在Cisco的ASA防火墙上实现IPSec虚拟专用网

约定不等于承诺〃 2021-10-19 23:22 376阅读 0赞

> 博文大纲：
> 
>  *  一、网络环境需求
>  *  二、配置前准备
>  *  三、配置虚拟专用网
>  *  四、总结

--------------------

**前言：**

之前写过一篇博文：[Cisco路由器之IPSec 虚拟专用网][Cisco_IPSec]，那是在公司网关使用的是Cisco路由器的情况下，来搭建虚拟专用网的，那么公司网关若是Cisco的ASA防火墙呢？就让这篇博文来带你配置一下。

注：虚拟专用网：（Virtual Private Network），请看英文的首字母，就知道是什么咯，由于它是敏/感词汇，所以文中全部使用**虚拟专用网**来代替

关于其中的知识点及相关概念，都在文章开头的那篇博文链接中介绍的差不多了，在防火墙和路由器上实现虚拟专用网，原理差不多，所以这里就不啰嗦了，直接上配置。

**网络环境如下：**

![在Cisco的ASA防火墙上实现IPSec虚拟专用网][Cisco_ASA_IPSec]

## 一、网络环境需求 ##

1、需要在总公司和各个分公司的网关ASA上建立IPSec虚拟专用网，实现总公司和分公司的某个网段（一般是只有某个部门有互通的必要性）互通。  
2、两个分公司之间也需要配置虚拟专用网实现互通，并且是通过总公司的网关ASA的outside区域的E0/1实现互通的（当然，也可以绕过总公司的ASA防火墙，根据实际需求来定即可）。  
3、不但总公司与分公司之间需要有虚拟专用网，而且不要影响公司内部主机访问Internet（通过端口PAT来实现，配置完成后，Telnet登录R2路由器进行验证）。  
4、公司内部使用路由器来代替PC机进行测试，Internet的R2路由器除了配置IP地址外，不可配置任何路由条目。

## 二、配置前准备 ##

（若直接在生产环境配置，并且配置了基本接口IP、路由等。则可以忽略配置前准备）

1、我这里使用的是GNS3模拟器，自行搭建网络拓扑图，使用防火墙时，需要将接口类型改一下，如下（GNS3默认不带防火墙，需要自行载入，若需要帮助，可以私信我）：

![在Cisco的ASA防火墙上实现IPSec虚拟专用网][Cisco_ASA_IPSec 1]

2、自行配置接口IP地址以及路由条目，范例如下：

'路由器配置接口IP及路由条目（R2除外，都需要配置默认路由，相当于它的网关）'
    R1#conf t
    Enter configuration commands, one per line.  End with CNTL/Z.
    R1(config)#in f0/0
    R1(config-if)#ip add 192.168.1.1 255.255.255.0
    R1(config-if)#no sh
    R1(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.1.254
    '防火墙ASA配置接口IP及路由条目：'
    ciscoasa> en
    Password:      #默认没有密码，直接回车即可
    ciscoasa# conf t
    ciscoasa(config)# in e0/0
    ciscoasa(config-if)# nameif inside     #需要先定义区域
    INFO: Security level for "inside" set to 100 by default.
    ciscoasa(config-if)# ip add 192.168.1.254 255.255.255.0
    ciscoasa(config-if)# no sh
    ciscoasa(config)# in e0/1
    ciscoasa(config-if)# nameif ouside
    INFO: Security level for "ouside" set to 0 by default.
    ciscoasa(config-if)# ip add 201.0.0.1 255.255.255.0
    ciscoasa(config-if)# no sh
    ciscoasa(config-if)# route ouside 0 0 201.0.0.2     #配置默认路由，下一跳指向互联网的R2路由器。

## 三、配置虚拟专用网 ##

配置完接口IP及路由信息，即可跟着配置下面的虚拟专用网。

**1、配置总公司与分公司1之间的虚拟专用网：**

**（1）总公司的ASA-1配置如下：**

ASA-1(config)# crypto isakmp enable outside    #启用ISAKMP/IKE
    #'以下是配置ISAKMP策略（也就是管理连接的配置）'
    ASA-1(config)# crypto isakmp policy 1   #策略序列号为“1”，范围是1~10000，数值越小，优先级越高
    ASA-1(config-isakmp-policy)# authentication pre-share  #声明设备认证方式为“预先共享密钥”
    ASA-1(config-isakmp-policy)# encryption aes   #配置加密算法  
    ASA-1(config-isakmp-policy)# hash md5    #hash命令指定验证过程中采用的散列算法
    ASA-1(config-isakmp-policy)# group 2   #采用DH算法的强度为group2
    ASA-1(config-isakmp-policy)# lifetime 10000   #可选，管理连接生存周期，默认为86400s（24小时）
    ASA-1(config-isakmp-policy)# crypto isakmp key 2019.com address 202.0.0.1        #配置“预先共享密钥”
    #'下面是数据连接配置'
    ASA-1(config)# access-list lan1_lan2 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
    #定义虚拟专用网保护的流量   
    ASA-1(config)# crypto ipsec transform-set test-set esp-aes esp-md5-hmac
    #数据连接协商参数，“test-set”是自定义的名称
    ASA-1(config)# crypto map test-map 1 match address lan1_lan2   #匹配的ACL
    ASA-1(config)# crypto map test-map 1 set peer 202.0.0.1    #虚拟专用网对端地址
    ASA-1(config)# crypto map test-map 1 set transform-set test-set    #将数据连接关联刚才创建的传输集
    ASA-1(config)# crypto map test-map interface outside   #将crypto map 应用到outside接口上。

关于配置中的命令已经在上面全部体现出来了，接下来的大多数配置命令都可在上面找到相应的注释，所以下面我就不写注释了（体谅一下懒癌晚期患者）。  
**（2）分公司1的ASA-2配置如下：**

ASA-2(config)# crypto isakmp enable outside
    ASA-2(config)# crypto isakmp policy 1
    ASA-2(config-isakmp-policy)# authentication pre-share
    ASA-2(config-isakmp-policy)# encryption aes
    ASA-2(config-isakmp-policy)# hash md5
    ASA-2(config-isakmp-policy)# group 2
    ASA-2(config-isakmp-policy)# lifetime 10000
    ASA-2(config-isakmp-policy)# crypto isakmp key 2019.com address 201.0.0.1
    ASA-2(config)# acce
    ASA-2(config)# access-li
    ASA-2(config)# access-list lan2_lan1 permit ip 192.168.2.0 255.255.255.0 192.1$
    ASA-2(config)# crypto ipsec transform-set test-set esp-aes esp-md5-hmac
    ASA-2(config)# crypto map test-map 1 match address lan2_lan1
    ASA-2(config)# crypto map test-map 1 set peer 201.0.0.1
    ASA-2(config)# crypto map test-map 1 set transform-set test-set
    ASA-2(config)# crypto map test-map interface outside

至此，总公司和分公司1的虚拟专用网就建立完成了，可以使用R3和R1进行ping测试，虚拟专用网建立连接需要时间，在路由及接口IP配置无误的情况下，ping个两三次才可ping通，如果ping了三五次都没ping通，多半是凉了，自行排错吧，**通过show run命令查看哪里配置错了吧！**

**2、配置总公司与分公司3之间的虚拟专用网：**

**（1）总公司的ASA-1配置如下（关于管理连接的配置可以和总公司到分公司1的配置共用，可以说只要配置涉及了ACL及IP地址的命令改动下再配置一下就可以了）：**

ASA-1(config)# crypto isakmp key 2020.com address 203.0.0.1
    ASA-1(config)# access-list lan1_lan3 permit ip 192.168.1.0 255.255.255.0 192.168.3.0 255.255.255.0
    ASA-1(config)# crypto map test-map 2 match address lan1_lan3
    WARNING: The crypto map entry is incomplete!
    ASA-1(config)# crypto map test-map 2 set peer 203.0.0.1
    WARNING: The crypto map entry is incomplete!
    ASA-1(config)# crypto map test-map 2 set transform-set test-set

**（2）分公司2的ASA-3配置如下：**

ASA-3(config)# crypto isakmp enable outside
    ASA-3(config)# crypto isakmp policy 1
    ASA-3(config-isakmp-policy)# authentication pre-share
    ASA-3(config-isakmp-policy)# encryption aes
    ASA-3(config-isakmp-policy)# hash md5
    ASA-3(config-isakmp-policy)# group 2
    ASA-3(config-isakmp-policy)# lifetime 10000
    ASA-3(config-isakmp-policy)# crypto isakmp key 2020.com address 201.0.0.1
    ASA-3(config)# access-list lan3_lan1 permit ip 192.168.3.0 255.255.255.0 192.168.1.0 255.255.255.0
    ASA-3(config)# crypto ipsec transform-set test-set esp-aes esp-md5-hmac
    ASA-3(config)# crypto map test-map 1 match address lan3_lan1
    ASA-3(config)# crypto map test-map 1 set peer 201.0.0.1
    ASA-3(config)# crypto map test-map 1 set transform-set test-set
    ASA-3(config)# crypto map test-map interface outside

配置至此，分公司2的R4路由器就可以ping通总公司的R1路由器了。

**3、配置分公司2和分公司3的虚拟专用网（其实就是配置几条ACL即可）：**

#'总公司的ASA-1配置如下：'
    ASA-1(config)# same-security-traffic permit intra-interface #允许流量进入和离开同一个接口，默认是禁止        
    ASA-1(config)# access-list lan1_lan2  permit ip 192.168.3.0 255.255.255.0 192.168.2.0 255.255.255.0
    ASA-1(config)# access-list lan1_lan3  permit ip 192.168.2.0 255.255.255.0 192.168.3.0 255.255.255.0
    #'分公司1的ASA-2配置如下：'
    ASA-2(config)# access-list lan2_lan1  permit ip 192.168.2.0 255.255.255.0 192.168.3.0 255.255.255.0
    #'分公司2的ASA-3配置如下：'
    ASA-3(config)# access-list lan3_lan1  permit ip 192.168.3.0 255.255.255.0 192.168.2.0 255.255.255.0

至此，总公司、分公司1和分公司2之间的虚拟专用网就建立成功了。其中需要注意的是，分公司1和分公司2之间的虚拟专用网的建立是基于总公司的防火墙的，一旦总公司的防火墙出现故障，那么分公司1和分公司2之间的虚拟专用网也就不复存在了。也可以选择分公司1和分公司2之间直接建立虚拟专用网，它们之间的流量不再经过总公司的防火墙，这个可以根据实际情况来定即可。

那么，被虚拟专用网保护的流量，如何访问互联网资源呢？现在就通过PAT来实现。让每个公司内部的主机，既可以通过虚拟专用网访问到另一个公司的内部资源，也可以使每个公司内部的主机可以访问到互联网资源。

**注：**我查到的资料上看到，需要启用NAT控制，并且豁免虚拟专用网流量，但是，我测试发现完全不需要，直接在ASA上做了PAT端口映射即可实现想要的效果，原本想再验证下我的想法，但是网络环境已经被我关闭了，算了，有兴趣的话自行验证吧。

**4、配置各个防火墙上的PAT端口映射：**

ASA-1(config)# nat-control 
    ASA-1(config)# nat (inside) 1 0 0
    ASA-1(config)# global (outside) 1 interface
    INFO: outside interface address added to PAT pool
    ASA-1(config)# access-list vpm permit ip 192.168.1.0 255.255.255.0 192.168.2.0$
    ASA-1(config)# access-list vpm  permit ip 192.168.1.0 255.255.255.0 192.168.3.$
    ASA-1(config)# nat (inside) 0 access-list vpm

ASA-2(config)# nat-control 
    ASA-2(config)# nat (inside) 1  0  0
    ASA-2(config)# global (outside) 1 interface
    INFO: outside interface address added to PAT pool
    ASA-2(config)# nat (inside) 0 access-list lan2_lan1

ASA-3(config)# nat-control 
    ASA-3(config)# nat (inside) 1  0  0
    ASA-3(config)# global (outside) 1 interface
    INFO: outside interface address added to PAT pool
    ASA-3(config)# nat (inside) 0 access-list lan3_lan1

**5、启用Internet中的R2路由器的Telnet功能，以便公司内部进行访问测试：**

R2(config)#line vty 0 4
    R2(config-line)#password 123
    R2(config-line)#login
    R2(config-line)#exit
    R2(config)#enable secret 123456

**6、验证**（在验证过程中，发现会ping一两次才会完全ping通，刚开始会不通或丢包，属于正常现象，因为虚拟专用网建立连接也是需要时间的）：  
![在Cisco的ASA防火墙上实现IPSec虚拟专用网][Cisco_ASA_IPSec 2]

## 四、总结 ##

> 1、在数据连接建立过程中，ASA防火墙只支持ESP协议，因此，如果对端是路由器，使用了AH协议实现数据验证功能，将无法与ASA成功地建立数据连接。  
> 2、IKE协商在路由器上是默认开启的，但是在ASA上模式是关闭的，需要使用命令“ crypto isakmp enable outside”开启。  
> 3、ASA上配置预共享密钥时，一般使用隧道组来配置密钥，隧道组配置密钥的过程将在下面文章末尾写出来，我在上面使用的配置方法，是和路由器上一样的配置方法，ASA会自动识别，并自动改为隧道组配置。  
> 4、防火墙存在一种这样一个限制，就是流量从一个接口进入，就不能从相同安全级别的端口流出。当然也不可以进入和离开同一个接口，可以使用命令**“ same-security-traffic permit intra-interface”**，在上面的配置中，配置分公司1和分公司2时，由于流量需要进入和离开总公司的e0/1接口，所以在总公司的防火墙上配置了这条命令。  
> 5、ASA默认放行一切虚拟专用网的流量，因为虚拟专用网的流量本来就是安全的，所以ASA为其开绿灯。

———————— 本文至此结束，感谢阅读 ————————

[Cisco_IPSec]: https://blog.51cto.com/14154700/2429736
[Cisco_ASA_IPSec]: https://s1.51cto.com/images/blog/201908/17/1c8058490572e7783a02dc6875e9baec.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[Cisco_ASA_IPSec 1]: https://s1.51cto.com/images/blog/201908/17/7532befae812f67e7513cf8cb798acf6.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[Cisco_ASA_IPSec 2]: https://s1.51cto.com/images/blog/201908/17/70e781396f2a6acfca7f8c0251487386.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=