思科IPsec如何自动发起协商

Question

分支机构是思科ASA5505，已和总部对接IPsec，请问思科5505是否支持自动发起协商建立隧道，该如何配置？（现在思科设备只要断电重启 就需要手动访问总部内网设备才可触发流量建立隧道）

Answer 1

以下回复参考：皆我百晓生、券券喵儿等免费微信小程序作答:

思科ASA 5505确实支持自动发起协商建立隧道，配置这一功能需要定义感兴趣流、配置流量NAT、设置IKE阶段一策略等步骤。

自动发起协商建立隧道的配置：

1. 定义感兴趣流：

   • 创建网络对象组：您需要定义哪些流量将会通过IPsec隧道。这通常是内部网络和远程网络之间的流量。
   • 配置访问控制列表：创建一个访问控制列表（ACL），指定哪些流量将被保护并通过IPsec隧道。

2. 配置流量NAT：

   • NAT豁免：为了确保IPsec流量能够正常通过NAT设备，您需要配置NAT豁免，这样走IPSec的流量就不会被NAT处理。

3. 设置IKE阶段一：

   • 启用IKEv1：在外部接口上启用IKEv1，以便开始IKE协商。
   • 配置IKE策略：定义IKE的策略，包括加密算法、验证方法、DH组等安全参数。

4. 设置IKE阶段二：

   • 定义IPsec提议：设定IPsec安全提议，指定加密和认证算法。
   • 创建密码材料：如果使用PSK（预共享密钥），则需要配置一个强大的密码作为密钥材料。
   • 指定对端地址：可能需要指定对端的地址或名称，以便设备知道与谁进行协商。

5. 应用安全策略：

   • 创建加密映射：将创建的IPsec提议和IKE策略绑定到加密映射中，并将其应用于相应的接口上。
   • 确保路由可达：配置正确的路由以确保两端的设备可以相互到达，这是自动协商的前提。

6. 验证和监控：

   • 检查状态：使用show命令检查IPsec SA和IKE SA的状态，确认隧道已建立并处于活动状态。
   • 调试和日志：利用日志记录和调试工具来追踪协商过程中可能出现的问题。

自动发起协商问题的故障排除：

1. 确保路由正确配置：两端的设备必须能够互相到达，如果不能，IKE协商将不会开始。

2. 检查防火墙ACL：确保防火墙的访问控制列表允许IKE和IPsec流量穿越防火墙。

3. 关注NAT问题：如果流量需要通过NAT设备，确保NAT配置正确，并且IPsec流量不会被NAT处理。

4. 协调参数一致：两端的IPsec安全参数必须匹配，包括算法和密钥素材，否则协商将失败。

5. 检查网络设备兼容性：确认网络中的所有设备都支持自动发起IPsec协商，一些老旧设备可能不支持这一特性。

总之，当完成上述配置后，思科ASA 5505应该能够在重启后自动与对端设备建立IPsec隧道，无需手动干预。如果在配置后仍然遇到连接问题，建议仔细检查每个步骤的配置，特别是网络对象的ACL以及NAT配置。同时，利用ASA提供的日志和监控工具来跟踪和定位问题。如果问题依旧无法解决，可考虑咨询思科技术支持获取专业帮助。