Guía VPN Remote Access Cisco ASA

[mariano]

Esta guia es para configurar una VPN Remote Access (Cisco VPN Client) en un Cisco ASA.
Este ejemplo lo arme en un 5505 pero es lo mismo para cualquier IOS 8 y calculo que en 7 funcionara tambien.

Definimos el nombre del Host

hostname CISCOASA

Definimos el nombre de domino

domain-name tecnologiayredes.com.ar

Añadimos un usuario que sera con el que nos leguearemos a nuestra VPN

username nombre_usuario password pass1234

La access-list nonat se usa en este caso no como control de acceso sino para definir el trafico que sera encriptado en el nat. Solo se encriptara lo que matchee con esta ACL

access-list nonat extended permit ip 192.168.1.0 255.255.255.0 10.0.10.0 255.255.255.0

IPs que seran asignadas a la PC que se conecte via VPN

ip local pool VPN-POOL 10.0.10.1-10.0.10.254 mask 255.255.255.0

Definimos los NAT y GLOBAL. Nat 0 es el que define el trafico que sera encriptado de acuerdo a la ACL nonat que definimos antes.

global (outside) 1 interface
nat (inside) 0 access-list nonat
nat (inside) 1 0 0

Definimos el default gateway del ASA

route outside 0 0 172.16.1.1 1

Creamos la politica de grupo

group-policy GP-TECNOLOGIAYREDES internal
group-policy GP-TECNOLOGIAYREDES attributes
 dns-server value 8.8.8.8
 vpn-idle-timeout 30
 default-domain value tecnologiayredes.com.ar

Creamos la politica ISAKMP para los clientes

crypto isakmp enable outside
crypto isakmp policy 10
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 43200

El Tunnel-group define el tipo de conexion VPN que sera establecida.

tunnel-group TN-TECNOLOGIAYREDES type ipsec-ra
tunnel-group TN-TECNOLOGIAYREDES general-attributes
 address-pool VPN-POOL
 default-group-policy GP-TECNOLOGIAYREDES
 authentication-server-group LOCAL
tunnel-group TN-TECNOLOGIAYREDES ipsec-attributes
 pre-shared-key cisco123

Crear el transform.set y los MAPs. La etiqueta AES-SHA y 3DES-SHA son nombres identificativos de la politica que conllevan.

crypto ipsec transform-set AES-SHA esp-aes esp-sha-hmac
crypto ipsec transform-set 3DES-SHA esp-3des esp-sha-hmac
crypto dynamic-map dinomap 10 set transform-set AES-SHA
crypto dynamic-map dinomap 20 set transform-set 3DES-SHA
crypto map mymap 90 ipsec-isakmp dynamic dinomap

Aplicamos el crypto-map a la interface outside.

crypto map mymap interface outside

Y con eso deberia estar.
Luego en el Cisco VPNClient configuran el grupo TN-TECNOLOGIAYREDES y la pass cisco123



Conceptos Basicos VPN

Suerte y espero que les funcione
Mariano

[giovannid]

Gracias mariano, aunque aún me quedan unas dudas...

Como se relaciona la politica ISAKMP y las opciones de los crypto con el tunnel-group que creamos?? o son valores generales para todos los grupo que se creen posteriormente?

[mariano]

Yo puedo definir varias politicas ISAKMP.
Por ejemplo:

crypto isakmp policy 10
 authentication pre-share
 encryption aes-256
 hash sha
 group 5
 lifetime 43200

crypto isakmp policy 20
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 43200

De esta manera se va a iniciar la fase1 intentando primero matchear con la policy 10 que es la mas fuerte y sino hay match intentara con la segunda, en este caso la 20.
Definis primero siempre la mas fuerte para intentar establecer la asociacion lo mas segura posible.
El numero 10 o 20 son la prioridad, a menor numero, mayor prioridad.
Aca es donde se realiza el intercambio de claves Diffie Hellman por eso tambien esta en la policy 10 el group5 y en la 20 el group2.

Respondiendo a tu pregunta: Lo segundo.

Para verlo escribis:

ASA# sh crypto isakmp sa

Salu2

[giovannid]

Gracias Mariano, me quedo claro lo de ISAKMP.
Me podrias explicar como funciona esto??

Originalmente publicado por mariano

Crear el transform.set y los MAPs. La etiqueta AES-SHA y 3DES-SHA son nombres identificativos de la politica que conllevan.

crypto ipsec transform-set AES-SHA esp-aes esp-sha-hmac
crypto ipsec transform-set 3DES-SHA esp-3des esp-sha-hmac
crypto dynamic-map dinomap 10 set transform-set AES-SHA
crypto dynamic-map dinomap 20 set transform-set 3DES-SHA
crypto map mymap 90 ipsec-isakmp dynamic dinomap

Mariano

[mariano]

El dynamic-map se aplica por que es una VPN Remote Access, justamente por que no definis un peer como en una L2L (Lan to Lan).
En este ejemplo el creo 1 dynamic-map con 2 prioridades, cada uno aplica a un transform set, que como antes, el primero es el mas fuerte (AES-SHA en este caso).
Y despues aplico el dynamic-map dinomap al crypto-map mymap que es el que despues le aplico a la interface outside.
Osea:
Creo el transform-set, lo aplico a un dynamic-map y este lo aplico a un crypto-map.
Yo use dos en este ejemplo solo para que se vea que podes tener distintas prioridades por que, por ejemplo, podes tener mas de un peer y no necesariamente en todos tenes la posibilidad de configurar AES-256 por el motivo que sea. Asi primero lo intenta con el de mayor prioridad y despues va bajando sus "pretenciones".
Me hice quilombo o se entendio? :P
Salu2

[giovannid]

Si, esta clarisimo. Gracias
Lo probe en un asa y funciona correctamente pero queria entender bien que estaba haciendo. Gracias nuevamente

[mariano]

Por nada che, me alegro que te haya funcionado
Salu2