Affinchè si possa realizzare un canale di comunicazione “sicuro” tra due o più filiali, sfruttando, ad esempio, una normale linea ADSL, è necessario affidarsi ad una tecnologia VPN che supporti tale funzionalità. Lo standard “de facto” per i collegamenti Site-to-Site è rappresentato dal protocollo IPsec.
Adesso vedremo come configurare tale tipologia di VPN, utilizzando come piattaforme hardware un router Cisco 2811 (main office) ed un router Cisco 877W (branch office).
Lo schema di rete si può riassumere come segue:
Configurazione del router Cisco 2811 (Main Office)
La prima cosa da fare è creare la policy ISAKMP per gestire le Security Associations (in gergo dette semplicemente SA), ovvero le due entità che vogliono instaurare il tunnel VPN.
R1(config)crypto isakmp policy 1 R1(config-isakmp)# encr 3des R1(config-isakmp)# hash md5 R1(config-isakmp)# authentication pre-share R1(config-isakmp)# group 2 R1(config-isakmp)# lifetime 86400
In particolare, sto definendo alcuni parametri relativi alla fase 1 IKE (in realtà ISAKMP è solo uno dei 3 protocolli definiti nella suite IKE), ovvero:
1) il tipo di cifratura simmetrica da utilizzare (3des);
2) l’algoritmo di hashing per l’HMAC (md5), utilizzato per garantire l’integrità dei pacchetti scambiati tra le parti;
3) il tipo di autentica (tramite chiave condivisa – pre-shared);
4) il gruppo Diffie-Helman da utilizzare (l’algoritmo in questione definisce un metodo “sicuro” per lo scambio delle chiavi tra le parti);
5) la durata del tunnel IPSec (in secondi).
Ora si può procedere con la definizione della chiave condivisa:
R1(config)# crypto isakmp key cisco address 2.2.2.3
A questo punto possiamo configurare la fase 2 IKE, impostando l’apposito transform set:
R1(config)# crypto ipsec transform-set TS esp-3des esp-md5-hmac
Esso si occupa di cifrare i dati trasmessi tra le due parti dopo l’instaurazione del tunnel.
Definiamo adesso l’ACL che si occuperà di indentificare il traffico VPN (detto, in gergo, interesting traffic):
R1(config)# ip access-list extended VPN-TRAFFIC R1(config-ext-nacl)# permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
A questo punto sarà possibile definire la crypto map:
R1(config)# crypto map CMAP 6 ipsec-isakmp R1(config-crypto-map)# set peer 2.2.2.3 R1(config-crypto-map)# set transform-set TS R1(config-crypto-map)# match address VPN-TRAFFIC
Inoltre, dobbiamo evitare che il traffico LAN-to-LAN venga nattato. E’ possibile fare ciò definendo un’ACL ad hoc:
R1(config)# access-list 100 remark --NO-NAT-- R1(config)# access-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 R1(config)# access-list 100 permit ip 192.168.1.0 0.0.0.255 any R1(config)# access-list 100 remark
associandola, successivamente, al processo di NAT vero e proprio:
R1(config)# ip nat inside source list 100 interface fastethernet0/0 overload
Come ultimo step dobbiamo associare la crypto MAP precedentemente definita all’interfaccia fa0/0 (Internet):
R1(config)# int fa0/0 R1(config-if)# crypto map CMAP
Configurazione del router Cisco 877W (Branch Office)
La configurazione del Branch Office è del tutto speculare a quella del Main office. L’unica stostaziale differenza sta nell’interfaccia esposta ad Internet: per il main office è la fa0/0 mentre per il branch office è la dia1 (protocollo PPPoE).
IKE fase 1:
R2(config)# crypto isakmp policy 1 R2(config-isakmp)# encr 3des R2(config-isakmp)# hash md5 R2(config-isakmp)# authentication pre-share R2(config-isakmp)# group 2 R2(config-isakmp)# lifetime 86400
Pre-shared key:
R2(config)# crypto isakmp key cisco address 2.2.2.2
IKE fase 2 (transform set):
R2(config)# crypto ipsec transform-set TS esp-3des esp-md5-hmac
ACL per il traffico LAN-to-LAN:
R2(config)# ip access-list extended VPN-TRAFFIC R2(config-ext-nacl)# permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
Crypto map:
R2(config)# crypto map CMAP 6 ipsec-isakmp R2(config-crypto-map)# set peer 2.2.2.2 R2(config-crypto-map)# set transform-set TS R2(config-crypto-map)# match address VPN-TRAFFIC
No-NAT:
R2(config)# access-list 100 remark --NO-NAT-- R2(config)# access-list 100 deny ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 R2(config)# access-list 100 permit ip 192.168.2.0 0.0.0.255 any R2(config)# access-list 100 remark R2(config)# ip nat inside source list 100 int dia1 overload
Binding crypto map/interfaccia:
R2(config)# int dia1 R2(config-if)# crypto map CMAP R2(config-if)# crypto ipsec df-bit clear
L’ultimo comando relativo alla configurazione dell’interfaccia dia1 ci mette al riparo da eventuali problemi dovuti ad un MTU mismatch (ad esempio, il router Cisco 2811 utilizza una MTU pari a 1500 byte mentre il router Cisco 877W, essendo configurato per un accesso ad Internet di tipo PPPoE, usa una MTU pari a 1492 byte).
Test e troubleshooting
Per testare l’effettivo funzionamento del tunnel VPN appena configurato è sufficiente, in primo luogo, lanciare un semplice ping verso la LAN del peer, avendo cura di definire come interfaccia sorgente quella esposta sulla rete privata:
R1(config)ping 192.168.2.1 source fa0/1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.2.1, timeout is 2 seconds: Packet sent with a source address of 192.168.1.1 .!!!! Success rate is 80 percent (4/5), round-trip min/avg/max = 41/44/46 m
Il primo ping ha restituito un timeout poichè il tunnel VPN viene tirato su solo on-demand, ovvero dopo aver appurato la presenza di traffico LAN-to-LAN, per poi rimanere attivo fino al timeout definito nella policy ISAKMP (86400 secondi).
Altri comandi utili per verificare lo stato del tunnel VPN sono i seguenti:
show crypto session show crypto isakmp sa show crypto ipsec sa debug crypto isakmp debug crypto ipsec
E’ tutto. Alla prossima.