IPSEC site to site vpn cisco asa 8.2
Lab cấu hình ASA để thiết lập VPN Site-to-Site giữa 2 site. Bài lab này sẽ sử dụng IPsec VPN trên Cisco ASA 8.2 để thiết lập kết nối giữa 2 site.
I. Mô hình và yêu cầu Lab IPSEC site to site vpn cisco asa 8.2
1. Mô hình Lab IPSEC site to site vpn cisco asa 8.2
2. yêu cầu Lab IPSEC site to site vpn cisco asa 8.2
- Cấu hình VPN site-to-site để client trong inside của ASA1 và ASA2 có thể giao tiếp được với nhau.
- Sơ đồ IP Lab IPSEC site to site vpn cisco asa 8.2
II. Triển khai Lab IPSEC site to site vpn cisco asa 8.2
1. Cấu hình IP và trỏ default-route.
- Trên Cisco ASA1
Code:
ASA1(config-if)# int e0/0
ASA1(config-if)# nameif outside
ASA1(config-if)# ip address 150.1.1.1 255.255.255.0
ASA1(config-if)# no shutdown
ASA1(config-if)# int e0/1
ASA1(config-if)# nameif inside
ASA1(config-if)# ip address 192.168.10.1 255.255.255.0
ASA1(config-if)# no shutdown
ASA1(config)# route outside 0 0 150.1.1.2- Trên Cisco ASA2
Code:
ASA2(config-if)# int e0/0
ASA2(config-if)# nameif outside
ASA2(config-if)# ip address 150.1.1.2 255.255.255.0
ASA2(config-if)# no shutdown
ASA2(config-if)# int e0/1
ASA2(config-if)# nameif inside
ASA2(config-if)# ip address 10.2.2.1 255.255.255.0
ASA2(config-if)# no shutdown
ASA2(config)# route outside 0 0 150.1.1.12. Cấu hình IPSEC VPN site to site vpn cisco asa 8.2
2.1. phase 1: Cấu hình các policy trong ISAKMP
- Cấu hình các chính sách cho pha 1
Code:
ASA1(config)# crypto isakmp policy 10 //Tạo policy cho quá trình IKE
ASA1(config-isakmp-policy)# authentication pre-share //kiểu xác thực
ASA1(config-isakmp-policy)# encryption 3des // kiểu mã hóa
ASA1(config-isakmp-policy)# hash md5
ASA1(config-isakmp-policy)# group 22.2 Cấu hình IPSEC site to site vpn cisco asa 8.2
- Bước 1: Tạo policy SVUIT cho quá trình đóng gói dữ liệu. Nó sẽ quy đinh dữ liệu chạy trong đường hầm sẽ được bao bọc bởi cơ chế mã hóa gì
Code:
ASA1(config)# crypto ipsec transform-set SVUIT esp-3des esp-md5-hmac- Bước 2: Tạo ACL quy định traffic chạy từ đâu đến đâu thì được chạy vào đường hầm
Code:
ASA1(config)# access-list VPN extended permit ip 192.168.10.0 255.255.255.0 10.2.2.0 255.255.255.0- Bước 3: cấu hình crypto map trên Cisco ASA 8.2
//apply luồng traffic trong ACL ở trên được mã hóa. Traffic trong ACL sẽ được chạy vào hầm.
Code:
ASA1(config)# crypto map OUTSIDE-MAP 10 match address VPN//Thực hiện thiết lập IPSEC-VPN này với ASA2(150.1.1.2)
Code:
ASA1(config)# crypto map OUTSIDE-MAP 10 set peer 150.1.1.2// apply policy SVUIT đã khởi tạo ở trên vào IPSEC. Như vậy traffic trong hầm sẽ được mã hóa theo chính sách SVUIT
Code:
ASA1(config)# crypto map OUTSIDE-MAP 10 set transform-set SVUIT- Bước 4: apply Cypto map và bật ISAKMP vào interface kết nối IPSEC-VPN trên Cisco ASA 8.2
Code:
ASA1(config)# crypto map OUTSIDE-MAP interface outside
ASA1(config)# crypto isakmp enable outside- Bước 5: cấu hình tunnel-group trên Cisco ASA 8.2
Cho biết loại đường hầm này là gì site-to-site or client-to-site...
Chú ý: tên group chính là IP của bên kia (ASA2)
Code:
ASA1(config)# tunnel-group 150.1.1.2 type ipsec-l2lCấu hình thuộc tính của IPSEC như thiết lập key(key này 2 bên phải giống nhau), keep-alive...
Code:
ASA1(config)# tunnel-group 150.1.1.2 ipsec-attributes
ASA1(config-tunnel-ipsec)# pre-shared-key svuit.com3. Trên Cisco ASA 2
- Các bạn cấu hình tương tự cho ASA2. Nhưng có 1 vài lưu ý và thay đổi nhé
Code:
ASA2(config)# crypto isakmp policy 10
ASA2(config-isakmp-policy)# authentication pre-share
ASA2(config-isakmp-policy)# encryption 3des
ASA2(config-isakmp-policy)# hash md5
ASA2(config-isakmp-policy)# group 2
ASA2(config)# crypto ipsec transform-set SVUIT esp-3des esp-md5-hmac
ASA2(config)# access-list VPN extended permit ip 10.2.2.0 255.255.255.0 192.168.10.0 255.255.255.0
ASA2(config)# crypto map OUTSIDE-MAP 10 match address VPN
ASA2(config)# crypto map OUTSIDE-MAP 10 set peer 150.1.1.1
ASA2(config)# crypto map OUTSIDE-MAP 10 set transform-set SVUIT
ASA2(config)# crypto map OUTSIDE-MAP interface outside
ASA2(config)# crypto isakmp enable outside
ASA2(config)# tunnel-group 150.1.1.1 type ipsec-l2l
ASA2(config)# tunnel-group 150.1.1.1 ipsec-attributes
ASA2(config-tunnel-ipsec)# pre-shared-key svuit.com4. Kiểm tra kết quả Lab IPSEC VPN site to site vpn cisco asa 8.2
- PC2 ping đến PC1 thành công.
Trên Cisco ASA 2
- Kiểm tra trạng tháu ISAKMP để biết kết nối được thiết lập thành công
- Kiểm tra trạng thái của IPSEC trên Cisco ASA 8.2
- Phân tích bằng Wireshake để thấy quá trình trao đổi thông tin trong đường hầm.
Last edited:
