IKEv2: Zentralen ASA-Hub mit mehreren IOS Spokes verbinden
Dieser Artikel beschreibt ein kostengünstiges Site-to-Site-VPN-Konzept, das eine zentrale Cisco ASA als Hub mit mehreren Cisco-IOS-Routern als Spokes verbindet – auch dann, wenn die Spokes über dynamische IP-Adressen angebunden sind. Als Authentifizierung kommt IKEv2 mit gruppenspezifischen Pre-Shared Keys (PSK) zum Einsatz.
Die gezeigte Konfiguration wurde mit einer Cisco ASA 5515-X und IOS-Routern der 880er-Serie erprobt. Beide Plattformen sind inzwischen abgekündigt (End-of-Life); der beschriebene Ansatz „IKEv2 mit PSK je Gruppe über die IKE-Identität" bleibt jedoch weiterhin gültig und lässt sich auf aktuelle Cisco-Plattformen übertragen. Befehlssyntax und Lizenzgrenzen der jeweiligen Zielgeräte bitte vorab prüfen.
Herausforderung
Gesucht ist ein bezahlbares VPN-Konzept, in das sich auch Standorte mit dynamischen IPs problemlos einbeziehen lassen.
Problem
FlexVPN oder DMVPN wären für dieses Szenario ideal, allerdings sind die Kosten für einen IOS-Router mit ausreichender Performance zu hoch: Für mehr als 225 Tunnel und über 85 Mbit/s Durchsatz wird zusätzlich die HSEC-Lizenz fällig. Auch das Management umfangreicher Firewall-Regelwerke (mehr als ~200 Regeln) ist mit IOS kaum zu bewältigen. VPNs mit dynamischen IPs setzen entweder auf Zertifikate oder PSKs. Der Nachteil eines PSK ist normalerweise, dass er für alle Sessions gleich sein muss (DefaultL2LGroup); Zertifikate wiederum sind aufwändig und komplex zu verwalten. Die einfache Lösung: IKEv2 mit PSKs und Gruppenname über die ISAKMP-ID – so lässt sich je Gruppe ein eigener PSK vergeben.
Vorschlag
Eine ASA 5515-X ist vergleichsweise günstig, kommt mit 255 Tunneln zurecht und schafft im einzelnen Stream knapp 1 Gbit/s VPN-Durchsatz. Zusätzlich bietet sie gute HA-Funktionalität inklusive stateful IPsec-Failover. Auf der Clientseite kommen IOS-Router der 880er-Serie zum Einsatz, die alle benötigten Features mitbringen.
Lösung
Konfiguration auf der ASA (nur crypto)
Subnetze definieren:
access-list outside_cryptomap extended permit ip object OUR-NET object CLIENT-NET
Proposal festlegen:
crypto ipsec ikev2 ipsec-proposal AES256-SHA1-256
protocol esp encryption aes-256
protocol esp integrity sha-256 sha-1
Tunnelgroup:
tunnel-group dynamicvpn1 type ipsec-l2l
tunnel-group dynamicvpn1 ipsec-attributes
ikev2 remote-authentication pre-shared-key *****
ikev2 local-authentication pre-shared-key *****
Crypto map:
crypto dynamic-map dynamicvpn1 1 match address outside_cryptomap
crypto dynamic-map dynamicvpn1 1 set pfs group5
crypto dynamic-map dynamicvpn1 1 set ikev2 ipsec-proposal AES256-SHA1-256 AES256 AES192 AES
crypto dynamic-map dynamicvpn1 1 set reverse-route
crypto map outside_map 1 ipsec-isakmp dynamic dynamicvpn1
Crypto map aktivieren:
crypto map outside_map interface outside
crypto ikev2 enable outside
Konfiguration auf der Clientseite / IOS (nur crypto)
Proposals:
crypto ikev2 proposal proposal1
encryption aes-cbc-256 aes-cbc-192 aes-cbc-128
integrity sha256 sha1
group 14 5
crypto ikev2 policy policy1
proposal proposal1
Key:
crypto ikev2 keyring kyr1
peer peer1
address ASA-IP
pre-shared-key local ******
pre-shared-key remote ******
Profile:
crypto ikev2 profile profile1
match identity remote address ASA-IP 255.255.255.255
identity local key-id dynamicvpn1
authentication local pre-share
authentication remote pre-share
keyring local kyr1
Transform-Set (Phase-2-Proposal):
crypto ipsec transform-set trans esp-aes esp-sha-hmac
mode tunnel
Crypto map:
crypto map cmap 1 ipsec-isakmp
set peer ASA-IP
set transform-set trans
set ikev2-profile profile1
match address vpnlist
ACL:
ip access-list extended vpnlist
permit ip OUT-NET 0.0.0.255 REMOTE-NET 0.0.0.255
Auf das Interface binden:
interface Gi0
crypto map cmap
Verbindung testen:
ping remote-ip source Vlan1
Unterstützung von m.a.x. it
Sie planen ein Site-to-Site-VPN oder die Ablösung einer alten VPN-/Firewall-Infrastruktur? m.a.x. it unterstützt Sie mit Managed-Firewall- und Netzwerk-Services.
Siehe auch
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
