Konfigurasi Site-to-Site VPN IKEv2 IPsec di Cisco ASA
Teknologi ini umum digunakan pada perangkat dari .
🧭 Konsep Dasar yang Harus Dipahami
Dalam VPN IPsec terdapat dua fase utama:
🔐 Phase 1 (IKEv2 – Tunnel Negotiation)
Digunakan untuk membangun secure channel.
Parameter yang harus MATCH di kedua ASA:
- Hash → MD5
- Encryption → AES-128
- DH Group → 5
- Authentication → Pre-Shared Key
🔐 Phase 2 (IPsec – Data Protection)
Digunakan untuk mengamankan trafik data.
Parameter:
- Protocol → ESP
- Encryption → AES-128
- Hash → MD5
🌐 Contoh Topologi
HQLAN —— FW1 —— INTERNET —— FW2 —— BRLAN
Contoh subnet:
- HQ LAN → 192.168.30.0/24
- Branch LAN → 172.16.20.0/24
⚠️ Prasyarat Penting
Sebelum konfigurasi VPN:
✅ Pastikan konektivitas IP antar firewall sudah OK
✅ Bisa saling ping interface outside
Jika belum bisa ping → VPN tidak akan terbentuk.
⚙️ LANGKAH KONFIGURASI
1️⃣ Phase 1 — IKEv2 Policy
FW1 & FW2 (HARUS SAMA)
crypto ikev2 policy 10
encryption aes-128
integrity md5
group 5
crypto ikev2 enable outside
2️⃣ Phase 2 — IPsec Proposal
crypto ipsec ikev2 ipsec-proposal VPN-TRANSFORM
protocol esp encryption aes-128
protocol esp integrity md5
3️⃣ Definisikan Object Network
Kedua firewall:
object network HQLAN
subnet 192.168.30.0 255.255.255.0
object network BRLAN
subnet 172.16.20.0 255.255.255.0
4️⃣ ACL Interesting Traffic
⚠️ Penting: hanya trafik yang di-ACL yang akan masuk tunnel.
FW1
access-list HQLAN-TO-BRLAN extended permit tcp object HQLAN object BRLAN
FW2
access-list BRLAN-TO-HQLAN extended permit tcp object BRLAN object HQLAN
📌 Note:
Lab ini menggunakan TCP, bukan ICMP → ping biasa tidak akan memicu tunnel.
5️⃣ Crypto Map
FW1
crypto map SITE-TO-SITE 10 match address HQLAN-TO-BRLAN
crypto map SITE-TO-SITE 10 set peer 100.100.100.2
crypto map SITE-TO-SITE 10 set ikev2 ipsec-proposal VPN-TRANSFORM
crypto map SITE-TO-SITE interface outside
FW2
Lakukan konfigurasi sama dengan:
- peer = IP FW1
- ACL disesuaikan
6️⃣ Tunnel Group (PSK Authentication)
FW1
tunnel-group 100.100.100.2 type ipsec-l2l
tunnel-group 100.100.100.2 ipsec-attributes
ikev2 remote-authentication pre-shared-key cisco1
ikev2 local-authentication pre-shared-key cisco1
FW2
Gunakan IP FW1 sebagai tunnel-group.
🔎 VERIFIKASI
1️⃣ Cek Konfigurasi
show run crypto
show run tunnel-group
show run access-list
show run object
2️⃣ Generate Traffic (WAJIB)
Karena ACL hanya TCP:
Gunakan:
telnet / curl / aplikasi TCP
atau di ASA:
ping tcp
3️⃣ Cek Status Tunnel
show crypto ipsec sa
Jika berhasil, counter akan bertambah:
pkts encaps
pkts encrypt
pkts decrypt
Ini tanda tunnel aktif.
🐞 DEBUG TROUBLESHOOTING
Jika tunnel tidak up:
debug crypto ikev2
debug crypto ipsec
🚨 Penyebab Paling Umum VPN Gagal
90% kasus karena:
❌ Parameter Phase 1 tidak sama
❌ PSK tidak sama
❌ ACL tidak mirror
❌ NAT belum dikecualikan
❌ Peer IP salah
✅ Kesimpulan
VPN Site-to-Site ASA membutuhkan:
- Matching Phase-1 parameters
- Matching Phase-2 parameters
- ACL menarik trafik
- Crypto map
- Tunnel-group authentication
Jika semua match → tunnel akan otomatis terbentuk.
Komentar