Configuraciones de LAN a LAN de renegociación entre los Concentradores VPN de Cisco, el Cisco IOS, y los dispositivos PIX

Transcripción

1 Configurciones LAN LAN renegocición entre los Concentrdores VPN Cisco, Cisco IOS, y los s PIX Contenido Introducción prerrequisitos Requisitos Componentes Utilizdos Digrm l red Convenciones Escenrios Resultdos l Informción Rciond Introducción Este documento señl los resultdos l l lbortorio l renegocición l LAN LAN l seguridd IP (IPSec) entre diversos Productos l Cisco VPN en los diversos escenrios, tles como reinicilizción l VPN, los, y l terminción mnul ls sociciones seguridd IPSec (SA). prerrequisitos Requisitos No hy requisitos específicos pr este documento. Componentes Utilizdos L informción que contiene este documento se bs en ls siguientes versiones softwre y hrdwre. Softwre Rese 12.1(5)T8 Cisco IOS Softwre Rese 6.0(1) l Cisco PIX Versión softwre 3.0(3)A l Cisco VPN 3000 Concentrtor Versión concentrdor softwre l Cisco VPN (21) El IP usdo en est es pquetes bidireccionles l Internet Control Messge Protocol (ICMP) entre hosta y hostb.

2 L informción que contiene este documento se creó prtir los s en un mbiente lbortorio específico. Todos los s que se utilizn en este documento se pusieron en funcionmiento con un configurción verificd (pretermind). Si l red está funcionndo, segúrese hber comprendido impcto que pue tener culquier comndo. Digrm l red Éste es un digrm concepto l pltform ensyo. Los s VPN representn un router l Cisco IOS, un Cisco Secure PIX Firewll, un Cisco VPN 3000 Concentrtor o un concentrdor l Cisco VPN Convenciones Consulte Convenciones Consejos TécnicosCisco pr obtener más informción sobre ls convenciones l documento. Escenrios Tres escenrios frecuentes fueron probdos. Lo que sigue es un finición brevid los escenrios : Terminción mnul l SA IPSec El usurio bre un sesión los s VPN y borr mnulmente SA IPSec usndo comndo line interfce(cli) o Interfz gráfic l usurio (GUI). Reintroduzc Norml fse IPSec yo y l fse II n cundo expir l vid útil finid. En est, los dos s l terminción VPN tienen mismo curso l vid l fse I y l fse II configurdo. Reinicilizción l VPN Culquier extremo los puntos terminción l VPN fue reinicido pr simulr l interrupción l servicio. Not: Pr los es LAN LAN don se utiliz VPN 5000 concentrtor, concentrdor se configur usndo respondor l modo principl y l. Resultdos l Config urció n IOS l PIX Mnulmente terminción l SA IPSec Reintroduz c Reinicilizción l VPN Con restbleció keeplive

3 IOS VPN 3000 IOS l VPN5 000 spués l fse I o l fse II SA se borr por mbs prtes Trbjos l restbleció spués l fse I o l fse II SA se borr por mbs prtes Trbjos l En IOS: Se borr todví trbj spués l fse II SAEl VPN v bjo cundo se borr l fse I SAEl pr trbjr En todví trbj spu és l fse I o l fse II todví trbj spu és l fse I o l fse II todví trbj spu és l fse II L fse I IKE hbilitdo en mbos s, restblecido s 1 trbj spués l recuperdo Con keeplive IKE hbilitdo en mbos s, restblecido s 1 trbj spués l recuperdo no pue recuperr spués l reinicilizci ón culquier VPN (con bidireccionl ) pr trbjr Necesidd

4 PIX VPN 3000 PIX l VPN5 000 VPN5000: El no pue recuperrse spués mnulmente borrr SADebe borrr l fse I y l fse II SA en IOS pr restblecer restbleció spués l fse I o l fse II SA se borr por mbs prtes Trbjos l rrib do pr trbj r Neces idd mnu lment e SA clros pr trer trás todví trbj spu és l fse I o l fse II mnulment e clr SA en que no fue reinicido pr trer trás 1 trbj spués l recuperdo Con Ded Peer Detection (DPD) 2 (hbilitdo por bndono), restblecido En PIX: Se no borr todví trbj spués l todví pue recuperr spués l reinicilizci ón culquier

5 VPN 3000 l VPN5 000 fse II SAEl VPN fue bjo cundo se borr l fse I SAEl pr trbjr En VPN5000: El no pue recuperrse spués que mnulmente clros SADebe borrr l fse I y l fse II SA en PIX pr restblecer En VPN 3000: El se recuper spués mnulmente clro l sesióntodví l trbjos En VPN5000: El no pue recuperr trbj spu és l fse II L fse I rrib do pr trbj r Neces idd mnu lment e SA clros pr trer trás VPN (con bidireccionl ) pr trbjr Necesidd mnulment e clr SA en que no fue reinicido pr trer trás no pue recuperrse spués l todví reinicilizci ón trbj culquier spu VPN (con és que l fse I bidireccionl o l )

6 spués mnulmente clro El pr trbjrdebe borrr SA en VPN 3000 pr restblecer fse II duzc pr trbjr Necesidd mnulment e clr SA en que no fue reinicido pr trer trás 1 como se scribe nteriormente, usdo es pquetes icmp bidireccionles entre hosta y hostb. En l l reinicilizción l VPN, unidireccionl tmbién se pr simulr peor los csos (don está solmente l host trás l VPN que no se reinici l VPN se reinici que). Al igul que visto l tbl, con keeplive IKE o con protocolo DPD, VPN se pue recuperr l peor los csos. 2 DPD es prte l Unity Protocol. Est crcterístic está ctulmente solmente disponible en Cisco VPN 3000 Concentrtor con 3.0 l versión softwre y sobre y en firewll PIX con l versión softwre 6.0(1) y rrib. Informción Rciond Págin soporte l concentrdor l serie Cisco VPN 3000 Págin soporte l concentrdor VPN 5000 Cisco Págin Soporte PIX Págin soporte IPSec Soporte Técnico y Documentción - Cisco Systems