Netskope prend en charge les tunnels IPSec (Internet Protocol Security) en tant que méthode de gestion du trafic. Les tunnels IPSec vous permettent d'acheminer le trafic web (ports 80 et 443) vers Netskope à l'aide d'interfaces de tunnel logiques qui aboutissent à une passerelle IPSec de Netskope. Lorsque vous créez des tunnels IPSec dans l'interface utilisateur de Netskope, Netskope fournit des paramètres pour configurer les tunnels sur votre pare-feu. La configuration IPSec ci-dessous utilise les commandes et les concepts de Cisco IOS XE.
Ce guide explique comment configurer des tunnels IPSec entre Netskope et les routeurs Cisco suivants :
- Cisco CSR 1000v (VXE) fonctionnant sous IOS XE version 17.03.03
- Cisco ISR 3900 (C3900-UNIVERSALK9-M) fonctionnant sous IOS XE version 15.4(3)M3
IPSec propose deux modes : le mode tunnel et le mode transport. Ce guide est destiné au mode tunnel. Pour en savoir plus sur les étapes de la CLI sur Cisco iOS XE, consultez la documentation Cisco.
Conditions préalables
Avant de configurer IPSec, examinez les prérequis.
Création de tunnels IPSec dans Netskope
Pour créer les tunnels VPN IPSec pour Cisco IOS XE dans l'interface utilisateur Netskope, consultez la section Création d'un site IPSec.
Configuration des porte-clés IKEv2
Configurez deux porte-clés IKEv2 pour vos tunnels IPSec principal et de secours.
- Connectez-vous à votre routeur Cisco.
- Entrez dans le mode de configuration :
# configure terminal
- Entrez un nom de porte-clés IKEv2 pour le tunnel IPSec primaire :
(config)# crypto ikev2 keyring nskpkey1
- Entrez un nom d'homologue pour le tunnel IPSec primaire :
(config-ikev2-keyring)# peer ipsecgw
- Saisissez l'adresse IP de l'homologue :
(config-ikev2-keyring-peer)# address 10.136.176.30
- Saisissez le PSK de l'homologue :
(config-ikev2-keyring-peer)# pre-shared-key local NetskopeTest
- Entrez un nom de porte-clés IKEv2 pour le tunnel IPSec de secours :
(config)# crypto ikev2 keyring nskpkey2
- Entrez un nom d'homologue pour le tunnel IPSec de secours :
(config-ikev2-keyring)# peer ipsecgw2
- Saisissez l'adresse IP de l'homologue :
(config-ikev2-keyring-peer)# address 10.136.176.31
- Saisissez le PSK de l'homologue :
(config-ikev2-keyring-peer)# pre-shared-key local NetskopeTest
Configuration des profils IKEv2
Configurez deux profils IKEv2 à associer à vos porte-clés IKEv2. Les profils IKEv2 définissent les paramètres non négociables de la SA IKE.
- Entrez un nom de profil IKEv2 pour le tunnel IPSec primaire :
(config)# crypto ikev2 profile nsprofile1
- Définissez l'énoncé de correspondance pour le profil IKEv2 primaire :
(config-ikev2-profile)# match identity remote address 10.136.176.30 255.255.255.255
- Saisissez l'identité IKEv2 locale :
(config-ikev2-profile)# identity local fqdn cisco123
- Définissez la méthode d'authentification à distance :
(config-ikev2-profile)# authentication remote pre-share
- Définissez la méthode d'authentification locale :
(config-ikev2-profile)# authentication local pre-share
- Entrez le nom d’anneau de clé IKEv2 que vous avez configuré pour le tunnel IPSec de secours :
(config-ikev2-profile)# keyring local nskpkey1
- Activez la détection des pairs morts (DPD) et entrez un intervalle :
(config-ikev2-profile)# dpd 20 5 periodic
- Entrez un nom de profil IKEv2 pour le tunnel IPSec de secours :
(config)# crypto ikev2 profile nsprofile2
- Définissez l'énoncé de correspondance pour le profil IKEv2 de secours :
(config-ikev2-profile)# match identity remote address 10.136.176.31 255.255.255.255
- Saisissez l'identité IKEv2 locale :
(config-ikev2-profile)# identity local fqdn cisco4567
- Définissez la méthode d'authentification à distance :
(config-ikev2-profile)# authentication remote pre-share
- Définissez la méthode d'authentification locale :
(config-ikev2-profile)# authentication local pre-share
- Entrez le nom d’anneau de clé IKEv2 que vous avez configuré pour le tunnel IPSec de secours :
(config-ikev2-profile)# keyring local nskpkey2
- Activez DPD et entrez un intervalle :
(config-ikev2-profile)# dpd 20 5 periodic
Définition de l'ensemble de transformation IPSec
Le jeu de transformation définit les protocoles et algorithmes de sécurité que les homologues acceptent d'utiliser lors de la négociation de l'AS IPSec.
- Saisissez un nom pour l'ensemble de transformation et définissez les algorithmes d'authentification et de cryptage :
(config)# crypto ipsec transform-set nskptrans esp-gcm 256
- Définissez le mode IPSec :
(cfg-crypto-trans)# mode tunnel
Configuration des profils IPSec
Configurez deux profils IPSec à associer à votre ensemble de transformation et à vos profils IKEv2.
- Entrez un nom de profil IPSec pour le tunnel IPSec primaire :
(config)# crypto ipsec profile ipsec-prof-nskp1
- Voici le Définissant le Jeu de Transformations IPSec que vous avez défini pour les tunnels IPSec :
(ipsec-profile)# set transform-set nskptrans
- Saisissez le nom du profil IKEv2 que vous avez configuré pour le tunnel IPSec principal :
(ipsec-profile)# set ikev2-profile nsprofile1
- Entrez un nom de profil IPSec pour le tunnel IPSec de secours :
(config)# crypto ipsec profile ipsec-prof-nskp2
- Voici le Définissant le Jeu de Transformations IPSec que vous avez défini pour les tunnels IPSec :
(ipsec-profile)# set transform-set nskptrans
- Entrez le nom du profil IKEv2 que vous avez configuré pour le tunnel IPSec de secours :
(ipsec-profile)# set ikev2-profile nsprofile2
Création des interfaces du tunnel
Créez deux interfaces de tunnel à associer à vos profils IPSec.
- Créez votre interface de tunnel primaire avec un ID :
(config)# interface Tunnel1
- Entrez une adresse IP locale pour l'interface. Il peut s'agir de n'importe lequel d'entre eux.
(config-if)# ip address 10.0.0.1 255.255.255.0
- Définissez l'interface source du tunnel, c'est-à-dire l'interface à laquelle le tunnel est attaché. Il s'agit généralement de l'interface publique du routeur.
(config-if)# tunnel source 192.168.180.3
- Définissez le mode du tunnel :
(config-if)# tunnel mode ipsec ipv4
- Définissez la destination du tunnel à l’adresse IP du POP principal de Netskope, que vous avez copié dans Création de tunnels IPSec dans Netskope:
(config-if)# tunnel destination 10.136.176.30
- Saisissez le nom du profil IPSec que vous avez configuré pour le tunnel IPSec principal :
(config-if)# tunnel protection ipsec profile ipsec-prof-nskp1
- Créez votre interface de tunnel de sauvegarde avec un ID :
(config)# interface Tunnel2
- Entrez une adresse IP locale pour l'interface. Il peut s'agir de n'importe lequel d'entre eux.
(config-if)# ip address 9.0.0.1 255.255.255.0
- Définissez l'interface source du tunnel, c'est-à-dire l'interface à laquelle le tunnel est attaché. Il s'agit généralement de l'interface publique du routeur.
(config-if)# tunnel source 192.168.180.3
- Définissez le mode du tunnel :
(config-if)# tunnel mode ipsec ipv4
- Définissez la destination du tunnel sur l'adresse IP du point de présence (POP) de sauvegarde Netskope, que vous avez copiée dans la section « Création de tunnels IPSec dans Netskope »:
(config-if)# tunnel destination 10.136.176.31
- Saisissez le nom du profil IPSec que vous avez configuré pour le tunnel IPSec de sauvegarde :
(config-if)# tunnel protection ipsec profile ipsec-prof-nskp2
Configuration de la carte de route ACL &
Vous pouvez utiliser la feuille de route pour n'acheminer que le trafic web sur les ports 80 et 443 à travers les tunnels IPSec.
Pour configurer une liste de contrôle d'accès (ACL) et une feuille de route :
- Créez un ACL pour le trafic que vous voulez faire correspondre et auquel vous voulez appliquer la feuille de route :
(config)# access-list 101 permit tcp any any eq www (config)# access-list 101 permit tcp any any eq 443
- Définissez une carte de routage pour faire correspondre le trafic :
(config)# route-map netskope permit 5
- Attribuez la liste d'accès à la feuille de route que vous avez créée à l'étape 2 :
(config-route-map)# match ip address 101
- Définissez les interfaces du tunnel par ordre de priorité :
(config-route-map)# set interface Tunnel1 Tunnel2
- Appliquez la feuille de route à l'interface à partir de laquelle le trafic doit être réacheminé :
(config-route-map)# interface GigabitEthernet0/1 (config-if)# ip policy route-map netskope
Exemple de configuration CLI
Vous trouverez ci-dessous un exemple de configuration de tunnel IPSec pour les routeurs Cisco :
crypto ikev2 keyring nskpkey1
peer ipsecgw
address 10.136.176.30
pre-shared-key NetskopeTest
!
crypto ikev2 keyring nskpkey2
peer ipsecgw2
address 10.136.176.31
pre-shared-key NetskopeTest
!
crypto ikev2 profile nsprofile1
match fvrf any
match identity remote address 10.136.176.30 255.255.255.255
identity local fqdn cisco123
authentication remote pre-share
authentication local pre-share
keyring local nskpkey1
dpd 20 5 periodic
!
crypto ikev2 profile nsprofile2
match fvrf any
match identity remote address 10.136.176.31 255.255.255.255
identity local fqdn cisco4567
authentication remote pre-share
authentication local pre-share
keyring local nskpkey2
dpd 20 5 periodic
!
crypto ipsec transform-set nskptrans esp-gcm 256
mode tunnel
!
crypto ipsec profile ipsec-prof-nskp1
set transform-set nskptrans
set ikev2-profile nsprofile1
!
crypto ipsec profile ipsec-prof-nskp2
set transform-set nskptrans
set ikev2-profile nsprofile2
!
interface Tunnel1
ip address 10.0.0.1 255.255.255.0
tunnel source 192.168.180.3
tunnel mode ipsec ipv4
tunnel destination 10.136.176.30
tunnel protection ipsec profile ipsec-prof-nskp1
!
interface Tunnel2
ip address 9.0.0.1 255.255.255.0
tunnel source 192.168.180.3
tunnel mode ipsec ipv4
tunnel destination 10.136.176.31
tunnel protection ipsec profile ipsec-prof-nskp2
!
interface GigabitEthernet0/0
description "External network - VLAN180"
ip address 192.168.180.3 255.255.252.0
ip nat outside
ip virtual-reassembly in
duplex auto
speed auto
!
interface GigabitEthernet0/1
description "Internal network - VLAN119"
ip address 192.168.119.3 255.255.255.0
ip virtual-reassembly in
ip policy route-map netskope
duplex auto
speed auto
!
route-map netskope permit 5
match ip address 101
set interface Tunnel1 Tunnel2
!
access-list 101 permit tcp any any eq www
access-list 101 permit tcp any any eq 443
Dépannage
Vous pouvez utiliser l'une des commandes suivantes pour dépanner les tunnels IPSec sur le routeur Cisco :
Dépannage de la phase 1
Entrez la commande suivante pour dépanner la phase 1 :
# show crypto ikev2 sa
La sortie de l'interface CLI devrait ressembler à ce qui suit :
csr#sh crypto ikev2 session
IPv4 Crypto IKEv2 Session
Session-id:3326, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote fvrf/ivrf Status
2 10.2.10.85/4500 66.151.135.63/4500 none/none READY
Encr: AES-CBC, keysize: 256, PRF: SHA384, Hash: SHA384, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/11454 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 0.0.0.0/0 - 255.255.255.255/65535
ESP spi in/out: 0x8013BA61/0xC34C9E57
Session-id:3325, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote fvrf/ivrf Status
1 10.2.10.85/4500 163.116.136.184/4500 none/none READY
Encr: AES-CBC, keysize: 256, PRF: SHA384, Hash: SHA384, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/19347 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 0.0.0.0/0 - 255.255.255.255/65535
ESP spi in/out: 0x49262441/0xC09E0275
IPv6 Crypto IKEv2 Session
csr#sh crypto ikev2 sa
IPv4 Crypto IKEv2 SA
Tunnel-id Local Remote fvrf/ivrf Status
2 10.2.10.85/4500 66.151.135.63/4500 none/none READY
Encr: AES-CBC, keysize: 256, PRF: SHA384, Hash: SHA384, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/11123 sec
Tunnel-id Local Remote fvrf/ivrf Status
1 10.2.10.85/4500 163.116.136.184/4500 none/none READY
Encr: AES-CBC, keysize: 256, PRF: SHA384, Hash: SHA384, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/19016 sec
IPv6 Crypto IKEv2 SA
Dépannage de la phase 2
Entrez la commande suivante pour dépanner la phase 2 :
# show crypto ipsec sa
La sortie de l'interface CLI devrait ressembler à ce qui suit :
csr#sh crypto ipsec sa
interface: Tunnel1
Crypto map tag: Tunnel1-head-0, local addr 10.2.10.85
protected vrf: (none)
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
current_peer 163.116.136.184 port 4500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 151253, #pkts encrypt: 151253, #pkts digest: 151253
#pkts decaps: 3771, #pkts decrypt: 3771, #pkts verify: 3771
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 10.2.10.85, remote crypto endpt.: 163.116.136.184
plaintext mtu 1438, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet1
current outbound spi: 0xC5EB7597(3320542615)
PFS (Y/N): N, DH group: none
inbound esp sas:
spi: 0x7B464481(2068202625)
transform: esp-gcm 256 ,
in use settings ={Tunnel UDP-Encaps, }
conn id: 17496, flow_id: CSR:15496, sibling_flags FFFFFFFF80000048, crypto map: Tunnel1-head-0
sa timing: remaining key lifetime (k/sec): (2560/73)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE)
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xC5EB7597(3320542615)
transform: esp-gcm 256 ,
in use settings ={Tunnel UDP-Encaps, }
conn id: 17495, flow_id: CSR:15495, sibling_flags FFFFFFFF80000048, crypto map: Tunnel1-head-0
sa timing: remaining key lifetime (k/sec): (2552/73)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE)
outbound ah sas:
outbound pcp sas:
interface: Tunnel2
Crypto map tag: Tunnel2-head-0, local addr 10.2.10.85
protected vrf: (none)
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
current_peer 66.151.135.63 port 4500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 110, #pkts encrypt: 110, #pkts digest: 110
#pkts decaps: 112, #pkts decrypt: 112, #pkts verify: 112
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 10.2.10.85, remote crypto endpt.: 66.151.135.63
plaintext mtu 1438, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet1
current outbound spi: 0xCF1B446D(3474670701)
PFS (Y/N): N, DH group: none
inbound esp sas:
spi: 0x5C1B62E4(1545298660)
transform: esp-gcm 256 ,
in use settings ={Tunnel UDP-Encaps, }
conn id: 17494, flow_id: CSR:15494, sibling_flags FFFFFFFF80000048, crypto map: Tunnel2-head-0
sa timing: remaining key lifetime (k/sec): (2560/46)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE)
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xCF1B446D(3474670701)
transform: esp-gcm 256 ,
in use settings ={Tunnel UDP-Encaps, }
conn id: 17493, flow_id: CSR:15493, sibling_flags FFFFFFFF80000048, crypto map: Tunnel2-head-0
sa timing: remaining key lifetime (k/sec): (2560/46)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE) outbound ah sas:
outbound pcp sas: