💡 SĂ„ du skal knytte Azure og din Cisco ASA sammen – held og lykke (du skal bruge det)

Lad os vére érlige: at sétte et site-to-site VPN op mellem Azure VPN Gateway og en Cisco ASA lyder som en opgave, der burde tage en time. I virkeligheden ender det ofte med en hel nat med kaffe, debug crypto ikev2-logs, og en þnske om at have valgt en anden karriere. Jeg har véret der. Flere gange. Og nej, det er ikke din skyld – det er bare to forskellige verdener, der skal tale sammen om IPsec-parametre, der ser ens ud, men opfþrer sig forskelligt.

Azure bruger route-based VPN (IKEv2) med VTI (Virtual Tunnel Interface). Cisco ASA understþtter det fint – men kun fra version 9.7(1) og op, og du skal konfigurere det précist rigtigt. Et forkert diffie-hellman-group, et manglende tunnel-group match, eller en glemt no-nat regel – og tunnelen kommer op, men trafik flyder ikke. Eller den kommer slet ikke op.

I denne guide gĂ„r vi igennem prĂŠcis hvad der virker i 2026, baseret pĂ„ reelle fejl jeg selv har set (og fjernet). Vi ser pĂ„ IPsec-forslag, routing, BGP vs. statiske ruter, og de skjulte faldgruber, som Microsofts docs nĂŠvner i en fodnote – men som knĂŠkkeler din opsĂŠtning.

💡 Pro tip: Brug altid IKEv2 med AES-256 / SHA-256 / DH Group 14 (eller 24) pĂ„ begge ender. Azure understĂžtter ikke IKEv1 lĂŠngere pĂ„ nye SKU’er, og DES/3DES/SHA1 er dĂžde. Hvis din ASA kĂžrer gammel firmware – opgrader fĂžrst.

📊 IPsec-parametre: Hvad Azure forventer vs. hvad ASA leverer

🔧 Parameter✅ Azure VPN Gateway (Route-based)🟱 Cisco ASA (VTI / IKEv2) Konfig⚠ Faldgrube
IKE VersionIKEv2 (kun)`ikev2 enable outside`
`crypto ikev2 policy 10`
` encryption aes-256`
` integrity sha256`
` group 14`
` prf sha256`
` lifetime seconds 28800`		Azure understĂžtter **ikke** IKEv1. Group 2/5 = fejl.
IPsec ProposalAES256 / SHA256 / PFS Group14`crypto ipsec ikev2 ipsec-proposal AZURE`
` protocol esp encryption aes-256`
` protocol esp integrity sha-256`
` pfs group14`		PFS *skal* matche. Azure forventer PFS pÄ Phase 2.
Tunnel InterfaceAutomatisk (VTI-lignende)`interface Tunnel1`
` nameif AZURE_TUNNEL`
` ip address 169.254.x.x 255.255.255.252`
` tunnel source interface outside`
` tunnel destination `
` tunnel mode ipsec ipv4`
` tunnel protection ipsec profile AZURE_PROF`		Brug **link-local IP (169.254.x.x/30)** pĂ„ tunnel-interfacet – Azure gĂžr det automatisk.
Trafikvalg (Traffic Selectors)0.0.0.0/0 (policy-based *ikke* understĂžttet)`access-list AZURE_TRAFFIC extended permit ip `
`crypto ikev2 remote-access trustpoint `
`crypto map` **IKKE** brugt – VTI bruger route-lookup		**Ingen crypto map!** VTI bruger routing-tabellen. Trafik matchet via rute til Tunnel1.
NAT UndtagelseIkke nÞdvendig i Azure`nat (inside,outside) source static destination static no-proxy-arp route-lookup`**VIGTIGSTE REGEL:** Trafik til Azure mÄ **ikke NAT'es**. Glem dette = tunnel op, 0 bytes data.
DPD / KeepaliveActiveret som standard (30s/90s)`crypto ikev2 policy 10`
` dpd-interval 30 retry 3`		Matcher Azure's default. UndgÄr "zombie tunnels".
BGP SupportJa (SKU VpnGw1+)`router bgp `
` neighbor 169.254.x.x remote-as `
` address-family ipv4 unicast`
` neighbor 169.254.x.x activate`		Kun hvis du bruger **BGP over IPsec**. KrĂŠver ASA 9.6(2)+ og Azure VpnGw1+.

Hvad tabellen fortĂŠller os: De stĂžrste fejl sker ikke i kryptoen – de sker i routing og NAT. Azure forventer, at du ruter trafik til tunnel-interfacet (VTI), og at du ikke NAT’er den. ASA’en skal have en route AZURE_TUNNEL <azure-vnet-subnet> 255.255.255.0 169.254.x.x – og nat-undtagelsen skal vĂŠre der. Jeg har set senior network engineers glemme route-lookup i NAT-reglen – og sĂ„ sidder de og tcpdumper i timer. Igen.

IfĂžlge [Sikich, 2026-09-22] er en af de mest oversete fejlkilder i VPN-deployment netop manglende synkronisering mellem identitets-og netvĂŠrkspolicyer – og det gĂŠlder ogsĂ„ her: din ASA’s access-lists, NAT, og routing skal ligne hinanden prĂŠcist. En lille forskel = stor fejl.

😎 MaTitie SHOW TIME

Hej, jeg er MaTitie – forfatteren her, en mand der elsker gode deals, skyldfulde fornĂžjelser, og mĂ„ske lidt for meget stil.
Jeg har testet hundredevis af VPN’er og udforsket flere “blokerede” hjĂžrner af internettet, end jeg bĂžr anerkende.
Lad os vére érlige – her er det, der betyder noget 👇

Adgang til platforme som Phub*, OnlyFans, eller TikTok i Danmark bliver svĂŠrere – og din foretrukne mĂ„ske nĂŠste. Hvis du leder efter hastighed, privatliv, og egentlig streaming-adgang – spring gĂŠtarbejdet over.
👉 🔐 PrĂžv NordVPN nu — 30 dages risikofri prĂžve. đŸ’„ 🎁 Det virker som en drĂžm i Danmark, og du kan fĂ„ fuld refusion, hvis det ikke passer.
Ingen risici. Ingen drama. Rent adgang. Dette indlĂŠg indeholder affiliate links. Hvis du kĂžber noget gennem dem, kan MaTitie tjene en lille provision.
(SĂŠt pris pĂ„ det, bro – penge betyder noget. Tak pĂ„ forhĂ„nd! Masser af kĂŠrlighed ❀)

💡 Fejlfinding i praksis: NĂ„r tunnelen stĂ„r op – men intet virker

Du har show crypto ikev2 sa – og den viser ESTABLISHED. show crypto ipsec sa viser krypterede/dekrypterede pakker = 0. Velkommen til klubben. Her er checklisten, jeg kþrer igennem hver gang:

  1. Ping fra ASA til Azure VM?
    ping AZURE_TUNNEL <azure-vm-private-ip> – virker det? SĂ„ er routing OK. Hvis ikke: tjek show route AZURE_TUNNEL – ser du Azure-subnetet med next-hop 169.254.x.x?

  2. NAT-undtagelse aktiv?
    show run nat | i AZURE – ser du nat (inside,outside) source static ... destination static ... no-proxy-arp route-lookup?
    Ingen route-lookup = NAT kĂžrer alligevel = pakken dĂžr.

  3. Access-lists pÄ begge ender?
    Azure Network Security Group (NSG) pÄ subnet/VM: tillader du ICMP og dine app-porte fra on-prem CIDR?
    ASA: access-list AZURE_TRAFFIC extended permit ip any <azure-subnet> – og access-group AZURE_TRAFFIC in interface AZURE_TUNNEL?

  4. MTU / Fragmentation?
    IPsec tilfĂžjer overhead (~80 bytes). Hvis din ASA har MTU 1500 pĂ„ outside, og du sender 1500-byte pakker inde fra – de fragmenteres efter kryptering = drop.
    Fix: sysopt connection tcpmss 1350 pÄ ASA (justerer MSS i SYN-pakker). Eller sÊt MTU 1400 pÄ tunnel-interfacet.

  5. Asymmetric routing?
    Har du to tunneler (aktiv/passiv eller ECMP)? SĂžrg for at retur-trafik kommer samme vej. ASA hader asymmetrisk routing med stateful inspection. Brug tcp-state-bypass kun som sidste udvej.

Og husk: [Lifehacker, 2026-09-22] minder os om, at router-level VPN (som dette her) sikrer alle enheder bag ASA’en – men det krĂŠver ogsĂ„, at hele kĂŠden fra klient til cloud er intact. En enkelt manglende regel bryder kĂŠden.

🙋 Frequently Asked Questions

❓ Question 1: Kan jeg bruge policy-based VPN i stedet for route-based pĂ„ Azure?

💬 Nej, Azure VPN Gateway understĂžtter kun route-based (IKEv2) VPN’er. Din Cisco ASA skal konfigureres til at matche dette – altsĂ„ VTI (Virtual Tunnel Interface) med IKEv2. Policy-based (crypto map) vil give dig kun hovedpine.

đŸ› ïž Question 2: Hvorfor kommer min tunnel op, men jeg kan ikke pinge pĂ„ tvĂŠrs?

💬 Klassiker! Tjek dine ’no-nat’ regler pĂ„ ASA’en – trafik til Azure-subnetet mĂ„ ikke NAT’es. Og husk at tillade ICMP i access-lists pĂ„ begge ender. Azure firewall-regler blokerer ofte ping som standard.

🧠 Question 3: Skal jeg bruge BGP eller statiske ruter?

💬 Hvis du har fĂ„ statiske subnet: hold det simpelt med statiske ruter. Men hvis du skalerer op (flere VNets, ExpressRoute, failover), sĂ„ er BGP en livredder. Azure understĂžtter BGP pĂ„ VPN Gateway (SKU VpnGw1+), og ASA understĂžtter det fint fra 9.6(2) og op.

đŸ§© Final Thoughts…

At koble Azure og Cisco ASA sammen med site-to-site VPN er teknisk muligt – men det krĂŠver respekt for detaljer. De fleste fejl jeg ser i 2026 kommer ikke fra krypto-negotiation, men fra NAT, routing, MTU, og access-lists der ikke matcher. Brug VTI pĂ„ ASA, IKEv2 med AES-256/SHA-256/DH14, slĂ„ NAT fra for Azure-trafik, og test med tcpdump / packet-tracer pĂ„ ASA fĂžr du kalder Azure-support.

Og hvis du bare vil have din egen privatliv og streaming-frihed i Danmark – sĂ„ er en forbruger-VPN som NordVPN ofte den nemmere vej. Men til hybrid cloud? Her er hĂŠrdet Cisco-konfiguration king.

📚 Further Reading

Her er 3 nylige artikler, der giver mere kontekst til emnet – alle valgt fra verificerede kilder. Fþlg fri med 👇

🔾 Entra ID and VPN SSO done right: what really matters in a VPN deployment
đŸ—žïž Source: Sikich – 📅 2026-09-22
🔗 Read Article

🔾 How to Configure Your VPN to Work at the Router Level (and Why You Should)
đŸ—žïž Source: Lifehacker – 📅 2026-09-22
🔗 Read Article

🔾 3 VPN settings to check before your next trip
đŸ—žïž Source: News Pub – 📅 2026-09-22
🔗 Read Article

😅 A Quick Shameless Plug (Hope You Don’t Mind)

Lad os vére érlige – de fleste VPN-anmeldelsessider putter NordVPN þverst af en grund.
Det har vÊret vores go-to valg hos Top3VPN i Ärre, og det slÄr vores tests konsekvent.

💡 Det er hurtigt. Det er pĂ„lideligt. Det virker nĂŠsten overalt.

Ja, det er lidt dyrere end andre –
Men hvis du bryder dig om privatliv, hastighed, og egentlig streaming-adgang, er det den, du skal prĂžve.

🎁 Bonus: NordVPN tilbyder 30 dages penge-tilbage-garanti.
Du kan installere det, teste det, og fĂ„ fuld refusion, hvis det ikke er noget for dig – ingen spĂžrgsmĂ„l stillet.

📌 Disclaimer

Dette indlĂŠg blander offentligt tilgĂŠngelig information med en smule AI-hjĂŠlp. Det er ment til deling og diskussion – ikke alle detaljer er officielt verificeret. Tag det med et gran salt og tjek selv, hvis det er vigtigt. Hvis der er noget mĂŠrkeligt, skyld AI’en, ikke mig – bare giv mig en hĂ„ndhug, sĂ„ fikser jeg det 😅.