Configuración Básica VPN Cisco 1841

Hola a tod@s.

Hoy vamos a ver los comandos básicos para el funcionamiento de una VPN con Cisco.

Lo primero que debemos saber son las IP's Fijas de cada delegación. En este ejemplo, la IP de la delegación CENTRAL será 1.2.3.4 y la IP de la delegación REMOTA será 4.3.2.1.

Entramos en programación de la consola:

• R1-CENTRAL# configure terminal

Para configurar los parametros de la Fase I, establecer una politica de ISAKMP y fijar los parametros para usar una pre-shared key, usaremos 3des/sha para la integridad de la encriptacion, especificaremos el uso de Diffie-Hellman Group 2 (1024-bit). Por defecto ya tiene Autenticar y generar una nueva clave cada 86400 segundos, en caso de que pongamos el comando "lifetime 86400" cuando hagamos un "sh run" no nos aparecera reflejado en la configuracion:

• R1-CENTRAL(config)#crypto isakmp policy 1
• R1-CENTRAL(config-isakmp)# encryption 3des
• R1-CENTRAL(config-isakmp)# authentication pre-share
• R1-CENTRAL(config-isakmp)# group 2
• R1-CENTRAL(config-isakmp)# hash sha
• R1-CENTRAL(config-isakmp)# lifetime 86400
• R1-CENTRAL(config-isakmp)# exit

Cuando mostremos la configuración del Router(con el comentado "show running-config"), no nos mostrará la configuración "hash sha" ni "lifetime 86400". Esto es así, no asustarse.

Ahora configuramos la pre-shared key y el destino del tunel. En este caso estamos configurando la delegación CENTRAL para que se conecte a la delegación REMOTA. La clave "pre-share" será en este caso algo sencillo "123456". La IP a la que nos conectaremos es la delegación REMOTA "4.3.2.1":

• R1-CENTRAL(config)# crypto isakmp key 123456 address 4.3.2.1

Ahora configuramos el "transform" del Ipsec que sera combinado posteriormente con el resto de la politica de Ipsec con el comando crypto-map. En este caso "CONEXIONHACIAREMOTA" es simplemente un nombre que luego nos servira para asociarlo a un crypto-map.

• R1-CENTRAL(config)# crypto ipsec transform-set CONEXIONHACIAREMOTA esp-3des esp-sha-hmac

Ahora crearemos el crypto-map, donde lo relacionaremos con el Transoform-set, el destino del tunel y le pondremos el nombre "CENTRAL" que utilizaremos luego para activarlo en la interfaz Wan del router.

• R1-CENTRAL(config)# crypto map CENTRAL 11 ipsec-isakmp
• R1-CENTRAL(config-crypto-map)# set peer 4.3.2.1
• R1-CENTRAL(config-crypto-map)# set transform-set CONEXIONHACIAREMOTA
• R1-CENTRAL(config-crypto-map)# set pfs group2
• R1-CENTRAL(config-crypto-map)# match address 120
• R1-CENTRAL(config-crypto-map)# exit

Ahora creamos la access-list 120 que es la que pusimos en el crypto-map y nos indica que todo el trafico desde la red 192.168.2.0/24 (CENTRAL) y con destino a la red 192.168.0.0/24 (REMOTA) lo enviara a traves del tunel.

• R1-CENTRAL(config)# access-list 120 permit ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255

En nuestro caso tenemos la salida a internet con NAT, asi que crearemos un route-map para evitar que nos intente natear lo que va hacia la VPN de la siguiente manera:

• R1-CENTRAL(config)# route-map nonat permit 10
• R1-CENTRAL((config-route-map)# match ip address 100
• R1-CENTRAL((config-route-map)# exit

Ahora creamos la access-list 100 en la cual denegamos el trafico que va hacia la red 192.168.0.0/24 que es el otro extremo de la VPN y el resto lo permitimos:

• R1-CENTRAL(config)# access-list 100 deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
• R1-CENTRAL(config)# access-list 100 permit ip 192.168.2.0 0.0.0.255 any

Una vez realizado esto, lo aplicamos sobre nuestra interfaz WAN. Ojo, si ya tenéis crear esta entrada en vuestro router, deberéis borrarla y dejar únicamente la entrada "overload" como os indico a continuación ya que sino, os cogerá la entrada que tengáis y os enviará el tráfico de la VPN hacia Internet sin obtener respuesta:

• R1-CENTRAL(config)# ip nat inside source route-map nonat interface FastEthernet0/0 overload 

Ahora ya podemos aplicar el crypto-map a la interfaz wan:

• R1-CENTRAL(config)# interface FastEthernet0/0
• R1-CENTRAL(config-if)# ip address dhcp
• R1-CENTRAL(config-if)# ip nat outside
• R1-CENTRAL(config-if)# ip virtual-reassembly
• R1-CENTRAL(config-if)# duplex auto
• R1-CENTRAL(config-if)# speed auto
• R1-CENTRAL(config-if)# crypto map CENTRAL
• R1-CENTRAL(config-if)# exit

Ahora con un simple ping a una ip del otro extremo de la VPN deberia levantarnos el tunel sin problemas, podeis ver si el tunel se ha levantado o no con el comando:

• R1-CENTRAL# sh crypto isakmp sa

Si ocurriese algun problema en la negociacion del tunel, podeis debugearlo con el comando:

• R1-CENTRAL# debug crypto isakmp

Aquí os dejo la configuración ya resumida de la sede REMOTA

• R1-REMOTA# configure terminal
• R1-REMOTA(config)#crypto isakmp policy 1
• R1-REMOTA(config-isakmp)# encryption 3des
• R1-REMOTA(config-isakmp)# authentication pre-share
• R1-REMOTA(config-isakmp)# group 2
• R1-REMOTA(config-isakmp)# hash sha
• R1-REMOTA(config-isakmp)# exit
• R1-REMOTA(config)# crypto isakmp key 123456 address 1.2.3.4 
• R1-REMOTA(config)# crypto ipsec transform-set CONEXIONHACIACENTRAL esp-3des esp-sha-hmac
• R1-REMOTA(config)# crypto map CENTRAL 11 ipsec-isakmp
• R1-REMOTA(config-crypto-map)# set peer 1.2.3.4
• R1-REMOTA(config-crypto-map)# set transform-set CONEXIONHACIAREMOTA
• R1-REMOTA(config-crypto-map)# set pfs group2
• R1-REMOTA(config-crypto-map)# match address 120
• R1-REMOTA(config-crypto-map)# exit
• R1-REMOTA(config)# access-list 120 permit ip 192.168.0.0 0.0.0.255 192.168.2.0 0.0.0.255
• R1-REMOTA(config)# route-map nonat permit 10
• R1-REMOTA((config-route-map)# match ip address 100
• R1-REMOTA((config-route-map)# exit
• R1-REMOTA(config)# access-list 100 deny   ip 192.168.0.0 0.0.0.255 192.168.2.0 0.0.0.255
• R1-REMOTA(config)# access-list 100 permit ip 192.168.0.0 0.0.0.255 any 
• R1-REMOTA(config)# ip nat inside source route-map nonat interface FastEthernet0/0 overload
• R1-REMOTA(config)# interface FastEthernet0/0
• R1-REMOTA(config-if)# ip address dhcp
• R1-REMOTA(config-if)# ip nat outside
• R1-REMOTA(config-if)# ip virtual-reassembly
• R1-REMOTA(config-if)# duplex auto
• R1-REMOTA(config-if)# speed auto
• R1-REMOTA(config-if)# crypto map CENTRAL
• R1-REMOTA(config-if)# exit

Espero que os haya servido de ayuda

Fuente: http://undercan.blogspot.com.es/2012/02/vpn-de-tmg-2010-cisco-ios.html?m=1