Cisco FlexVPN Implementation (IPv6 / IPV4): PSK authentication Hub and Spoke / Spoke to Spoke | Caribbean TIC

Introducción a FlexVPN

FlexVPN es una solución de Cisco basada en IKEv2 que unifica las configuraciones de VPN Site-to-Site, Remote Access y Dynamic Multipoint VPN (DMVPN) bajo una misma infraestructura. Está diseñada para simplificar la administración y ofrecer alta seguridad mediante IPsec, permitiendo configuraciones escalables y dinámicas para entornos con múltiples sedes y usuarios remotos.

En este laboratorio, implementaremos FlexVPN utilizando un diseño HUB-and-Spoke, donde el HUB centraliza la conexión y cada spoke se comunica con él de manera segura.

• Configuración del Router HQRouter HUB

1. Se establece el nombre del equipo y la zona horaria.
2. Se configura el dominio DNS interno y los registros host para resolución de nombres de los routers en IPv6.
3. Se habilita IPv6 unicast routing y CEF para optimizar el reenvío de paquetes.

• AAA y políticas de autorización

1. Se activa AAA para autenticar y autorizar conexiones VPN. Las políticas FLEX_AUTH define que la autorización se hace localmente en el router.

• Configuración de IKEv2 para FlexVPN

1. Se define la política de autorización (SPOKEPOLICYv6) con asignación de direcciones IPv6 e IPv4 a clientes VPN.
2. Se está usando la propuesta por defecto del sistema, la cual incluye múltiples opciones de cifrado e integridad, de forma que el router elegirá automáticamente una que sea compatible con el par remoto.
3. Se está usando la política IKEv2 por defecto no restringe dirección local o VRF, y utiliza el proposal default para las negociaciones. Esto permite que el router sea flexible y acepte múltiples combinaciones de parámetros compatibles con peers que también usen configuraciones predeterminadas o ligeramente distintas.
4. Se configura el keyring con claves precompartidas para cada spoke. El perfil IKEv2 (FLEX_PROFILEv6) vincula autenticación, autorización y asigna el Virtual-Template1 como interfaz túnel dinámica.

habilitamos Dead Peer Detection (DPD) para IKEv2, que es un mecanismo que verifica si el peer VPN sigue activo.

• 30 → Intervalo en segundos para enviar la sonda (DPD query) cuando se sospecha que el peer está inactivo.
• 5 → Tiempo de espera en segundos para recibir respuesta del peer antes de considerarlo inalcanzable.
• on-demand → Significa que las sondas DPD no se envían de manera continua, sino únicamente cuando el equipo detecta inactividad en el canal de control de IKEv2.

Funcionamiento práctico:
Cuando no hay tráfico o se pierde la conectividad, el router o ASA envía un mensaje DPD para confirmar si el peer sigue vivo. Si no responde en 5 segundos, la sesión IKEv2 se elimina y puede renegociarse. Esto ayuda a:

• Liberar recursos en sesiones muertas.
• Acelerar la reconexión en caso de fallo de red.
• Evitar quedarse con túneles "fantasma" activos.

En este laboratorio:

Esto mejora la resiliencia del túnel FlexVPN, ya que, en entornos de prueba o enlaces inestables, el equipo detectará rápido un peer caído y renegociará automáticamente.

• Configuración de IPsec

1. El transform-set define los algoritmos que se usarán en fase 2 (IPsec SA) para proteger el tráfico de datos. Se utiliza el transform-set por defecto.
2. En FlexVPN, el modo Transport es habitual, ya que el cifrado se aplica sobre el túnel GRE/VTi, y no es necesario encapsular todo el paquete IP original.
3. Se define el perfil IPsec que se usará para proteger el túnel GRE sobre IPv6.
4. Asocia el perfil IKEv2 (FLEX_PROFILEv6) previamente definido.

• Configuración de las Interfaces físicas

1. La interface Loopback0 sirve como identificador y dirección de gestión del router, conectividad túneles.
2. La interface GigabitEthernet0/0 es la conexión hacia Internet y punto de origen para túneles FLEX VPN.
3. Plantilla de túnel GRE sobre IPv6, protegido con IPsec y gestionado con NHRP (Next Hop Resolution Protocol). Asigna direccionamiento IPv4 e IPv6 de forma dinámica. Este template es usado por cada spoke que se conecte.

• Configuración de enrutamiento Dinámico

1. Se configuro el protocolo de enrutamiento dinámico EIGRP 10 IPv4 y EIGRP 100 IPV6 para redes internas interface loopback e interface túneles.
2. Se configuro el protocolo de enrutamiento dinámico OSPFv3 IPv6 para anunciar y aprender rutas de los routers spokes, conectividad WAN del ISP.

• Listas de control de acceso y pools DHCP para el direccionamiento dinamico de los tunnels

1. Los pools de DHCP FLEXPOOL4 para IPV4 y SpokePoolv6 para IPV6, asignan IPs dinámicas a los spokes que se conectan a la infraestructura de túneles.
2. Las listas de control de acceso ACLs HQROUTER4 para IPV4 y HQTrafficv6 para IPV6, definen qué tráfico se encripta y se anuncian.

Configuracion para los Routers Spoke 1 and Spoke 2

Configuración básica del sistema

• Hostname, zona horaria y dominio DNS (caribbeantic.local) configurados para resolución interna.
• Entradas ip host para HQRouter y otros spokes, facilitando la conexión por FQDN.
• ipv6 unicast-routing y ipv6 cef activados para habilitar el enrutamiento IPv6 y la optimización CEF.

Configuracion AAA y autorización

• Activa el marco de autenticación y autorización.
• Define autorización local para las sesiones VPN.

Configuración de IKEv2

• Política que define rutas y listas de acceso para el tráfico a cifrar.

• Define claves precompartidas entre cada router spoke y el router Hub HQRouter.

• Perfil que asocia autenticación PSK, autorización AAA y el uso del Virtual-Template1.
• El lifetime está en 84600 segundos (~23h 30m), sincronizado con Router Hub HQRouter.
• Envía sondas DPD cada 30s y espera 5s de respuesta antes de declarar al peer como inactivo. periodic mantiene sondas regulares, incluso con tráfico activo (a diferencia de on-demand en Router Hub HQRouter).

Configuracion de IPsec Profile

• Configuracion aplicada a cada Router Spoke. Asocia el perfil IKEv2 en IPsec para proteger el túnel GRE sobre IPv6.
• Lifetime de SA IPsec: 7200s (2 horas).

Configuración de las interfaces Físicas de ambos router Spokes

• La Loopback0 es una interfaz lógica que siempre está activa mientras el router esté encendido. Se usa como identificador del router y en ruteo dinámico (EIGRP en IPv4 y IPv6). También sirve como IP de gestión y como dirección para unnumbered en el túnel virtual, lo que simplifica la asignación de direcciones. Al ser una IP fija e inmutable, asegura estabilidad para autenticación y ruteo.
• Es el túnel GRE encapsulado en IPv6, que conecta el Spoke con el HQRouter. Tunnel mode gre ipv6: Transporta paquetes IPv4 e IPv6 dentro de IPv6. Tunnel source / tunnel destination: Define el origen (interfaz WAN del spoke) y el destino (IPv6 pública del router HQRouter). Tunnel protection ipsec profile este aplica cifrado IPsec sobre el túnel.
• NHRP: Proporciona resolución de direcciones y soporte para comunicación spoke-to-spoke.
• MTU/MSS: Ajustes para evitar fragmentación en el cifrado.
• En la interfaz Gi 0/0 WAN que conecta el Spoke al ISP o red externa. Soporta conectividad dual-stack (IPv4 e IPv6). Su IPv6 pública se usa como origen del túnel GRE/IPsec. Participa en OSPFv3 para intercambio de rutas IPv6 con el router Hub HQRouter.
• Plantilla de configuración para crear túneles virtuales dinámicos. Permite que el router genere interfaces virtuales para conexiones adicionales (por ejemplo, spoke-to-spoke). Usa el mismo perfil IPsec y parámetros de túnel que Tunnel0. incluye keepalive 10 3 para detectar caída de enlace en 10s con 3 intentos.

Configuración del enrutamiento estático y dinámico

EIGRP (IPv4 e IPv6)

IPv4 EIGRP (AS 10):

• network <loopback> → Anuncia la IP de Loopback (identificador del spoke) al router Hub HQRouter.
• network 192.168.15.0 → Anuncia la subred interna que recibe el pool de direcciones del Hub HQRouter vía FlexVPN.
• eigrp router-id → Asigna un ID único para identificar el spoke en la topología.

IPv6 EIGRP (AS 100):

• Configurado en ipv6 router eigrp 100 con un router-id único por spoke.
• Activa EIGRP para IPv6 en las interfaces relevantes (Loopback0, Tunnel0, Virtual-Template1).
• Permite anunciar redes IPv6 internas y la dirección de loopback hacia router Hub HQRouter.

Función de EIGRP aquí:
Sirve como protocolo principal de enrutamiento interno dentro del túnel para IPv4 e IPv6, redistribuyendo rutas LAN y loopback hacia el router Hub HQRouter y otros spokes.

OSPFv3 (IPv6)

• Configurado como proceso OSPFv3 100.
• router-id definido manualmente para identificación.
• Se activa solo en interfaces WAN (GigabitEthernet0/0) para intercambio de rutas IPv6 con router Hub HQRouter por la red externa (fuera del túnel).

Función de OSPFv3 aquí:
Permite al spoke intercambiar rutas IPv6 con router Hub HQRouter directamente por la red del ISP, antes de establecer el túnel, lo que es útil para descubrir y alcanzar la IP destino del túnel.

Ruta estática por defecto

• Envía todo el tráfico IPv4 no conocido hacia el ISP.
• En Spoke1: 10.12.0.4 es el next-hop del ISP.
• En Spoke2: 10.13.0.4 es el next-hop del ISP.

Función de la ruta por defecto:
Permite que el spoke alcance el router Hub HQRouter a través de la red del ISP antes de que el túnel esté levantado, y que pueda enrutar tráfico externo si el diseño lo requiere.

Establecimiento y verificación del túnel FlexVPN

Jovanny de Jesus.