Cómo configurar un túnel IPSec en un router Cisco

Descubre los secretos Cómo configurar un túnel IPSec en un router Cisco con nuestra guía paso a paso. Simplifica tareas de redes complejas y asegura conexiones sin esfuerzo. 

Introducción 

En esta guía completa, te mostraremos cómo configurar un túnel IPsec en tu confiable enrutador Cisco. Navegar por las complejidades de la seguridad de redes puede resultar abrumador, pero no te preocupes. Ya seas un profesional de TI experimentado o estés comenzando a explorar el mundo de las redes, este tutorial paso a paso te proporcionará el conocimiento y la confianza que necesitas para establecer una conexión segura y confiable, independientemente de tu nivel de experiencia. Prepara tu red para contar con características de seguridad sólidas que un túnel IPsec puede proporcionar. ¡Empecemos!

¿Qué es un Túnel IPsec?

Como piedra angular de la comunicación segura en el paisaje digital, el túnel IPsec tiene un peso significativo en el mundo de la seguridad de redes. Pero, ¿qué es exactamente un túnel IPsec y por qué es tan vital en el mundo interconectado de hoy en día?

Entendiendo los Fundamentos

Este método permite la comunicación segura de dos redes a través de Internet mediante un conducto virtual y cifrado. Los túneles IPsec, abreviados de túneles de seguridad del Protocolo de Internet, se utilizan para asegurar la comunicación entre dos redes. Específicamente, esta tecnología es crítica para organizaciones y empresas que requieren conexiones seguras y privadas entre sus oficinas o con trabajadores remotos.

La Anatomía de un Túnel IPsec

El túnel IPsec garantiza la confidencialidad, integridad y autenticidad de los datos al combinar protocolos con técnicas criptográficas. El encabezado de autenticación (AH) y la carga de seguridad encapsulada (ESP) son los principales componentes que logran esto.

El Encabezado de Autenticación autentica al remitente y verifica que los datos no han sido manipulados durante el tránsito. Por otro lado, la Carga de Seguridad Encapsulada proporciona cifrado, protegiendo el contenido de la comunicación de miradas indiscretas.

Casos de Uso y Beneficios

Un túnel IPsec puede ser utilizado en una variedad de situaciones, incluyendo el establecimiento de enlaces seguros entre las sucursales de una empresa, lo que permite un intercambio de datos y colaboración sin problemas. Además de proporcionar a los trabajadores remotos un acceso seguro a los recursos de la organización, también desempeñan un papel importante en garantizar la seguridad de una organización.

Existen una serie de beneficios al utilizar túneles IPsec. Además, proporcionan una solución rentable para organizaciones que buscan mantener conexiones seguras sin necesidad de líneas dedicadas alquiladas, ya que brindan una defensa sólida contra el espionaje, la manipulación de datos y otras actividades maliciosas.

Configurando un Túnel IPsec

Aunque los túneles IPsec pueden parecer complejos, pueden configurarse fácilmente siguiendo un proceso bien documentado. La mayoría de los dispositivos de red, incluidos los routers Cisco, están equipados con interfaces amigables que simplifican el proceso de configuración. Sin embargo, es crucial asegurarse de la compatibilidad entre los dispositivos involucrados y seguir las mejores prácticas.

Cómo configurar un túnel IPsec en un router Cisco?

Configurar un túnel IPsec en un router Cisco es un paso esencial para fortalecer la seguridad de su red. Esta tecnología robusta establece un canal seguro para la transmisión de datos, asegurando que la información sensible permanezca protegida contra posibles amenazas. En esta guía, profundizaremos en un proceso paso a paso, extrayendo información de la documentación oficial de Cisco para brindarle las instrucciones más precisas y confiables.

Enrutador A

!— Establecer una política ISAKMP para la Fase 1 de las negociaciones del túnel L2L.

Política 10 del crypto isakmp

Cifrado basado en AES

El valor hash es sha256

Un proceso de autenticación antes de compartir

El grupo 14

!— Proporcionar la dirección del par remoto y la clave precompartida

!— Coincidiendo con el túnel para L2L.

La clave crypto isakmp para la dirección del usuario VPN es 10.0.0.2

!— Desarrollar la política de negociación IPsec para la Fase 2.

Conjunto de transformación Ipsec cifrado esp-aes cifrado esp-sha256-hmac

!— Encriptar el tráfico creando una ACL.

!— En este ejemplo, el tráfico desde 10.1.1.0/24 hacia 172.16.2.0/24

!— está encriptado. El tráfico que no coincide con la lista de acceso 

!— no está encriptado para Internet.

La lista de acceso 100 permite las siguientes direcciones IP: 10.1.1.0 0.0.0.255 172.16.2.0 0.0.0.255

!— Crear el mapa criptográfico real. Especificar una lista de control de acceso (ACL),

!— especifica la identidad del proxy (anfitrión/redes locales y remotas).

mapa cripto mymap 10 ipsec-isakmp

Establecer par 10.0.0.2

Establecer conjunto de transformación myset

Coincidir con dirección 100

Interfaz GigabitEthernet0/1

Dirección IP 10.1.1.2 255.255.255.0

!— El mapa criptográfico debe aplicarse a la interfaz externa.

Interfaz GigabitEthernet0/0

 Dirección IP 172.16.1.1 255.255.255.0

 Mapa cripto mymap

!— Establecer la puerta de enlace predeterminada como la ruta predeterminada

Ruta IP 0.0.0.0 0.0.0.0 172.16.1.2

Enrutador B

!— Establecer una política ISAKMP para la Fase 1 de las negociaciones de túneles L2L.

Política 10 del crypto isakmp

Cifrado basado en AES

El valor hash es sha256

Un proceso de autenticación antes de compartir

Grupo 14

!— Especificar la clave precompartida y la dirección del par remoto

!— para que coincida con el túnel L2L.

crypto isakmp key vpnuser address 172.16.1.1

!— Crear la política de Fase 2 para la negociación de IPsec.

crypto ipsec transform-set myset esp-aes esp-sha256-hmac

!— Crear una ACL para el tráfico que se va a encriptar.

!— En este ejemplo, el tráfico de 172.16.2.0/24 a 10.1.1.0/24

!— está encriptado. El tráfico que no coincide con la lista de acceso 

!— no está encriptado para Internet.

access-list 100 permit ip 172.16.2.0 0.0.0.255 10.1.1.0 0.0.0.255

!— Crear el mapa criptográfico real. Especificar una lista de control de acceso (ACL),

!— que define las identidades de proxy (hosts/redes locales y remotos).

!

crypto map mymap 10 ipsec-isakmp

 set peer 172.16.1.1

 set transform-set myset

 match address 100

interface GigabitEthernet0/1

ip address 172.16.2.1 255.255.255.0

!

!— Aplicar el mapa criptográfico en la interfaz externa.

interface GigabitEthernet0/0

ip address 10.0.0.2 255.255.255.0

crypto map mymap

!— Ruta hacia la puerta de enlace predeterminada.

ip route 0.0.0.0 0.0.0.0 10.0.01

Verificación

Esta sección es esencial para asegurarse de que su configuración esté funcionando correctamente. El Analizador de CLI de Cisco está disponible exclusivamente para clientes registrados y admite comandos específicos de visualización. Con el Analizador de CLI de Cisco, puede analizar la salida del comando show para asegurarse de que su túnel IPsec esté funcionando correctamente.

Show crypto ipsec sa – 

Este comando proporciona una vista detallada de las Asociaciones de Seguridad (SAs) de IPsec, incluyendo información como configuraciones, paquetes encapsulados y desencapsulados, identidades de proxy locales y remotas, e Índices de Parámetros de Seguridad (SPIs) tanto para tráfico entrante como saliente.

• RouterA#show crypto ipsec sa
• interfaz: Serial2/0
• etiqueta del mapa criptográfico: mi_mapa, dirección local 172.16.1.1
• vrf protegido: (ninguno)
• identificación local (dir/máscara/prot/puerto): (10.1.1.0/255.255.255.0/0/0)
• identificación remota (dir/máscara/prot/puerto): (172.16.2.0/255.255.255.0/0/0)
• peer actual 10.0.0.2 puerto 500
• PERMITIR, banderas={origen_es_acl,}
• #paquetes encapsulados: 21, #paquetes cifrados: 21, #paquetes resumidos: 21
• #paquetes desencapsulados: 21, #paquetes descifrados: 21, #paquetes verificados: 21
• #paquetes comprimidos: 0, #paquetes descomprimidos: 0
• #paquetes no comprimidos: 0, #paquetes comp. fallidos: 0
• #paquetes no descomprimidos: 0, #paquetes descomp. fallidos: 0
• errores de envío 0, errores de recepción 0
• extremo criptográfico local: 172.16.1.1, extremo criptográfico remoto: 10.0.0.2
• MTU de texto sin formato 1438, MTU de ruta 1500, MTU IP 1500, IDB MTU GigabitEthernet0/0
• spi saliente actual: 0x8767D399(2271728537)
• PFS (S/N): N, grupo DH: ninguno

Show crypto isakmp sa – 

Este comando proporciona una lista completa de todas las Asociaciones de Seguridad IKE (SAs) actuales, junto con su estado y detalles sobre el origen y el destino.

• RouterA#show crypto isakmp sa
• dst             src             estado          conn-id slot estado
• 10.0.0.2        172.16.1.1      QM_IDLE              1    0 ACTIVO

Show crypto map – 

Este comando muestra la estructura del mapa criptográfico, que incluye información crítica como el nombre, el número de secuencia, la dirección del par, las ACLs aplicadas y detalles sobre el conjunto de transformaciones de IPsec utilizado.

• RouterA#show crypto map
• Mapa Criptográfico IPv4 “mi_mapa” 10 ipsec-isakmp
• Par = 10.0.0.2
• Lista de acceso extendida IP 100
• lista de acceso 100 permitir ip 10.1.1.0 0.0.0.255 172.16.2.0 0.0.0.255
• Par actual: 10.0.0.2
• Tiempo de vida de la asociación de seguridad: 4608000 kilobytes/3600 segundos
• Solo Respondedor (S/N): N
• PFS (S/N): N
• Modo Mixto: Deshabilitado
• Conjuntos de transformación={
•     mi_conjunto: { esp-aes esp-sha256-hmac }
• }
• Interfaces que utilizan el mapa criptográfico mi_mapa:
• GigabitEthernet0/0

show crypto session remote <Dirección IP del punto de enlace VPN remoto> detail – 

Este comando proporciona una visión detallada del estado actual de la sesión criptográfica, incluido el tiempo de actividad de la sesión, detalles de la SA IKEv1 y detalles del flujo de IPsec.

• RouterA#show crypto session remote 10.0.0.2 detail
• Estado actual de la sesión criptográfica
• Interfaz: GigabitEthernet0/0
• Tiempo de actividad: 00:39:16
• Estado de la sesión: ACTIVO-UP    >>>>> Estado de la VPN 
• Punto de enlace: 10.0.0.2 puerto 500 fvrf: (ninguno) ivrf: (ninguno)
• Fase1_id: 10.0.0.2
• Desc: (ninguna)
• ID de sesión: 0
• SA IKEv1: local 172.16.1.1/500 remoto 10.0.0.2/500 Activo
• Capacidades: (ninguna) connid:1004 tiempo de vida:23:20:43
• FLUJO IPSEC: permitir ip 10.1.1.0/255.255.255.0 172.16.2.0/255.255.255.0
• SAs activas: 2, origen: mapa criptográfico
• Entrante:  #paquetes decifrados 21 descartados 0 vida (KB/seg) 4338240/1243
• Saliente: #paquetes cifrados 21 descartados 0 vida (KB/seg) 4338240/1243

Utilizando estos comandos de visualización en su Analizador de CLI de Cisco, puede monitorear y verificar de manera efectiva el funcionamiento de su configuración de túnel IPsec y asegurarse de que esté seguro y operativo según lo previsto.

Preguntas frecuentes (FAQs) 

Conclusión 

Para fortalecer la seguridad de la red, es imperativo que los usuarios configuren un túnel IPsec en su router Cisco. Este proceso completo, detallado en esta guía, permite a los usuarios crear un canal seguro de transmisión de datos. Los routers Cisco proporcionan capacidades potentes que permiten a organizaciones e individuos navegar con confianza por la compleja naturaleza de la seguridad de la red siguiendo los pasos y utilizando las capacidades poderosas proporcionadas por los routers Cisco. Como resultado del túnel IPsec, la información sensible permanece protegida, asegurando una defensa resistente contra posibles amenazas en el entorno digital interconectado de hoy.