 3000 Concentrator

註：使用Command Lookup Tool(僅供已註冊客戶使用)可獲取本節中使用的命令的詳細資訊。

網路圖表

本檔案會使用以下網路設定：

配置PIX

PIX

PIX7#show running-config

: Saved

:

PIX Version 7.1(1)

!

hostname PIX7

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

!--- Configures the outside interface of the PIX.

!--- By default, the security level for the outside interface is 0.

interface Ethernet0

nameif outside

security-level 0

ip address 10.1.1.1 255.255.255.0

!

!--- Configures the inside interface of the PIX.

!--- By default, the security level for the inside interface is 100.

interface Ethernet1

nameif inside

security-level 100

ip address 192.168.1.1 255.255.255.0

!

!--- Defines the IP addresses that should not be NATed.

access-list nonat extended permit ip 192.168.1.0 255.255.255.0 172.16.0.0 255.255.0.0

access-list outside extended permit icmp any any

!--- Defines the IP addresses that can communicate via the IPsec tunnel.

access-list 101 extended permit ip 192.168.1.0 255.255.255.0 172.16.0.0 255.255.0.0

access-list OUT extended permit ip any any

pager lines 24

mtu outside 1500

mtu inside 1500

no failover

asdm image flash:/asdm-504.bin

no asdm history enable

arp timeout 14400

nat (inside) 0 access-list nonat

access-group OUT in interface outside

route outside 0.0.0.0 0.0.0.0 10.1.1.2 1

!--- Output is suppressed.

!--- These are the IPsec parameters that are negotiated with the client.

crypto ipsec transform-set my-set esp-aes-256 esp-sha-hmac

crypto map mymap 20 match address 101

crypto map mymap 20 set peer 172.30.1.1

crypto map mymap 20 set transform-set my-set

crypto map mymap interface outside

!--- These are the Phase I parameters negotiated by the two peers.

isakmp enable outside

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption aes-256

isakmp policy 10 hash sha

isakmp policy 10 group 2

isakmp policy 10 lifetime 86400

!--- A tunnel group consists of a set of records !--- that contain tunnel connection policies. The two attributes !--- are General and IPsec. Use the remote peer IP address as the !--- name of the Tunnel group. In this example 172.30.1.1 is the peer IP address. !--- Refer to Tunnel Group for more information.

tunnel-group 172.30.1.1 type ipsec-l2l

tunnel-group 172.30.1.1 ipsec-attributes

pre-shared-key *

!--- Output is suppressed.

!

: end

PIX7#

配置VPN 3000 Concentrator

VPN集中器出廠設定中未預先設定IP地址。您必須使用控制檯埠來配置初始配置，這些配置是基於選單的命令列介面(CLI)。 有關如何通過控制檯進行配置的資訊，請參閱通過控制檯配置VPN集中器。

在Ethernet 1（專用）介面上配置IP地址後，可以通過CLI或通過瀏覽器介面配置其餘地址。瀏覽器介面同時支援HTTP和HTTP over Secure Socket Layer(SSL)。

這些引數是通過控制檯配置的：

- 時間/日期 — 正確的時間和日期非常重要。它們有助於確保日誌記錄和會計分錄準確無誤，並且系統可以建立有效的安全證書。

- Ethernet 1(private)interface - IP地址和掩碼(來自網路拓撲172.16.5.100/16)。

現在，可從內部網路通過HTML瀏覽器訪問VPN集中器。有關如何在CLI模式下配置VPN集中器的資訊，請參閱使用命令列介面進行快速配置。

從Web瀏覽器鍵入專用介面的IP地址以啟用GUI介面。

按一下save needed圖示將更改儲存到記憶體。出廠預設使用者名稱和密碼是admin，區分大小寫。

1. 啟動GUI並選擇Configuration > Interfaces以配置公共介面和預設網關的IP地址。

2. 選擇Configuration > Policy Management > Traffic Management > Network Lists > Add or Modify以建立定義要加密的流量的網路清單。

在此處新增本地和遠端網路。IP地址應映象遠端PIX上配置的訪問清單中的地址。

在本示例中，兩個網路清單是remote_network和VPN Client Local LAN。

3. 選擇Configuration > System > Tunneling Protocols > IPSec LAN-to-LAN > Add以配置IPsec LAN-to-LAN隧道。完成後按一下Apply。

輸入對等IP地址、步驟2中建立的網路清單、IPsec和ISAKMP引數以及預共用金鑰。

在本示例中，對等IP地址為10.1.1.1，網路清單為remote_network和VPN Client Local LAN，而cisco是預共用金鑰。

4. 選擇Configuration > User Management > Groups > Modify 10.1.1.1以檢視自動生成的組資訊。

注意：請勿修改這些組設定。

驗證

使用本節內容，確認您的組態是否正常運作。

- 檢驗PIX

- 驗證VPN 3000 Concentrator

檢驗PIX

輸出直譯器工具(僅供已註冊客戶使用)(OIT)支援某些show命令。使用OIT檢視show命令輸出的分析。

- show isakmp sa — 顯示對等體上的所有當前IKE安全關聯(SA)。狀態MM_ACTIVE表示主模式用於設定IPsec VPN隧道。

在此示例中，PIX防火牆發起IPsec連線。對等IP地址為172.30.1.1並使用主模式建立連線。

PIX7#show isakmp sa

Active SA: 1

Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)

Total IKE SA: 1

1   IKE Peer: 172.30.1.1

Type    : L2L             Role    : initiator

Rekey   : no              State   : MM_ACTIVE

- show ipsec sa — 顯示當前SA使用的設定。檢查對等IP地址、可在本地和遠端端訪問的網路，以及使用的轉換集。有兩個ESP SA，每個方向一個。

PIX7#show ipsec sa

interface: outside

Crypto map tag: mymap, seq num: 20, local addr: 10.1.1.1

access-list 101 permit ip 192.168.1.0 255.255.255.0 172.16.0.0 255.255.0.0

local ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (172.16.0.0/255.255.0.0/0/0)

current_peer: 172.30.1.1

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest: 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify: 4

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 4, #pkts comp failed: 0, #pkts decomp failed: 0

#send errors: 0, #recv errors: 0

local crypto endpt.: 10.1.1.1, remote crypto endpt.: 172.30.1.1

path mtu 1500, ipsec overhead 76, media mtu 1500

current outbound spi: 136580F6

inbound esp sas:

spi: 0xF24F4675 (4065281653)

transform: esp-aes-256 esp-sha-hmac

in use settings ={L2L, Tunnel,}

slot: 0, conn_id: 1, crypto-map: mymap

sa timing: remaining key lifetime (kB/sec): (3824999/28747)

IV size: 16 bytes

replay detection support: Y

outbound esp sas:

spi: 0x136580F6 (325419254)

transform: esp-aes-256 esp-sha-hmac

in use settings ={L2L, Tunnel,}

slot: 0, conn_id: 1, crypto-map: mymap

sa timing: remaining key lifetime (kB/sec): (3824999/28745)

IV size: 16 bytes

replay detection support: Y

使用clear ipsec sa 和clear isakmp sa 命令重置隧道。

驗證VPN 3000 Concentrator

選擇Monitoring > Statistics > IPsec以驗證隧道是否已在VPN 3000 Concentrator中啟動。它包含IKE和IPsec引數的統計資訊。

您可以通過Monitoring > Sessions活動監控會話。您可以在此處重置IPsec隧道。

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

- 排除PIX故障

- VPN 3000 Concentrator故障排除

- PFS

排除PIX故障

輸出直譯器工具(僅供已註冊客戶使用)(OIT)支援某些show命令。使用OIT檢視show命令輸出的分析。

附註：使用 debug 指令之前，請先參閱有關 Debug 指令的重要資訊。

PIX for VPN隧道上的debug命令如下：

- debug crypto isakmp — 調試ISAKMP SA協商。

- debug crypto ipsec — 調試IPsec SA協商。

VPN 3000 Concentrator故障排除

與Cisco路由器上的debug命令類似，您可以配置事件類以檢視所有警報。選擇Configuration > System > Events > Classes > Add以開啟事件類的日誌記錄。

選擇Monitoring > Filterable Event Log以監視啟用的事件。

PFS

在IPsec協商中，完全向前保密(PFS)可確保每個新的加密金鑰與之前的任何金鑰無關。在隧道對等體上啟用或禁用PFS，否則在PIX/ASA中未建立LAN到LAN(L2L)IPsec隧道。

預設情況下，PFS處於禁用狀態。若要啟用PFS，請在組策略配置模式下使用帶有enable 關鍵字的pfs命令。若要停用PFS，請輸入disable 關鍵字。

hostname(config-group-policy)#pfs {enable | disable}

要從運行配置中刪除PFS屬性，請輸入此命令的no形式。組策略可以從其他組策略繼承PFS的值。輸入此命令的no形式可防止繼承值。

hostname(config-group-policy)#no pfs

相關資訊

- Cisco PIX 500系列安全裝置 — 支援頁面

- Cisco VPN 3000系列集中器 — 支援頁面

- Cisco PIX 500系列安全裝置命令參考

- 技術支援與文件 - Cisco Systems