Rubriques Connexes

# Configurer un Réseau Privé VPN d'un Firebox à un Périphérique Cisco ISR

Un tunnel de Branch Office Virtual Private Network (BOVPN) est un moyen sécurisé d'échanger des données via Internet entre des réseaux ou entre un hôte et un réseau. Ce document décrit comment configurer un tunnel BOVPN manuel entre un WatchGuard Firebox et un routeur à services intégrés Cisco ISR (modem DSL 877 dans cet exemple). La configuration présume que la connectivité est déjà établie entre les interfaces externes des deux périphériques. Le périphérique Cisco de notre exemple est configuré en tant que tunnel fractionné.

WatchGuard fournit des instructions d'interopérabilité pour aider nos clients à configurer les produits WatchGuard afin qu'ils fonctionnent avec des produits créés par d'autres organisations. Si vous avez besoin de plus d'informations ou d'un soutien technique concernant la configuration d'un produit autre que WatchGuard, consultez la documentation et les ressources de support de ce produit.

## Collecter les paramètres d'adresse IP et de tunnel

Pour créer un tunnel BOVPN manuel, la première chose à faire consiste à collecter les adresses IP et à décider des paramètres qu'utiliseront les points de terminaison.

Les deux périphériques utilisent les paramètres réseaux suivants :

Firebox :

Adresse IP de l'interface externe : 203.0.113.2

Adresse IP du réseau approuvé : 192.168.20.0/24

Périphérique Cisco ISR :

Adresse IP de l'interface externe : 198.51.100.2

Adresse IP du Réseau privé : 192.168.1.0/24

Dans cet exemple, les deux points de terminaison ont une adresse IP externe statique. Pour plus d'informations sur les réseaux Branch Office VPN vers un périphérique équipé d'une adresse IP externe dynamique, consultez Définir des extrémités de passerelle pour une passerelle BOVPN.

Vous devez également choisir les paramètres de Phase 1 et de Phase 2 que vous utiliserez. Dans cet exemple, nous utilisons les paramètres de configuration par défaut du réseau privé VPN pour les Phases 1 et 2 sur un Firebox avec Fireware v11.12.4. Nous configurons ensuite les paramètres de configuration VPN sur le périphérique Cisco ISR de sorte qu'ils correspondent aux paramètres par défaut du Firebox.

Assurez-vous de configurer correctement les points de terminaison du réseau VPN et de définir des paramètres de phases 1 et 2 identiques sur les deux périphériques. Les tunnels ne pourront pas s'établir si les paramètres ne correspondent pas.

Dans Fireware v12.0 et les versiosn ultérieures, les paramètres de sécurité BOVPN par défaut sont différents. Pour déterminer si ces paramètres sont compatibles avec votre périphérique Cisco, consultez la documentation se rapportant à ce dernier.

## Configurer le périphérique WatchGuard

Sur le Firebox, vous devez ajouter une passerelle VPN et ajouter un tunnel VPN qui utilise cette passerelle.

### Ajouter la passerelle VPN

Pour ajouter la passerelle VPN à partir de Fireware Web UI :

1. Sélectionnez VPN > Branch Office VPN.
2. Dans la section Passerelles, cliquez sur Ajouter.
   La page de paramètres Passerelle s'ouvre.

1. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
2. Entrez la clé prépartagée. Vous devrez utiliser la même clé lorsque vous configurerez le périphérique Cisco ISR.
3. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des points de terminaison de la nouvelle passerelle apparaît.

1. Dans la liste déroulante Interface externe, sélectionnez l'interface externe à utiliser.
2. Dans la zone de texte Par Adresse IP, saisissez l'adresse IP externe du Firebox.
   Dans cet exemple, l'adresse IP de la passerelle locale est 203.0.113.2.
3. Sélectionnez l'onglet Passerelle distante.

1. Dans les deux zones de texte Adresse IP, saisissez l'adresse IP externe du périphérique Cisco ISR.
   Dans cet exemple, l'adresse IP de la passerelle distante est 198.51.100.2.
2. Cliquez sur OK pour ajouter les paramètres d'extrémité de passerelle.
3. Cliquez sur Enregistrer pour enregistrer la nouvelle passerelle.
   La passerelle ajoutée apparaît dans la liste Passerelles.

Pour ajouter une passerelle Branch Office VPN dans Policy Manager :

1. Sélectionnez VPN > Passerelles Branch Office.
   La boîte de dialogue Passerelles s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle passerelle s'affiche.

1. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
2. Entrez la clé prépartagée. Vous devrez utiliser la même clé lorsque vous configurerez le périphérique Cisco ISR.
3. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des extrémités de la nouvelle passerelle apparaît.

1. Dans la section Passerelle locale, sélectionnez l'interface externe à utiliser dans la liste déroulante Interface externe.
2. Dans la zone de texte Par Adresse IP, saisissez l'adresse IP externe du Firebox.
   Dans cet exemple, l'adresse IP de la passerelle locale est 203.0.113.2.
3. Dans la section Passerelle distante, saisissez l'adresse IP externe du périphérique Cisco ISR dans les deux zones de texte Adresse IP.
   Dans cet exemple, l'adresse IP de la passerelle distante est 198.51.100.2.
4. Cliquez sur OK pour ajouter les paramètres d'extrémité de passerelle.
5. Cliquez sur OKpour enregistrer la nouvelle passerelle.
   La passerelle ajoutée apparaît dans la boîte de dialogue Passerelles.
6. Cliquez sur Fermer pour fermer la boîte de dialogue Passerelles.

### Ajouter le tunnel Branch Office VPN

Pour ajouter le tunnel Branch Office VPN à partir de Fireware Web UI :

1. Dans la section Tunnels, cliquez sur Ajouter.
   La page Tunnel apparaît.

1. Dans la zone de texte Nom de tunnel, entrez le nom du tunnel.
2. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous venez de créer.
3. Dans l'onglet Adresses, cliquez sur Ajouter pour ajouter une route de tunnel.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Pour créer une route de tunnel entre les réseaux privés des deux sites :

- Dans la section IP locale, dans la liste déroulante Choisir le type, sélectionnez IPv4 réseau. Dans la zone de texte IP réseau, saisissez l'adresse IP du réseau approuvé du Firebox.
  Dans cet exemple, l'adresse IP du réseau local approuvé est 192.168.20.0/24.
- Dans la section IP distante, dans la liste déroulante Choisir le type, sélectionnez IPv4 réseau. Dans la zone de texte IP réseau, saisissez l'adresse IP du réseau privé du périphérique Cisco ISR.
  Dans cet exemple, l'adresse IP du réseau privé distant est 192.168.1.0/24.

7. Cliquez sur OK pour ajouter la nouvelle route de tunnel.
8. Cliquez surEnregistrer pour ajouter le nouveau tunnel.

Lorsque vous enregistrez le tunnel, Fireware ajoute automatiquement deux nouvelles stratégies.

- La stratégie BOVPN-Allow.out autorise le trafic :
  - De : Tous
  - Vers : tunnel-vers-Cisco-ISR
- La stratégie BOVPN-Allow.in autorise le trafic :
  - De : tunnel-vers-Cisco-ISR
  - À : Tous

Pour ajouter le tunnel Branch Office VPN dans Policy Manager :

1. Sélectionnez VPN > Tunnels Branch Office.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouveau tunnel s'affiche.

1. Dans la zone de texte Nom de tunnel, entrez le nom du tunnel.
2. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous venez de créer.
3. Dans l'onglet Adresses, cliquez sur Ajouter pour ajouter une route de tunnel.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Pour créer une route de tunnel entre les réseaux privés des deux sites :

- Dans la zone de texte Local, saisissez l'adresse IP du réseau approuvé du Firebox.
  Dans cet exemple, l'adresse IP du réseau local approuvé est 192.168.20.0/24.
- Dans la zone de texte Distant, saisissez l'adresse IP du réseau privé du périphérique Cisco ISR.
  Dans cet exemple, l'adresse IP du réseau privé distant est 192.168.1.0/24.

7. Cliquez sur OK pour ajouter la nouvelle route de tunnel.
8. Cliquez sur OK pour ajouter le nouveau tunnel.
   Le tunnel ajouté apparaît dans la boîte de dialogue Tunnels IPSec Branch Office.
9. Cliquez sur Fermer pour fermer la boîte de dialogue Tunnels IPSec Branch Office.
   Policy Manager ajoute automatiquement deux nouvelles stratégies, BOVPN-Allow.out et BOVPN-Allow.in.

7. Enregistrez la configuration sur le Firebox.

## Configurer le Périphérique Cisco ISR

Cette procédure vous permet de configurer la passerelle et le tunnel VPN sur le périphérique Cisco ISR.

1. Connectez-vous au mode Enable de l'interface CLI de Cisco et passez en mode de configuration (conf t).
2. Si nécessaire, modifiez les listes d'accès utilisées pour NAT afin d'éviter la traduction du trafic VPN :

Router(config)#ip access-list extended NAT_ACL

Router(config-ext-nacl)#deny ip 192.168.1.0 0.0.0.255 192.168.20.0 0.0.0.255

Router(config-ext-nacl)#permit ip 192.168.1.0 0.0.0.255 any

Router(config-ext-nacl)#end

Router#conf t

Router(config)#ip nat inside source list NAT_ACL interface Dialer0 overload (remplacer Dialer0 par l'interface connectée à Internet)

1. Configurez les paramètres de phase 1.

Router(config)#crypto isakmp policy 1

Router(config-isakmp)#encryption 3des

Router(config-isakmp)#group 2

Router(config-isakmp)#hash sha

Router(config-isakmp)#authentication pre-share

Router(config-isakmp)#end

Router#conf t

Router(config)#crypto isakmp key 0 Password1! address 203.0.113.2

1. Configurez les paramètres de phase 2.

Router(config)#crypto ipsec transform-set vpn esp-aes 256 esp-sha-hmac

Router(config)#crypto map towatchguard 1 ipsec-isakmp

Router(config-crypto-map)#description tunnel_to_watchguard

Router(config-crypto-map)#set peer 203.0.113.2

Router(config-crypto-map)#set security-association lifetime kilobytes 1280000

Router(config-crypto-map)#set security-association lifetime seconds 86400

Router(config-crypto-map)#set transform-set vpn

Router(config-crypto-map)#match address 100 (pensez à créer la liste d'accès 100)

Router(config-crypto-map)#reverse-route

1. Ajoutez la liste d'accès 100 :

Router(config)#access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.20.0 0.0.0.255

1. Ajoutez le réseau privé VPN à l'interface :

Router(config)#interface Dialer0 (remplacer Dialer0 par l'interface connectée à Internet)

Router(config-if)#crypto map vpn

1. Enregistrer la configuration dans le périphérique Cisco (write mem)

## Dépanner le tunnel VPN

Pour dépanner la connectivité du réseau privé VPN depuis le périphérique Cisco, utilisez ces commandes sur l'interface CLI de Cisco :

Router#clear crypto sessions (Rétablit manuellement l'association de sécurité)

Router#debug crypto isakmp

Router#debug crypto ipsec

Pour dépanner le tunnel VPN à partir du Firebox, vous pouvez exécuter le Rapport de Diagnostic VPN.

Pour plus d'informations, voir Utiliser le rapport de diagnostique VPN

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique