Rubriques Connexes

# Configurer un Réseau Privé VPN d'un Firebox à un Périphérique Cisco ASA

Un tunnel de Branch Office Virtual Private Network (BOVPN) est un moyen sécurisé d'échanger des données via Internet entre des réseaux ou entre un hôte et un réseau. Ce document vous explique comment définir un tunnel BOVPN manuel entre un Firebox et un périphérique ASA Cisco (8.6(1)2). Avant de créer un tunnel BOVPN, vous devez récupérer les adresses IP de chaque point de terminaison et décider des paramètres de tunnel communs que vous utiliserez.

Cette rubrique ne donne aucune information détaillée sur la signification des différents paramètres BOVPN ni sur l'incidence qu'ils peuvent avoir sur le tunnel. Si vous voulez en savoir plus sur un paramètre précis, servez-vous des ressources suivantes :

- À propos des Tunnels Branch Office VPN Manuels
- Configurer des Passerelles BOVPN Manuelles
- Configurer des Tunnels BOVPN Manuels

WatchGuard fournit des instructions d'interopérabilité pour aider nos clients à configurer les produits WatchGuard afin qu'ils fonctionnent avec des produits créés par d'autres organisations. Si vous avez besoin de plus d'informations ou d'un soutien technique concernant la configuration d'un produit autre que WatchGuard, consultez la documentation et les ressources de support de ce produit.

## Résumé de la configuration VPN

À titre de référence, voici un résumé de la configuration VPN par défaut du périphérique Cisco ASA. Les paramètres qui ne correspondent pas aux paramètres de configuration VPN par défaut dans Fireware v11.12.4 sont mis en avant.

Dans Fireware v12.0 et les versions ultérieures, les paramètres de sécurité BOVPN par défaut sont différents. Pour déterminer si ces paramètres sont compatibles avec votre périphérique Cisco, consultez la documentation se rapportant à ce dernier.

Paramètres du réseau privé VPN (Virtual Private Network) | Périphérique WatchGuard par défaut (v11.12.4) | Périphérique Cisco ASA par défaut (8.6(1)2) | Correspondant ?
--- | --- | --- | ---
Paramètres de Phase 1
Mode d'échange IKE | Principal | Principal + IKEv2 | N
Authentification | SHA1 | * Voir ci-dessous | O
Chiffrement | 3DES | * Voir ci-dessous | O
Groupe Diffie-Hellman | 2 | 2 | O
Paramètres de Phase 2
Perfect Forward Secrecy (PFS) | Non | Oui | N
Protocole | ESP | ESP | O
Authentification | SHA1 | * Voir ci-dessous | O
Chiffrement | AES (256 bits) | * Voir ci-dessous | N

* Le Cisco ASA offre une grande variété de propositions pour les Phases 1 et 2. Les paramètres par défaut de votre Firebox correspondront à l'une des propositions. Toutefois, si vous ne supprimez pas les autres propositions de la configuration du Cisco, le Firebox risque de créer des messages de journal indiquant un échec durant les négociations VPN, même si la connexion VPN s'établit avec succès.

Dans la plupart des configurations VPN, vous pouvez laisser les valeurs par défaut de délai d'attente pour les Phases 1 et 2 du tunnel tant que l'ensemble des autres paramètres correspondent. Dans certains cas, les négociations VPN avec les périphériques Cisco ASA échouent lorsque le Firebox est l'initiateur. Pour cette raison, la valeur de délai d'attente de la configuration VPN du Cisco ASA peut être définie à une valeur inférieure au délai d'attente par défaut du Firebox.

## Collecter les paramètres d'adresse IP et de tunnel

Pour créer un tunnel BOVPN manuel, la première chose à faire consiste à collecter les adresses IP et à décider des paramètres qu'utiliseront les points de terminaison.

Avant de pouvoir configurer un Branch Office VPN, vous devez collecter les adresses IP publiques de chaque périphérique et les adresses IP des réseaux privés auxquels vous souhaitez vous connecter. Vous devez également choisir les paramètres des Phases 1 et 2 à utiliser pour le VPN. Cette procédure décrit comment configurer un Firebox de sorte que les paramètres de Phase 1 et de Phase 2 correspondent aux paramètres par défaut du périphérique Cisco.

Les paramètres d'adresse IP que vous collectez peuvent ressembler à ceci, par exemple :

WatchGuard Firebox :

Adresse IP de l'interface externe : 203.0.113.2

Adresse IP du réseau approuvé : 10.0.1.0/24

Périphérique Cisco ASA :

Adresse IP de l'interface externe : 198.51.100.2

Adresse IP du réseau privé : 10.50.1.0/24

## Configurer le périphérique WatchGuard

Sur le Firebox, vous ajoutez une passerelle VPN et ajoutez un tunnel VPN qui utilise cette passerelle.

### Ajouter la passerelle VPN

Pour ajouter la passerelle VPN à partir de Fireware Web UI :

1. Sélectionnez VPN > Branch Office VPN.
2. Sous la liste Passerelles, cliquez sur Ajouter.
   La page de paramètres Passerelle s'ouvre.
3. Sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards. Ce doit être la même clé que celle utilisée sur le périphérique Cisco.
4. Sous la liste Extrémité de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des extrémités de passerelle apparaît.

1. Dans la liste déroulante Interface externe, sélectionnez l'interface externe comportant l'adresse IP publique.
2. Sélectionnez Par adresse IP. Saisissez l'adresse IP externe (publique) du Firebox.
3. Sélectionnez l'onglet Passerelle distante.

1. Dans la section Spécifier l'adresse IP de la passerelle distante pour un tunnel, sélectionnez Adresse IP statique. Saisissez l'adresse IP externe (publique) du périphérique Cisco.
2. Dans la section Spécifier l'ID de passerelle pour l'authentification du tunnel, sélectionnez Par Adresse IP. Saisissez l'adresse IP publique du périphérique Cisco.
3. Cliquez sur OK pour fermer la boîte de dialogue Paramètres des extrémités de passerelle.
   La paire de passerelles que vous avez définie apparaît dans la liste des points de terminaison de passerelle.

Pour ajouter la passerelle VPN à partir de Policy Manager :

1. Dans Policy Manager, sélectionnez VPN > Passerelles Branch Office.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle passerelle s'affiche.
3. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
4. Sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards. Ce doit être la même clé que celle utilisée sur le périphérique Cisco.
5. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des extrémités de la nouvelle passerelle apparaît.

1. Dans la liste déroulante Interface externe, sélectionnez l'interface externe comportant l'adresse IP publique.
2. Dans la section Passerelle locale, sélectionnez Par Adresse IP.
3. Sélectionnez l'adresse IP externe (publique) du périphérique dans la liste déroulante Adresse IP.
4. Dans la section Spécifier l'adresse IP de la passerelle distante pour un tunnel, sélectionnez Adresse IP statique. Saisissez l'adresse IP externe (publique) du périphérique Cisco.
5. Dans la section Spécifier l'ID de passerelle pour l'authentification du tunnel, sélectionnez Par Adresse IP. Saisissez l'adresse IP publique du périphérique Cisco.
6. Cliquez sur OK.
   La paire d'extrémités de passerelle que vous avez définie apparaît dans la liste des extrémités de passerelle.
7. Cliquez sur OK ajouter la passerelle.
8. Cliquez sur Fermer.

### Ajouter un tunnel VPN

Pour ajouter le tunnel VPN à partir de Fireware Web UI :

1. Sélectionnez VPN > Branch Office.
2. Sous la liste Tunnels, cliquez sur Ajouter.
3. Dans la zone de texte Nom, saisissez un nom de tunnel significatif.
4. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous avez configurée pour le périphérique Cisco.
5. Sous la liste Adresses, cliquez sur Ajouter.
   La boîte de dialogue Paramètres de route du tunnel s'affiche.

1. Dans les paramètres IP locale, sélectionnez IPv4 réseau dans la liste déroulante Choisir le type. Saisissez l'adresse IP du réseau local pour lequel vous souhaitez utiliser le tunnel VPN.
2. Dans les paramètres IP distante, dans la liste déroulante Choisir le type, sélectionnez IPv4 réseau. Saisissez l'adresse IP du réseau privé du périphérique Cisco que vous utiliserez pour le tunnel VPN.
3. Cliquez sur OK pour ajouter la route de tunnel.
   La route de tunnel est ajoutée à l'onglet Adresses de la page de configuration du tunnel.
4. Cliquez sur Sauvegarder.
   La configuration de route de tunnel est ajoutée à la liste Tunnels.

Pour ajouter le tunnel VPN à partir de Policy Manager :

1. Dans Policy Manager, sélectionnez VPN > Tunnels Branch Office.
   La boîte de dialogue Tunnels IPSec Branch Office s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouveau tunnel s'affiche.
3. Dans la zone de texte Nom de tunnel, entrez un nom de tunnel pertinent.
4. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous avez configurée pour le périphérique Cisco.
5. Cliquez sur Ajouter pour ajouter une route de tunnel.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.
6. Dans la zone de texte Local, saisissez l'adresse IP du réseau local pour lequel vous souhaitez utiliser le tunnel VPN.
7. Dans la zone de texte Distant, saisissez l'adresse IP du réseau privé du périphérique Cisco que vous utiliserez pour le tunnel VPN.
8. Cliquez surOKpour ajouter la route de tunnel.
   La route de tunnel est ajoutée à l'onglet Adresses de la boîte de dialogue Nouveau tunnel.

1. Cliquez sur OK pour ajouter le nouveau tunnel à la configuration.
2. Cliquez sur Fermer pour fermer la boîte de dialogue Tunnels IPSec Branch Office.
3. Pour enregistrer la configuration sur votre périphérique, sélectionnez Fichier > Enregistrer > Vers Firebox.

## Configurer le Périphérique Cisco ASA

Cette procédure décrit comment configurer manuellement les paramètres VPN du périphérique Cisco ASA dans l'interface ASDM. Si vous préférez l'interface de terminal pour ce périphérique, veuillez consulter la documentation du produit Cisco pour plus d'informations.

### Créer des Objets d'Adresse pour les Sous-réseaux Cisco et WatchGuard.

Le périphérique Cisco utilise des objets d'adresse pour la configuration des stratégies et du VPN. Ces objets d'adresse sont très similaires aux alias d'un Firebox.

Pour créer des objets d'adresse dans la section de configuration de l'interface ASDM :

1. Dans le menu de la barre latérale, sélectionnez Pare-feu.
2. Dans le menu Pare-feu, sélectionnez Objets > Groupes/Objets réseau.
3. Cliquez sur Ajouter> Objet réseau.
   La boîte de dialogue Ajouter un objet réseau s'affiche.

1. Dans la zone de texte Nom, saisissez un nom significatif pour le réseau local situé derrière le Firebox.
2. Dans la liste déroulante Type, sélectionnez Réseau.
3. Dans la zone de texte Adresse IP, saisissez l'ID de sous-réseau du réseau local connecté au Firebox.
4. Dans la zone de texte Masque réseau, saisissez le masque de sous-réseau du réseau local connecté au Firebox.
5. Cliquez sur OK pour terminer la configuration Objet réseau.

Si vous n'avez pas déjà configuré un Objet réseau pour le réseau local connecté au périphérique Cisco ASA, répétez ces étapes pour en créer un. Utilisez l'adresse IP et le masque de réseau du réseau local connecté au périphérique Cisco.

## Configurer un profil de connexion

Dans la section de configuration de l'interface ASDM :

1. Dans le menu de la barre latérale, sélectionnez VPN site à site.
2. Sous Profils de connexion, cliquez sur Ajouter.
   La boîte de dialogue Ajouter un profil de connexion site à site IPSec s'affiche.

1. Dans la zone de texte Adresse IP pair, saisissez l'adresse IP publique de l'interface externe du Firebox.
2. Dans la liste déroulante Interface, sélectionnez l'interface externe que le tunnel VPN utilisera sur le périphérique Cisco.
3. Dans la zone de texte Réseau local, saisissez l'adresse IP du réseau situé derrière le périphérique Cisco, ou cliquez sur le bouton adjacent pour sélectionner l'objet réseau que vous avez défini pour le réseau local.
4. Dans la zone de texte Réseau distant, saisissez l'adresse IP du réseau situé derrière le Firebox, ou cliquez sur le bouton adjacent pour sélectionner l'objet réseau que vous avez défini pour le réseau WatchGuard.
5. Décochez la case Activer IKE v2.
6. Dans la zone de texte Clé pré-partagée de l'onglet Paramètre IKE v1 de la section Paramètres IPsec, saisissez la clé pré-partagée que vous avez configurée pour cette passerelle sur le Firebox.
7. Dans la zone de texte Proposition IPSec, supprimez toutes les entrées à l'exception de ESP-AES-256-SHA. Cela réduit le nombre de messages d'erreur VPN qui apparaissent dans le fichier journal du Firebox.
8. Cliquez sur OK pour terminer la configuration VPN.

Si vous souhaitez apporter des modifications aux paramètres avancés pour ce profil de connexion, cliquez sur OK et rouvrez le profil. Les paramètres par défaut de certaines options de la section Basique sont restaurés si vous modifiez les paramètres Avancés avant d'enregistrer le profil de connexion.

1. Cliquez sur Appliquer pour enregistrer les modifications sur votre configuration en cours d'exécution.

Les modifications que vous apportez à la configuration en cours d'exécution ne sont pas conservées lors d'un redémarrage du périphérique Cisco. Pour valider ces modifications dans la mémoire flash permanente, cliquez sur l'icône Enregistrer en haut de l'interface ASDM.

Après avoir terminé la configuration VPN sur les périphériques WatchGuard et Cisco, un hôte de l'un des réseaux doit envoyer du trafic vers le réseau distant pour initier les négociations du tunnel VPN.

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique