ASA收到VPN请求,由tunnel-group来识别VPN类型(L2L or 远程拨号 or SSLVPN),然后使用tunnel-group中的认证方法(LOCAL or Radius)进行认证,认证通过后经过以下5个关联属性叠加,得到用户的最终的策略

1.用户属性
2.用户属性中关联的group-policy
3.tunnel-group中关联的group-policy
4.系统默认的group-policy:DfltGrpPolicy
5.tunnel-group的属性

这5个策略优先级从高到低,存在重复项时,优先使用最先匹配到的策略。

tunnel-group

tunnel-group用于终结VPN连接。一个VPN请求到达VPN,ASA找到一个与之关联的tunnel-group,tunnel-group为每一个成员定义了VPN连接的脚本。

- L2L VPN

当一个L2L VPN抵达ASA,ASA通过这次请求源IP(对端加密点)来查询本地的tunnel-group,如果有一个有一个tunnel-group的名字等于该IP,那么就使用tunnel-group内的pre-shared-key对这次VPN进行认证。

1
2
tunnel-group 61.128.1.1 type ipsec-l2l
pre-shared-key IPSECKEY

- EZVPN

EZVPN的第一阶段认证group的名字必须能和tunnel-group名字一致

1
2
3
4
5
6
7
8
tunnel-group EZGROUP type remote-access
tunnel-group EZGROUP general-attributes
#就类似路由器在group里设置一样,地址池可以在这里敲。但是更推荐在group-policy里设置
address-pool EZPOOL
#默认是LOCAL认证
#authentication-server-group LOCAL
tunnel-group EZGROUP ipsec-attributes
ikev1 pre-shared-key EZVPNKEY

- SSL VPN

SSLVPN直接使用默认的DefaultWEBVPNGroup的tunnel-group
show run all tunnel-group可以看到该部分配置

另外还有两个默认的tunnel-group分别对应L2L和远程接入VPN:
DefaultL2LGroup适用于对端peer地址不固定的时候配置预共享密钥
DefaultRAGroup适用于拨号VPN(如L2TP over IPSec)


group-policy

可以在多个地方调用:

1
2
3
4
5
6
7
8
#在user属性里调用
username ASAuser attributes
vpn-group-policy user-group-policy

#在tunnel-group里调用
tunnel-group EZGROUP general-attributes
default-group-policy TUNNEL-GROUP-POLICY