Implementacion VPN Site to Site

UNIVERSIDAD INCA GARCILASO DE LA VEGA FACULTAD DE INGENIERIA DE SISTEMAS COMPUTO Y TELECOMUNICACIONES Apellidos y Nombres: !!

Impleme"#$%i&" VPN Si#e #o Si#e En la topología mostrada configuremos VPN Site to Site usando CLI sobre 2 routers 1721 con advancesecurit I!S" Separemos por etapas la configuraci#n$ 1"% La configuraci#n &abitual de enrutamiento con EI'(P )S * 1+1

Router

Serial 0

Serial 1

R1

10.1.1.1 //3 30

------------------

R2

10.2.2.2 /30

10.1.1.2 /30

R3

-----------------

10.2.2.1 /3 /30

FastEthernet 0 192.168.1.1 / 24 ----------------192.168.3.1 / 24

Sobre eigrp e,ecutar no auto%summar- para visuali.ar las subredes con tracert" 2"% /abilitar las opciones de encriptaci#n para generar el t0nel VPN" Implementar los parmetros de i"#er%$mbio de Ll$'es de I"#er"e#- IE" Implementar los parmetros de IPsec Verificar 3ue IE es soportado  &abilitado" % 4I'V %

I"(! Nes#or )$*#is#$

1

UNIVERSIDAD INCA GARCILASO DE LA VEGA FACULTAD DE INGENIERIA DE SISTEMAS COMPUTO Y TELECOMUNICACIONES Apellidos y Nombres: !!

(56config8crpto isa9mp enable IE define el m:todo de intercambio de llaves usado para pasar  validar las políticas entre pares del VPN" En la siguiente fase los pares intercambian  validan sus políticas antes creadas- para autenticar  encriptar el trfico de datos" 5"% 'enerar la política basado en un identificador 3ue puede ser num:rico$ (56config8crpto isa9mp polic 1+ (56config%isa9mp8 ; "% Crear las reglas de la politica 1+ /abilitamos el intercambio de llaves compartidas" (56config%isa9mp8 aut&entication pre%s&are ?efinimos el algoritmo de encriptaci#n para proteger el tunel (56config%isa9mp8 encrpcion aes 2@A ?efinimos el algoritmo de &as&ing para la transferencia encriptada" (56config%isa9mp8 &as& s&a ?efinimos el grupo @ (56config%isa9mp8 group @ ?efinimos el tiempo de vida para la asociaci#n de seguridad a trav:s de IS)BP" (56config%isa9mp8 lifetime 5A++ Verificamos 3ue las políticas &an sido creadas (58s&o crpto isa9mp polic % 4I'V %

I"(! Nes#or )$*#is#$

2

UNIVERSIDAD INCA GARCILASO DE LA VEGA FACULTAD DE INGENIERIA DE SISTEMAS COMPUTO Y TELECOMUNICACIONES Apellidos y Nombres: !! 'lobal IE polic Protection suite of priorit 1+ encrption algorit&m$ )ES % )dvanced Encrption Standard 62@A bit 9es" &as& algorit&m$ Secure /as& Standard aut&entication met&od$ Pre%S&ared e ?iffie%/ellman group$ 8@ 61@5A bit lifetime$ 5A++ seconds- no volume limit ?efault protection suite encrption algorit&m$ ?ES % ?ata Encrption Standard 6@A bit 9es" &as& algorit&m$ Secure /as& Standard aut&entication met&od$ (ivest%S&amir%)dleman Signature ?iffie%/ellman group$ 81 67AD bit lifetime$ DA>++ seconds- no volume limit

@"% Configurar las llaves compartidas (56config8 crpto isa9mp 9e cisco125 address 1+"1"1"1 A"% Configurar la conversion a IPsec  los tiempos de vida" (56config8 crpto ipsec transform%set @+ esp%aes 2@A esp%s&a%&mac ESP es el protocolo de seguridad del encapsulado" Estos parmetros deben coincidir con el otro etremo" Fambi:n podemos definir el tiempo de vida de 5A++ por otro dentro del IPsec para la asociaci#n con el otro etremo del t0nel" (56config8crpto ipsec securit%association lifetime seconds 1D++ 7"% ?efinimos el trfico de inter:s" Para definir esto se &a de crear una )CL 3ue permita el matc&ing- con el trafico 3ue nosotros deseemos 3ue pase por la VPN" (56config8access%list 1+1 permit ip 1G2"1AD"5"+ +"+"+"2@@ 1G2"1AD"1"+ +"+"+"2@@ D"% Crear  aplicar el crpto map" Creamos el crpto map en (5 llamado CB)P con un numero 1+ de secuencia- se mostrara un mensa,e de edici#n" (56config8 crpto map CB)P 1+ ipsec%isa9mp H N!FE$ F&is ne crpto map ill remain disabled until a peer and a valid access list &ave been configured"

% 4I'V %

I"(! Nes#or )$*#is#$

3

UNIVERSIDAD INCA GARCILASO DE LA VEGA FACULTAD DE INGENIERIA DE SISTEMAS COMPUTO Y TELECOMUNICACIONES Apellidos y Nombres: !!

4sar el comando matc& address con el n0mero de la )CL- para especificar el trafico de inter:s a encriptar" (56config%crpto%map8matc& address 1+1 Luego establecer la direcci#n del otro etremo del t0nel" (56config%crpto%map8set peer 1+"1"1"1 (56config%crpto%map8set pfs group@ (56config%crpto%map8set transform%set @+ (56config%crpto%map8set securit%association lifetime seconds G++ G"% Lo ultimo seria aplicar el mapa a la interface" Para (5 es Serial 1 (56config8interface serial 1 (56config%if8crpto map CB)P 1+"% Verificamos nuestros resultados Verificar la configuraci#n del IPsec (58s&o crpto ipsec transform%set Fransform set @+$  esp%2@A%aes esp%s&a%&mac J ill negotiate *  Funnel- J-

(58s&o crpto map Crpto Bap KCB)PK 1+ ipsec%isa9mp Peer * 1+"1"1"1 Etended IP access list 1+1 access%list 1+1 permit ip 1G2"1AD"5"+ +"+"+"2@@ 1G2"1AD"1"+ +"+"+"2@@ Current peer$ 1+"1"1"1 Securit association lifetime$ >A+D+++ 9ilobtesG++ seconds PMS 6N$  ?/ group$ group@ Fransform sets* @+J Interfaces using crpto map CB)P$   Serial1

Veri+i%$mos l$ Oper$%io" del VPN (58s&o crpto isa9mp sa dst

src

state

conn%id slot status % 4I'V %

I"(! Nes#or )$*#is#$

4

UNIVERSIDAD INCA GARCILASO DE LA VEGA FACULTAD DE INGENIERIA DE SISTEMAS COMPUTO Y TELECOMUNICACIONES Apellidos y Nombres: !! 1+"1"1"1 1+"2"2"1 OBI?LE 1 + )CFIVE

Bostramos la asociaci#n de seguridad IPsec" (58s&o crpto ipsec sa interface$ Serial1 Crpto map tag$ CB)P- local addr 1+"2"2"1 protected vrf$ 6none local ident 6addrmas9protport$ 61G2"1AD"5"+2@@"2@@"2@@"+++ remote ident 6addrmas9protport$ 61G2"1AD"1"+2@@"2@@"2@@"+++ currentpeer 1+"1"1"1 port @++ PE(BIF- flags*originisacl-J 8p9ts encaps$ 7- 8p9ts encrpt$ 7- 8p9ts digest$ 7 8p9ts decaps$ 7- 8p9ts decrpt$ 7- 8p9ts verif$ 7 8p9ts compressed$ +- 8p9ts decompressed$ + 8p9ts not compressed$ +- 8p9ts compr" failed$ + 8p9ts not decompressed$ +- 8p9ts decompress failed$ + 8send errors 5- 8recv errors + local crpto endpt"$ 1+"2"2"1- remote crpto endpt"$ 1+"1"1"1 pat& mtu 1@++- ip mtu 1@++- ip mtu idb Serial1 current outbound spi$ +771GQC+161GGD17@255 inbound esp sas$ spi$ +M1QGM2+)6>+@@>G@17D transform$ esp%2@A%aes esp%s&a%&mac in use settings *Funnel- J conn id$ 2++1- floid$ 1- crpto map$ CB)P sa timing$ remaining 9e lifetime 69sec$ 6>@75@+1771 IV si.e$ 1A btes repla detection support$  Status$ )CFIVE inbound a& sas$ inbound pcp sas$ outbound esp sas$ spi$ +771GQC+161GGD17@255 transform$ esp%2@A%aes esp%s&a%&mac in use settings *Funnel- J conn id$ 2++2- floid$ 2- crpto map$ CB)P sa timing$ remaining 9e lifetime 69sec$ 6>@75@+17>D IV si.e$ 1A btes repla detection support$  Status$ )CFIVE

% 4I'V %

I"(! Nes#or )$*#is#$

5

UNIVERSIDAD INCA GARCILASO DE LA VEGA FACULTAD DE INGENIERIA DE SISTEMAS COMPUTO Y TELECOMUNICACIONES Apellidos y Nombres: !! outbound a& sas$

outbound pcp sas$

11"% )seguramos nuestros routers con SS/  /FFPS" (56config8ip domain%name inictel"gob"pe (56config8crpto 9e generate rsa F&e name for t&e 9es ill be$ (5"inictel"gob"pe C&oose t&e si.e of t&e 9e modulus in t&e range of 5A+ to 2+>D for our 'eneral Purpose es" C&oosing a 9e modulus greater t&an @12 ma ta9e a fe minutes" /o man bits in t&e modulus R@12$ H 'enerating @12 bit (S) 9es- 9es ill be non%eportable"""R! TBar 1 +A$27$1+"AA7$ (S) 9e si.e needs to be atleast 7AD bits for ss& version 2 TBar 1 +A$27$1+"A71$ HSS/%@%EN)QLE?$ SS/ 1"@ &as been enabled

Creamos el usuario administrador /abilitamos SS/ como 0nico protocolo de sesi#n &acia el router" (56config8username admin privilege 1@ passord class (56config8line vt + > (56config%line8transport input ss& (56config%line8login local /abilitamos /FFPS (56config8ip &ttp secure%server H 'enerating 1+2> bit (S) 9es- 9es ill be non%eportable""" TBar 1 +A$5@$17"11@$ HPI%A%)4F!S)VE$ (unning configuration saved to NV()B

% 4I'V %

I"(! Nes#or )$*#is#$

6