Implementar IPSec cuando dispositivos en diferentes sitios usan la misma IP privada

69 0 9 0

Buen dia, en el siguiente post, veremos cómo implementar VPN IPSec de LAN a LAN cuando los dispositivos en diferentes sitios usan la misma dirección IP privada   


142245estilxsgddllymsq.png?ssaf.png

Figura 1. Topologia de Red.


Como se muestra en la figura anterior, la empresa X tiene tres sitios. El sitio 1 es el sitio principal, y los sitios 2 y 3 son sitios de sucursales. Los firewalls en los tres sitios se conectan a Internet a través de enlaces WAN. El cliente requiere que la VPN IPSec de LAN a LAN se despliegue entre los sitios 1 y 2 y entre los sitios 1 y 3 (como se muestra en la figura), para que Server1 pueda comunicarse con Server2 y Server3 de forma segura. Los tres servidores utilizan la misma dirección IP privada, que es 192.168.1.1 en este ejemplo. El cliente no desea ajustar las direcciones IP de los dispositivos en la red para cumplir con los nuevos requisitos.

 

142121ficeqxvnxvzzs5x4.png


Figura 2. Topologia con NAT.


El roadmap de la implementación es la siguiente: Primero, implemente la función del servidor NAT en el firewall en cada sitio para asignar la dirección IP del servidor local (192.168.1.1) a una dirección IP pública. Por ejemplo, en FW1, asigne 192.168.1.1 a 1.1.1.1; en FW2, el mapa 192.168.1.1 a 2.2.2.2; en FW3, el mapa 192.168.1.1 a 3.3.3.3, como se muestra en la figura anterior. A continuación, implemente túneles VPN IPSec entre FW1 y FW2, y entre FW1 y FW3. El tráfico protegido por el túnel IPSec VPN desde FW1 a FW2 es el tráfico enviado desde 1.1.1.1 a 2.2.2.2. El tráfico protegido por el túnel VPN IPSec de FW2 a FW1 es el tráfico enviado desde 2.2.2.2 a 1.1.1.1. De manera similar, el tráfico protegido por el túnel VPN IPSec de FW3 a FW1 es el tráfico enviado desde 3.3.3.3 a 1.1.1.1.

 

Después de implementar IPSec VPN y NAT, analice el proceso de intercambio de paquetes de datos, como se muestra en la siguiente figura. A continuación se describe el proceso de Server1 enviando un paquete a Server2. La dirección IP de destino es 2.2.2.2. Una vez que el paquete llega a FW1, se realiza NAT para traducir la dirección IP de origen a 1.1.1.1. Luego, el paquete se enruta a la interfaz de salida GE0 / 0/2. El paquete coincide con la política de IPSec implementada en la interfaz de salida porque el tráfico está protegido por el túnel VPN de IPSec. Por lo tanto, los datos se cifran, se procesan y luego se encapsulan con un encabezado de túnel. El paquete procesado se envía a FW2. FW2 elimina el encabezado del túnel del paquete, realiza la comprobación de integridad y descifrado para obtener datos en texto sin formato, traduce la dirección IP de destino (2.2.2.2) del paquete en 192.168.1.1 y envía el paquete al Servidor1 en el sitio local. El tráfico entre otros servidores se procesa de la misma manera.


142121s4qjvqzvqtqokk31.png

Figura 3. Intercambio de paquetes.

 

Este documento se centra en la configuración VPN IPSec. El proceso de configuración de interfaces en firewalls, adición de interfaces a zonas y configuración de políticas IPSec no se proporciona aquí.

 

Las configuraciones clave en FW1 son las siguientes:


# Configure la función del servidor NAT para asignar la dirección IP privada 192.168.1.1 a 1.1.1.1.

nat server global 1.1.1.1 inside 192.168.1.1

 

# Configure ACL 3001 para que coincida con el tráfico enviado desde Server1 a Server2. Configure ACL 3002 para que coincida con el tráfico enviado desde Server1 a Server3.

acl number 3001

  rule 5 permit ip source 1.1.1.1 0 destination 2.2.2.2 0

 

acl number 3002

  rule 5 permit ip source 1.1.1.1 0 destination 3.3.3.3 0

 

# Configure una propuesta de seguridad utilizada en la fase IKE 1. Para simplificar la configuración, use el algoritmo de cifrado predeterminado y el algoritmo hash.

ike proposal 1

 

# Cree los peers IKE fw2 y fw3, que corresponden a dos puntos finales (FW2 y FW3) de túneles VPN IPSec.

ike peer fw2

  pre-shared-key Huawei123

  ike-proposal 1

  remote-address 200.2.2.2

 

ike peer fw3

  pre-shared-key Huawei123

  ike-proposal 1

  remote-address 200.3.3.3

 

# Configure una propuesta de seguridad utilizada en la fase IKE 2. Para simplificar la configuración, use el protocolo de seguridad, el algoritmo de cifrado y el algoritmo hash predeterminados.


ipsec proposal myset

 

# Configure una política IPSec con dos números de secuencia, que corresponden a dos túneles VPN IPSec.

ipsec policy test 1 isakmp

  security acl 3001

  ike-peer fw2

  proposal myset

 

ipsec policy test 2 isakmp

  security acl 3002

  ike-peer fw3

  proposal myset

 

# Aplique la política IPSec a la interfaz de salida GE0 / 0/2.

interface GigabitEthernet0/0/2

ipsec policy test

 

# Configurar la ruta por defecto.

ip route-static 0.0.0.0 0.0.0.0 200.1.1.2


Las configuraciones clave en FW2 son las siguientes:


nat server global 2.2.2.2 inside 192.168.1.1

 

acl number 3000

  rule 5 permit ip source 2.2.2.2 0 destination 1.1.1.1 0

 

ike proposal 1

 

ike peer fw1

  pre-shared-key Huawei123

  ike-proposal 1

  remote-address 200.1.1.1

 

ipsec proposal myset

 

ipsec policy test 1 isakmp

  security acl 3000

  ike-peer fw1

  proposal myset

 

interface GigabitEthernet0/0/2

ipsec policy test

 

ip route-static 0.0.0.0 0.0.0.0 200.2.2.1


Las configuraciones clave en FW3 son las siguientes:


nat server global 3.3.3.3 inside 192.168.1.1

 

acl number 3000

  rule 5 permit ip source 3.3.3.3 0 destination 1.1.1.1 0

 

ike proposal 1

 

ike peer fw1

  pre-shared-key Huawei123

  ike-proposal 1

  remote-address 200.1.1.1

 

ipsec proposal myset

 

ipsec policy test 1 isakmp

  security acl 3000

  ike-peer fw1

  proposal myset

 

interface GigabitEthernet0/0/2

ipsec policy test

 

ip route-static 0.0.0.0 0.0.0.0 200.3.3.1


Una vez completada la configuración, haga ping en Server2 desde Server1. Las siguientes sesiones se muestran en FW1:


<FW1>display firewall session table

Current Total Sessions : 6

  esp  VPN:public --> public 200.2.2.2:0-->200.1.1.1:0

  icmp  VPN:public --> public 192.168.1.1:21053[1.1.1.1:21053]-->2.2.2.2:2048

  icmp  VPN:public --> public 192.168.1.1:21565[1.1.1.1:21565]-->2.2.2.2:2048

  icmp  VPN:public --> public 192.168.1.1:21821[1.1.1.1:21821]-->2.2.2.2:2048

  icmp  VPN:public --> public 192.168.1.1:22077[1.1.1.1:22077]-->2.2.2.2:2048

  icmp  VPN:public --> public 192.168.1.1:22333[1.1.1.1:22333]-->2.2.2.2:2048


Las siguientes sesiones se muestran en FW2:


<FW2>display firewall session table

 Current Total Sessions : 6

  esp  VPN:public --> public 200.1.1.1:0-->200.2.2.2:0

  icmp  VPN:public --> public 1.1.1.1:21053-->2.2.2.2:2048[192.168.1.1:2048]

  icmp  VPN:public --> public 1.1.1.1:21565-->2.2.2.2:2048[192.168.1.1:2048]

  icmp  VPN:public --> public 1.1.1.1:21821-->2.2.2.2:2048[192.168.1.1:2048]

  icmp  VPN:public --> public 1.1.1.1:22077-->2.2.2.2:2048[192.168.1.1:2048]

  icmp  VPN:public --> public 1.1.1.1:22333-->2.2.2.2:2048[192.168.1.1:2048]



Saludos.

  • x
  • convención:

Responder

Responder
Debe iniciar sesión para responder la publicación Inicio de sesi | Registrarse

Aviso: Para garantizar sus legítimos derechos e intereses, la comunidad y los terceros no publicarán contenido que pueda generar riesgos legales a las partes, por ejemplo, pornografía, contenido político, contenido sobre juego, consumo y tráfico de drogas, así como contenido que viole los derechos de propiedad intelectual de terceros, por ejemplo, secretos comerciales, marcas, derechos de autor, patentes y privacidad personal. No comparta su cuenta ni su contraseña con terceros. Todas las operaciones realizadas usando su cuenta se considerarán como sus acciones y todas las consecuencias que estas acciones generen serán responsabilidad suya. Para obtener información detallada, consulte la “ Política de privacidad.”
Si el botón para adjuntar no está disponible, actualice Adobe Flash Player con la versión más reciente

¡Ingresa y disfruta de todos los beneficios para los miembros!

Aterrizaje
Respuesta rápida Desplácese hasta arriba