Sécurité - Configuration de Auth-Proxy Inbound - Client VPN IPSec

Présentation au sujet: "Sécurité - Configuration de Auth-Proxy Inbound - Client VPN IPSec"— Transcription de la présentation:

1 Sécurité - Configuration de Auth-Proxy Inbound - Client VPN IPSec
l'Authentification Auth-Proxy Inbound - Client VPN IPSec avec NAT et CBAC ccnp_cch

2 Sommaire - Introduction - Versions de Matériel et de Logiciel
- Schéma du réseau - Configurations ccnp_cch

3 Introduction Cet exemple de configuration permet à un client VPN d'accéder à un serveur situé sur
un autre réseau au travers d'un tunnel IPSec après l'authentification de l'utilisateur. Un PC avec l'adresse IP utilise un navigateur Web pour accéder à un ser- veur situé à l'adresse Comme le Client VPN du PC est configuré pour pas- ser par l'extrémité du tunnel afin de joindre le réseau x, le tunnel IPSec est construit et le PC récupère une adresse prise dans le pool "PoolVPN". Le rou- teur R3640 fait une requête d'authentification. Après que l'utilisateur ait entré un nom d'utilisateur et un mot de passe (stockés sur le serveur TACACS+ à l'adresse ), la liste d'accès passée par le serveur TACACS+ sera ajouté dans les entrées de la liste d'accès 117. Versions de Matériel et de Logiciel utilisées: Cette configuration a été réalisée et testée en utilisant les versions suivantes: • Cisco IOS Release T • Cisco Routeur 3640 (c3600-jo3s56i-mz T) Schéma du Réseau Serveur Web Serveur TACACS+ R3640 Outside Inside Configuration Routeur 3640 Current configuration: ! version 12.1 service timestamps debug uptime service timestamps log uptime no service password encryption ! hostname R3640 ! aaa new-model ! aaa authentication login default group tacacs+ none aaa autorization exec default group tacacs+ none aaa autorization auth-proxy default group tacacs+ enable secret 5 $1$Rtuvw$3F9TdY/q3S0vu1 enable password ww ccnp_cch

4 ip subnet-zero ! ip inspect name MyFw cuseeme timeout 3600 ip inspect name MyFw ftp timeout 3600 ip inspect name MyFw http timeout 3600 ip inspect name MyFw rcmd timeout 3600 ip inspect name MyFw realaudio timeout 3600 ip inspect name MyFw smtp timeout 3600 ip inspect name MyFw sqlnet timeout 3600 ip inspect name MyFw streamworks timeout 3600 ip inspect name MyFw tftp timeout 30 ip inspect name MyFw udp timeout 15 ip inspect name MyFw tcp timeout 3600 ip inspect name MyFw vdolive ip auth-proxy auth-proxy-banner ip auth-proxy auth-cache-time 10 ip auth-proxy name Liste_A http ! ip audit notify log ip audit po max-events 100 ! crypto isakmp policy 10 hash md5 authentication pre-share crypto isakmp key cisco1234 address crypto isakmp client configuration address-pool local PoolVPN ! crypto ipsec transform-set Mypolicy esp-des esp-md5-hmac ! crypto dynamic-map Dyna 10 set transform-set Mypolicy ! crypto map Test client configuration address initiate crypto map Test client configuration address respond crypto map Test 5 ipsec-isakmp dynamic Dyna ! interface Loopback0 ip address ! interface Ethernet0/0 ip address ip nat inside ip inspect myfw ip route-cache policy ip access-group 116 in no ip mroute-cache ip policy route-map Nonat ! interface Ethernet2/0 ip address ip acces-group 11 in ip auth-proxy Liste_A ip nat outside ip inspect MyFw in no ip mroute-cache crypto map Test ! ccnp_cch

5 ip local pool PoolVPN ! ip nat pool Pool_Out netmask ip nat inside source route-map Rmap Pool_Out ip classless ! ip route ip route ! no ip http server ! access-list 110 deny ip access-list 110 permit ip any ! access-list 117 permit esp any any access-list 117 permit udp any any eq isakmp access-list 120 permit ip ! route-map Rmap permit 10 match ip address 110 ! route-map Nonat permit 10 match ip address 120 set ip next-hop route-map Nonat permit 10 ! tacacs-server host tacacs-server key cisco ! line cons 0 transport input none line aux 0 line vty 0 4 paswword ww ! end ccnp_cch