Comment configurer 2 tunnels VTI VPN sur ASA avec une seule IP publique / How to setup 2 VTI tunnels VPN on ASA with only one public IP

[sam cook]

Salut,

Je me demande comment configurer 2 tunnels VTI sur ASA avec une seule IP publique (devant 2 tunnels avec 2 différentes ip public). C'est possible ? Et si oui comment?

Plus de détails: j'ai un cluster actif-passif ASA sur V9.8 et j'ai besoin de configurer un tunnel VTI avec deux ASR ayant 2 ISP (2 IP publiques) et 2 tunnels VTI.

Merci

Texte d'origine:

Hi,

I wonder how to setup 2 VTI tunnels on ASA with only one public IP (in front of 2 tunnels with 2 different public ips)

Is it possible ? and if yes how ?

More details : I have a cluster actif-passive ASA on V9,8 and I need to setup a VTI tunnel with two ASR having 2 ISP (2 public IP) and 2 VTI tunnels.

Thanks 

[Francesco Molino]

Hi

Vous voulez construire 2 vti en utilisant la même interface extérieure ?
Vérifiez ce lien, il indique une configuration générale: https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-firewalls/200982-ASA-IPsec-VTI-connection-Amazon-Web-Serv.html

Cet exemple montre la configuration pour asa en montant un vpn vers aws, mais la configuration ne sera pas la même dans votre cas.

Texte d'origine:

You want build 2 vti using the same outside interface?
Check this link, it gives an overview config: https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-firewalls/200982-ASA-IPsec-VTI-connection-Amazon-Web-Serv.html

This example shows config example for asa mounting a vpn towards aws but the config will the same in your use-case. 

[sam cook]

Hi @Francesco Molino ,

Merci, j'ai fait les tunnels comme dans l'exemple mais je n'ai pas pu le dépanner.
Pourrions-nous voir les tunnels en ASDM?

Texte d'origine:

Thank you, I made the tunnels as in the example but could not troubleshoot it .
Could we see the tunnels up in ASDM ?

regards,

[Francesco Molino]

Pouvez-vous partager votre configuration et la sortie de show ip?

Texte d'origine:

Can you share your config and the output of show ip ?

[sam cook]

Hi @Francesco Molino ,

Je suis désolé mais la configuration est confidentielle.
Je pense que j'ai un problème de route / nat parce que les tunnels sont en place maintenant mais ils ne peuvent pas cingler les ressources distantes.
Avez-vous un lien pour la documentation Cisco qui explique comment configurer les routes et NAT avec les tunnels VTI?

Texte d'origine:

I am sorry but config is confidential,
I think I have a route/nat issue because , the tunnels are up now but could not ping remote ressources.
Do you have any link for cisco documentation that explain how to configure routes and NAT with VTI tunnels?

thanks

[Francesco Molino · Accepted solution]

Il existe de nombreuses documentations sur le site internet de Cisco.
Si les tunnels sont UP et que vous ne pouvez pas envoyer de ping d'un bout à l'autre, cela peut être:
- routes: mettez une route statique pour éviter tout problème avec le routage dynamique si vous en avez un
- NAT: assurez-vous que vous avez exempté NAT du trafic allant du site A au site B
- access-list: vous pouvez utiliser la commande packet-tracer du trafic interne vers l'autre extrémité, pour voir si l'un des ACL ne vous bloque.

Text d'origine:

There're many documentations on Cisco website.
If tunnels are UP and you can't ping from one end to the other, it could be:
- routes: put a static route to avoid any issues with dynamic routing if you have any
- NAT: make sure you have nat exempt from traffic going from site A to site B
- access-list: You can use packet-tracer command from inside traffic to the other end to see if any ACL is blocking you.

w 

[sam cook]

thanks @Francesco Molino :

J'ai trouvé le problème, en fait je faisais des règles NAT en utilisant ASDM,  j'ai donc utilisé une interface extérieure comme "source" mais en réalité je devrais avoir utilisé l'interface VTItunnel. Néanmoins, le VTItunnel n'est pas visible dans ASDM, donc il doit être fait en CLI ou alors il faut choisir ANY dans la règle NAT source.

Texte d'origine:

I found the issue, in fact I was doing NAT rules using ASDM, so I used outside interface as "source" but in reality I should use VTItunnel interface. Nevertheless , the VTItunnel is not visible in ASDM , so it should be done in CLI or choose ANY in source NAT rule.

[Francesco Molino]

Heureux que cela ait fonctionné.
Je n'utilise pas trop asdm et je vais plutôt à l'ancienne avec la CLI.

Texte d'origine:

Glad it worked.
I don't use to much asdm and go the old fashion way with the CLI.

[sam cook]

Merci beaucoup

Texte d'origine:

Thank you very much