セキュリティ : Cisco PIX 500 シリーズ セキュリティ アプライアンス

Cisco Secure PIX Firewall 6.x および Cisco VPN Client 3.5 for Windows と Microsoft Windows 2000 および 2003 の IAS RADIUS 認証

2015 年 11 月 26 日 - 機械翻訳について
その他のバージョン: PDFpdf | 英語版 (2015 年 8 月 22 日) | フィードバック


目次


概要

この設定例では、Microsoft Windows 2000 および 2003 の Internet Authentication Service(IAS)RADIUS サーバとともに使用するために Windows 用 Cisco VPN Client バージョン 3.5 と Cisco Secure PIX Firewall を設定する例を示します。 参照して下さい Microsoft -チェックリスト: ダイヤル式および VPN のための IAS の設定 IAS のさらに詳しい詳細についてはleavingcisco.com アクセスして下さい。

Cisco VPN Client 4.x の PIX/ASA 7.0 のほぼ同じ位の scenerio を学ぶために Microsoft Windows 2003 IAS RADIUS認証 設定例の Windows のための PIX/ASA 7.x および Cisco VPN Client 4.x を参照して下さい。

前提条件

要件

この設定を行う前に、次の要件が満たされていることを確認します。

  • Cisco Secure PIX Firewall ソフトウェア リリース 6.0 は Windows のための Cisco VPN Client 3.5 からの VPN 接続をサポートします。

  • この設定 例は PIX が既に適切な統計、コンジット、またはアクセス リストとオペレーティングであると仮定します。 現在配布されているドキュメントはこれらの基本概念を説明するように、Cisco VPN Client からの PIX への接続を示すように意図しません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

  • PIXファイアウォール ソフトウェア リリース 6.1.1

    注: これは PIXソフトウェアリリース 6.1.1 でテストされましたり、すべての 6.x リリースで動作する必要があります。

  • Windows のための Cisco VPN Clientバージョン 3.5

  • IAS の Windows 2000 および 2003 サーバ

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、クリアな(デフォルト)設定で作業を開始しています。 ネットワークが稼働中の場合は、コマンドが及ぼす潜在的な影響を十分に理解しておく必要があります。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

設定

この項では、このドキュメントで説明する機能の設定に必要な情報を提供します。

注: このセクションで使用されているコマンドの詳細を調べるには、Command Lookup Tool登録ユーザ専用)を使用してください。

ネットワーク構成図

このドキュメントでは、次のネットワーク構成を使用しています。

/image/gif/paws/18897/cvpn3k_pix_ias-a.gif

設定

このドキュメントでは、次の設定を使用します。

PIX ファイアウォール

PIX ファイアウォール
pixfirewall(config)#write terminal
Building configuration...
: Saved
:
PIX Version 6.1(1)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names

!--- Issue the access-list command to avoid 
!--- Network Address Translation (NAT) on the IPsec packets.

access-list 101 permit ip 10.1.1.0 255.255.255.0 10.1.2.0 
  255.255.255.0 
pager lines 24
interface ethernet0 auto
interface ethernet1 auto
mtu outside 1500
mtu inside 1500
ip address outside 14.36.100.50 255.255.0.0
ip address inside 172.18.124.152 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool ippool 10.1.2.1-10.1.2.254
pdm history enable
arp timeout 14400
global (outside) 1 14.36.100.51

!--- Binding access list 101 to the NAT statement to avoid 
!--- NAT on the IPsec packets.

nat (inside) 0 access-list 101
Nat (inside) 1 0.0.0.0 0.0.0.0 0 0
route outside 0.0.0.0 0.0.0.0 14.36.1.1 1
route inside 10.1.1.0 255.255.255.0 172.18.124.1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 
   rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute

!--- Enable access to the  RADIUS protocol.

 
aaa-server RADIUS protocol radius 

!--- Associate the partnerauth protocol to RADIUS.

aaa-server partnerauth protocol radius 
aaa-server partnerauth (inside) host 172.18.124.196 cisco123 
   timeout 5
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable

!--- Tell PIX to implicitly permit IPsec traffic.

sysopt connection permit-ipsec
no sysopt route dnat

!--- Configure a transform set that defines how the traffic is protected.

crypto ipsec transform-set myset esp-des esp-md5-hmac

!--- Create a dynamic crypto map and specify which 
!--- transform sets are allowed for this dynamic crypto map entry.

crypto dynamic-map dynmap 10 set transform-set myset

!--- Add the dynamic crypto map set into a static crypto map set.

crypto map mymap 10 ipsec-isakmp dynamic dynmap

!--- Enable the PIX to launch the Xauth application on the VPN Client.

crypto map mymap client authentication partnerauth

!--- Apply the crypto map to the outside interface.

crypto map mymap interface outside

!--- IKE Policy Configuration.

isakmp enable outside
isakmp identity address
isakmp policy 10 authentication pre-share
isakmp policy 10 encryption des
isakmp policy 10 hash md5
isakmp policy 10 group 2
isakmp policy 10 lifetime 86400

!--- IPsec group configuration for VPN Client.

vpngroup vpn3000 address-pool ippool
vpngroup vpn3000 dns-server 10.1.1.2
vpngroup vpn3000 wins-server 10.1.1.2
vpngroup vpn3000 default-domain cisco.com
vpngroup vpn3000 idle-time 1800
vpngroup vpn3000 password ********
telnet timeout 5
ssh timeout 5
terminal width 80
Cryptochecksum:3f9e31533911b8a6bb5c0f06900c2dbc
: end         
[OK]
pixfirewall(config)#

Windows のための Cisco VPN Client 3.5

このセクションは Windows のための Cisco VPN Client 3.5 を設定する方法を説明します。

  1. VPN クライアントを起動させ、新しい接続を作成するために『New』 をクリック して下さい。

    /image/gif/paws/18897/cvpn3k_pix_ias-b.gif

  2. Connection Entry ボックスで、エントリに名前を割り当てます。

    /image/gif/paws/18897/cvpn3k_pix_ias-c.gif

  3. PIX のパブリックインターフェイスの IP アドレスを入力して下さい。

    /image/gif/paws/18897/cvpn3k_pix_ias-d.gif

  4. グループアクセス情報の下で、グループ名およびグループパスワードを入力して下さい。

    /image/gif/paws/18897/cvpn3k_pix_ias-e.gif

  5. Finish をクリックしてプロファイルをレジストリに保存します。

    /image/gif/paws/18897/cvpn3k_pix_ias-f.gif

  6. Connect をクリックして PIX に接続します。

    /image/gif/paws/18897/cvpn3k_pix_ias-g.gif

IAS がインストールされた Microsoft Windows 2000 サーバ

IAS で Microsoft Windows 2000サーバを設定するためにこれらのステップを完了して下さい。 これは VPN ユーザの RADIUS認証のために Windows 2000 IAS サーバを使用する非常に基本的なセットアップです。 より多くの複雑 な 設計を要求する場合、支援に関しては Microsoft に連絡して下さい。

注: これらのステップは IAS がローカルマシンで既にインストールされてしまったと仮定します。 まだインストールされていない場合は、Control Panel > Add/Remove Programs の順に選択して、IAS を追加してください。

  1. Microsoft Management Console を起動させて下さい。 mmc を Start > Run の順に選択 し、タイプして下さい 次に [OK] をクリックします。

  2. 『Console』 を選択 して下さい > Add Remove Snap-In を…. IAS サービスをこのコンソールに追加するため。

  3. 利用可能 なスタンドアロン スナップ ins すべての New ウィンドウを起動させるために『Add』 をクリック して下さい。 (IAS) 『Internet Authentication Service』 をクリック し、『Add』 をクリック して下さい。

  4. ローカル コンピュータが選択される確かめ、『Finish』 をクリック しなさいことを。 それから『Close』 をクリック して下さい。

  5. IAS が今追加されることに注意して下さい。 コンソールルートに追加されたことがわかるために『OK』 をクリック して下さい。

    /image/gif/paws/18897/cvpn3k_pix_ias-h.gif

  6. クライアントInternet Authentication Service および右クリックを拡張して下さい。 名前を『New Client』 をクリック し、入力して下さい。 名前の選択は実際に重要ではありません; それはこのビューで見るものです。 『RADIUS』 を選択 し、『Next』 をクリック することを確かめて下さい。

  7. IAS サーバがに接続されること PIXインターフェイス アドレスでクライアントアドレスを記入して下さい。 規格を『RADIUS』 を選択 し、PIX で入力したコマンドを一致するために共有秘密を追加することを確かめて下さい:

    aaa-server partnerauth (inside) host 172.18.124.196 cisco123 timeout 5

    注: この例では、"cisco123" は共有秘密です。

    /image/gif/paws/18897/cvpn3k_pix_ias-i.gif

  8. コンソールルートに戻るために『Finish』 をクリック して下さい。

  9. 左ペインで『Remote Access Policies』 をクリック し、Allow Access if Dial-in Permission is Enabled と分類されるポリシーをダブルクリックして下さい。

  10. Authentication タブに『Edit Profile』 をクリック し、行って下さい。 認証方式の下で、非暗号化認証だけ(PAP、SPAP)チェックされることを確かめて下さい。

    注: VPN クライアントは認証のためにしかこの方式を使用できません。

    /image/gif/paws/18897/cvpn3k_pix_ias-j.gif

  11. 二度『Apply』 をクリック し、次に承諾して下さい

  12. ユーザを接続を許可するために修正するために Console > Add/Remove Snap In の順に選択 して下さい。 スナップ式ローカルユーザおよびグループを『Add』 をクリック し、次に選択して下さい。 [Add] をクリックします。 『Local Computer』 を選択 し、『Finish』 をクリック することを確かめて下さい。 [OK] をクリックします。

  13. ローカルユーザおよびグループを拡張し、左ペインのユーザ フォルダをクリックして下さい。 右のペインでは、アクセスを許可したいと思うユーザをダブルクリックして下さい。

  14. Dial-in タブをクリックし、リモートアクセス許可の下で『Allow Access』 を選択 して下さい(ダイヤルインか VPN)

    /image/gif/paws/18897/cvpn3k_pix_ias-k.gif

  15. 『Apply』 をクリック し、操作を完了するために承諾して下さい。 必要であれば Console Management 画面を閉じ、セッションを保存することができます。

  16. 修正したユーザは VPN Client 3.5 との PIX にアクセス今できるはずです。 IAS サーバがユーザ情報だけを認証することに留意して下さい。 PIX はまだグループ 認証をします。

IAS の Microsoft Windows 2003 Server

IAS がインストール Microsoft Windows 2003 サーバを設定するには、次の手順を実行します。

注: これらのステップは IAS がローカルマシンで既にインストールされてしまったと仮定します。 まだインストールされていない場合は、Control Panel > Add/Remove Programs の順に選択して、IAS を追加してください。

  1. 新しい RADIUSクライアントを追加するために > RADIUSクライアントInternet Authentication Service および右クリック『Administrative Tools』 を選択 して下さい。 クライアント情報を入力したら、OK をクリックします。

    この例は 10.66.79.44 の IP アドレスの「PIX」と名前を挙げられるクライアントを表示したものです。 Client-Vendor RADIUS標準に設定 され、共有秘密は "cisco123." です

    /image/gif/paws/18897/cvpn3k_pix_ias-l.jpg

  2. [Remote Access Policies] に移動して、[Connections to Other Access Servers] を右クリックし、[Properties] を選択します。

  3. [Grant Remote Access Permissions] のオプションが選択されていることを確認します。

  4. これらの設定を『Edit Profile』 をクリック し、チェックして下さい。

    • Authentication タブで、Unencrypted authentication (PAP, SPAP) にチェックマークを入れます。

    • Encryption タブで、No Encryption のオプションが選択されていることを確認します。

    完了したら、[OK] をクリックします。

    /image/gif/paws/18897/cvpn3k_pix_ias-m.jpg

  5. ローカル コンピュータ アカウントにユーザを追加して下さい。 これをするために、> コンピュータマネジメント > システム ツール > ローカルユーザおよびグループ『Administrative Tools』 を選択 して下さい。 ユーザを右クリックし、ユーザを『New』 を選択 して下さい。

  6. Ciscoパスワード "cisco123" でユーザを追加し、このプロファイル情報をチェックして下さい。

    • General タブで、User Must Change Password のオプションではなく、Password Never Expired のオプションが選択されていることを確認します。

    • Dial-in タブで、割り当てアクセスにオプションを選択して下さい(またはリモートアクセスポリシーによってコントロール アクセスのデフォルト設定を残して下さい)。

    完了したら、[OK] をクリックします。

    /image/gif/paws/18897/cvpn3k_pix_ias-n.jpg

確認

ここでは、設定が正常に動作していることを確認します。

Output Interpreter Tool(OIT)(登録ユーザ専用)では、特定の show コマンドがサポートされています。 OIT を使用して、show コマンド出力の解析を表示できます。

  • show crypto isakmp sa — ピアですべての電流 IKE Security Association (SA)を示します。

  • show crypto ipsec sa :現在の SA が使用する設定を表示します。

トラブルシューティング

ここでは、設定のトラブルシューティングに役立つ情報について説明します。 その他の情報に関しては、確立済みの IPSec トンネルでデータ トラフィックを伝送する PIX のトラブルシューティングを参照して下さい。

トラブルシューティングのためのコマンド

特定のコマンドは、アウトプットインタープリタ登録ユーザ専用)でサポートされています。このツールを使用すると、show コマンドの出力を分析できます。▽一部ツールについては、ゲスト登録のお客様にはアクセスできない場合がありますことを、ご了承ください。▼

注: debug コマンドを使用する参照し、IP Security Troubleshooting - Understanding and Using debug Commands を参照して下さい前に Debug コマンドの重要な情報を

  • debug crypto ipsec — フェーズ2 の IPSec ネゴシエーションを表示して下さい。

  • debug crypto isakmp — フェーズ1 の ISAKMP ネゴシエーションを表示して下さい。

  • debug crypto engine — トラフィックを表示して下さい暗号化される。

デバッグの出力例

PIX ファイアウォール

pixfirewall(config)# 
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
VPN Peer: ISAKMP: Added new peer: ip:14.36.100.55 Total VPN Peers:1
VPN Peer: ISAKMP: Peer ip:14.36.100.55 Ref cnt incremented to:1 
   Total VPN Peers:1
OAK_AG exchange
ISAKMP (0): processing SA payload. message ID = 0
 
ISAKMP (0): Checking ISAKMP transform 1 against priority 10 policy
ISAKMP:      encryption 3DES-CBC
ISAKMP:      hash SHA
ISAKMP:      default group 2
ISAKMP:      extended auth pre-share
ISAKMP:      life type in seconds
ISAKMP:      life duration (VPI) of  0x0 0x20 0xc4 0x9b 
ISAKMP (0): atts are not acceptable. Next payload is 3
ISAKMP (0): Checking ISAKMP transform 2 against priority 10 policy
ISAKMP:      encryption 3DES-CBC
ISAKMP:      hash MD5
ISAKMP:      default group 2
ISAKMP:      extended auth pre-share
ISAKMP:      life type in seconds
ISAKMP:      life duration (VPI) of  0x0 0x20 0xc4 0x9b 
ISAKMP (0): atts are not acceptable. Next payload is 3
ISAKMP (0): Checking ISAKMP transform 3 against priority 10 policy
ISAKMP:      encryption 3DES-CBC
ISAKMP:      hash SHA
ISAKMP:      default group 2
ISAKMP:      auth pre-share
ISAKMP:      life type in seconds
ISAKMP:      life duration (VPI) of  0x0 0x20 0xc4 0x9b 
ISAKMP (0): atts are not acceptable. Next payload is 3
ISAKMP (0): Checking ISAKMP transform 4 against priority 10 policy
ISAKMP:      encryption 3DES-CBC
ISAKMP:      hash MD5
ISAKMP:      default group 2
ISAKMP:      auth pre-share
ISAKMP:      life type in seconds
ISAKMP:      life duration (VPI) of  0x0 0x20 0xc4 0x9b 
ISAKMP (0): atts are not acceptable. Next payload is 3
ISAKMP (0): Checking ISAKMP transform 5 against priority 10 policy
ISAKMP:      encryption DES-CBC
ISAKMP:      hash SHA
ISAKMP:      default group 2
ISAKMP:      extended auth pre-share
ISAKMP:      life type in seconds
ISAKMP:      life duration (VPI) of  0x0 0x20 0xc4 0x9b 
ISAKMP (0): atts are not acceptable. Next payload is 3
ISAKMP (0): Checking ISAKMP transform 6 against priority 10 policy
ISAKMP:      encryption DES-CBC
ISAKMP:      hash MD5
ISAKMP:      default group 2
ISAKMP:      extended auth pre-share
ISAKMP:      life type in seconds
ISAKMP:      life duration (VPI) of  0x0 0x20 0xc4 0x9b 
ISAKMP (0): atts are acceptable. Next payload is 3
ISAKMP (0): processing KE payload. message ID = 0
 
ISAKMP (0): processing NONCE payload. message ID = 0
 
ISAKMP (0): processing ID payload. message ID = 0
ISAKMP (0): processing vendor id payload
 
ISAKMP (0): processing vendor id payload
 
ISAKMP (0): remote peer supports dead peer detection
 
ISAKMP (0): processing vendor id payload
 
ISAKMP (0): speaking to a Unity client
 
ISAKMP: Created a peer node for 14.36.100.55
ISAKMP (0): ID payload
        next-payload : 10
        type         : 1
        protocol     : 17
        port         : 500
        length       : 8
ISAKMP (0): Total payload length: 12
return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
OAK_AG exchange
ISAKMP (0): processing HASH payload. message ID = 0
ISAKMP (0): processing NOTIFY payload 24578 protocol 1
        spi 0, message ID = 0
ISAKMP (0): processing notify INITIAL_CONTACTIPSEC(key_engine): got 
   a queue event...
IPSEC(key_engine_delete_sas): rec'd delete notify from ISAKMP
IPSEC(key_engine_delete_sas): delete all SAs shared with 14.36.100.55
 
ISAKMP (0): SA has been authenticated
return status is IKMP_NO_ERROR
ISAKMP/xauth: request attribute XAUTH_TYPE
ISAKMP/xauth: request attribute XAUTH_USER_NAME
ISAKMP/xauth: request attribute XAUTH_USER_PASSWORD
ISAKMP (0:0): initiating peer config to 14.36.100.55. ID = 3870616596 
   (0xe6b4ec14)
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
ISAKMP_TRANSACTION exchange
ISAKMP (0:0): processing transaction payload from 14.36.100.55. 
   message ID = 84
ISAKMP: Config payload CFG_REPLY
return status is IKMP_ERR_NO_RETRANS
ISAKMP (0:0): initiating peer config to 14.36.100.55. ID = 3612718114 
   (0xd755b422)
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
ISAKMP_TRANSACTION exchange
ISAKMP (0:0): processing transaction payload from 14.36.100.55. 
   message ID = 60
ISAKMP: Config payload CFG_ACK
return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
ISAKMP_TRANSACTION exchange
ISAKMP (0:0): processing transaction payload from 14.36.100.55. 
   message ID = 0
ISAKMP: Config payload CFG_REQUEST
ISAKMP (0:0): checking request:
ISAKMP: attribute    IP4_ADDRESS (1)
ISAKMP: attribute    IP4_NETMASK (2)
ISAKMP: attribute    IP4_DNS (3)
ISAKMP: attribute    IP4_NBNS (4)
ISAKMP: attribute    ADDRESS_EXPIRY (5)
        Unsupported Attr: 5
ISAKMP: attribute    APPLICATION_VERSION (7)
        Unsupported Attr: 7
ISAKMP: attribute    UNKNOWN (28672)
        Unsupported Attr: 28672
ISAKMP: attribute    UNKNOWN (28673)
        Unsupported Attr: 28673
ISAKMP: attribute    UNKNOWN (28674)
ISAKMP: attribute    UNKNOWN (28676)
ISAKMP: attribute    UNKNOWN (28679)
        Unsupported Attr: 28679
ISAKMP: attribute    UNKNOWN (28680)
        Unsupported Attr: 28680
ISAKMP: attribute    UNKNOWN (28677)
        Unsupported Attr: 28677
ISAKMP (0:0): responding to peer config from 14.36.100.55. 
   ID = 3979868003
return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
OAK_QM exchange
oakley_process_quick_mode:
OAK_QM_IDLE
ISAKMP (0): processing SA payload. message ID = 1527320241
 
ISAKMP : Checking IPSec proposal 1
 
ISAKMP: transform 1, ESP_3DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-MD5
ISAKMP:      encaps is 1
ISAKMP:      SA life type in seconds
ISAKMP:      SA life duration (VPI) of  0x0 0x20 0xc4 0x9b 
   IPSEC(validate_proposal): transform proposal (prot 3, trans
3, hmac_alg 1) not supported
 
ISAKMP (0): atts not acceptable. Next payload is 0
ISAKMP (0): skipping next ANDed proposal (1)
ISAKMP : Checking IPSec proposal 2
 
ISAKMP: transform 1, ESP_3DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-SHA
ISAKMP:      encaps is 1
ISAKMP:      SA life type in seconds
ISAKMP:      SA life duration (VPI) of  0x0 0x20 0xc4 0x9b 
   IPSEC(validate_proposal): transform proposal (prot 3, trans
3, hmac_alg 2) not supported
 
ISAKMP (0): atts not acceptable. Next payload is 0
ISAKMP (0): skipping next ANDed proposal (2)
ISAKMP : Checking IPSec proposal 3
 
ISAKMP: transform 1, ESP_3DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-MD5
ISAKMP:      encaps is 1
ISAKMP:      SA life type in seconds
ISAKMP:      SA life duration (VPI) of  0x0 0x20 0xc4 0x9b 
   IPSEC(validate_proposal): transform proposal (prot 3, trans
3, hmac_alg 1) not supported
 
ISAKMP (0): atts not acceptable. Next payload is 0
ISAKMP : Checking IPSec proposal 4
 
ISAKMP: transform 1, ESP_3DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-SHA
ISAKMP:      encaps is 1
ISAKMP:      SA life type in seconds
ISAKMP:      SA life duration (VPI) of  0x0 0x20 0xc4 0x9b 
   IPSEC(validate_proposal): transform proposal (prot 3, trans
3, hmac_alg 2) not supported
 
ISAKMP (0): atts not acceptable. Next payload is 0
ISAKMP : Checking IPSec proposal 5
 
ISAKMP: transform 1, ESP_DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-MD5
ISAKMP:      encaps is 1
ISAKMP:      SA life type in seconds
ISAKMP:      SA life duration (VPI) of  0x0 0x20 0xc4 0x9b 
ISAKMP (0): atts are acceptable.
ISAKMP (0): bad SPI size of 2 octets!
ISAKMP : Checking IPSec proposal 6
 
ISAKMP: transform 1, ESP_DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-SHA
ISAKMP:      encaps is 1
ISAKMP:      SA life type in seconds
ISAKMP:      SA life duration (VPI) of  0x0 0x20 0xc4 0x9b 
   IPSEC(validate_proposal): transform proposal (prot 3, trans
2, hmac_alg 2) not supported
 
ISAKMP (0): atts not acceptable. Next payload is 0
ISAKMP (0): skipping next ANDed proposal (6)
ISAKMP : Checking IPSec proposal 7
 
ISAKMP: transform 1, ESP_DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-MD5
ISAKMP:      encaps is 1
ISAKMP:      SA life type in seconds
ISAKMP:      SA life duration (VPI) of  0x0 0x20 0xc4 0x9b 
ISAKMP (0): atts are acceptable.IPSEC(validate_proposal_request): 
   proposal part #1,
  (key eng. msg.) dest= 14.36.100.50, src= 14.36.100.55, 
    dest_proxy= 14.36.100.50/255.255.255.255/0/0 (type=1), 
    src_proxy= 10.1.2.1/255.255.255.255/0/0 (type=1),
    protocol= ESP, transform= esp-des esp-md5-hmac , 
    lifedur= 0s and 0kb, 
    spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4
 
ISAKMP (0): processing NONCE payload. message ID = 1527320241
 
ISAKMP (0): processing ID payload. message ID = 1527320241
ISAKMP (0): ID_IPV4_ADDR src 10.1.2.1 prot 0 port 0
ISAKMP (0): processing ID payload. message ID = 1527320241
ISAKMP (0): ID_IPV4_ADDR dst 14.36.100.50 prot 0 port 
   0IPSEC(key_engine): got a queue event...
IPSEC(spi_response): getting spi 0xf39c2217(4087095831) for SA 
        from    14.36.100.55 to    14.36.100.50 for prot 3
 
return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
OAK_QM exchange
oakley_process_quick_mode:
OAK_QM_IDLE
ISAKMP (0): processing SA payload. message ID = 3487980779
 
ISAKMP : Checking IPSec proposal 1
 
ISAKMP: transform 1, ESP_3DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-MD5
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
OAK_QM exchange
oakley_process_quick_mode:
OAK_QM_AUTH_AWAIT
ISAKMP (0): Creating IPSec SAs
        inbound SA from    14.36.100.55 to    14.36.100.50 
             (proxy        10.1.2.1 to    14.36.100.50)
        has spi 4087095831 and conn_id 1 and flags 4
        lifetime of 2147483 seconds
        outbound SA from    14.36.100.50 to    14.36.100.55 
             (proxy    14.36.100.50 to        10.1.2.1)
        has spi 1929305241 and conn_id 2 and flags 4
        lifetime of 2147483 secondsIPSEC(key_engine): got a queue event...
IPSEC(initialize_sas): ,
  (key eng. msg.) dest= 14.36.100.50, src= 14.36.100.55, 
    dest_proxy= 14.36.100.50/0.0.0.0/0/0 (type=1), 
    src_proxy= 10.1.2.1/0.0.0.0/0/0 (type=1),
    protocol= ESP, transform= esp-des esp-md5-hmac , 
    lifedur= 2147483s and 0kb, 
    spi= 0xf39c2217(4087095831), conn_id= 1, keysize= 0, flags= 0x4
IPSEC(initialize_sas): ,
  (key eng. msg.) src= 14.36.100.50, dest= 14.36.100.55, 
    src_proxy= 14.36.100.50/0.0.0.0/0/0 (type=1), 
    dest_proxy= 10.1.2.1/0.0.0.0/0/0 (type=1),
    protocol= ESP, transform= esp-des esp-md5-hmac , 
    lifedur= 2147483s and 0kb, 
    spi= 0x72fedc99(1929305241), conn_id= 2, keysize= 0, flags= 0x4
 
VPN Peer: IPSEC: Peer ip:14.36.100.55 Ref cnt incremented to:2 
   Total VPN Peers:1
VPN Peer: IPSEC: Peer ip:14.36.100.55 Ref cnt incremented to:3 
   Total VPN Peers:1
return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
OAK_QM exchange
oakley_process_quick_mode:
OAK_QM_AUTH_AWAIT
ISAKMP (0): Creating IPSec SAs
        inbound SA from    14.36.100.55 to    14.36.100.50 
             (proxy        10.1.2.1 to         0.0.0.0)
        has spi 1791135440 and conn_id 3 and flags 4
        lifetime of 2147483 seconds
        outbound SA from    14.36.100.50 to    14.36.100.55 
             (proxy         0.0.0.0 to        10.1.2.1)
        has spi 173725574 and conn_id 4 and flags 4
        lifetime of 2147483 secondsIPSEC(key_engine): got a queue event...
IPSEC(initialize_sas): ,
  (key eng. msg.) dest= 14.36.100.50, src= 14.36.100.55, 
    dest_proxy= 0.0.0.0/0.0.0.0/0/0 (type=4), 
    src_proxy= 10.1.2.1/0.0.0.0/0/0 (type=1),
    protocol= ESP, transform= esp-des esp-md5-hmac , 
    lifedur= 2147483s and 0kb, 
    spi= 0x6ac28ed0(1791135440), conn_id= 3, keysize= 0, flags= 0x4
IPSEC(initialize_sas): ,
  (key eng. msg.) src= 14.36.100.50, dest= 14.36.100.55, 
    src_proxy= 0.0.0.0/0.0.0.0/0/0 (type=4), 
    dest_proxy= 10.1.2.1/0.0.0.0/0/0 (type=1),
    protocol= ESP, transform= esp-des esp-md5-hmac , 
    lifedur= 2147483s and 0kb, 
    spi= 0xa5ad786(173725574), conn_id= 4, keysize= 0, flags= 0x4
 
VPN Peer: IPSEC: Peer ip:14.36.100.55 Ref cnt incremented to:4 
   Total VPN Peers:1
VPN Peer: IPSEC: Peer ip:14.36.100.55 Ref cnt incremented to:5 
   Total VPN Peers:1
return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50
ISAKMP (0): processing NOTIFY payload 36136 protocol 1
        spi 0, message ID = 3443334051
ISAMKP (0): received DPD_R_U_THERE from peer 14.36.100.55
ISAKMP (0): sending NOTIFY message 36137 protocol 1
return status is IKMP_NO_ERR_NO_TRANS

VPN Client 3.5 for Windows

193    19:00:56.073  01/24/02  Sev=Info/6       DIALER/0x63300002
Initiating connection.
 
194    19:00:56.073  01/24/02  Sev=Info/4       CM/0x63100002
Begin connection process
 
195    19:00:56.083  01/24/02  Sev=Info/4       CM/0x63100004
Establish secure connection using Ethernet
 
196    19:00:56.083  01/24/02  Sev=Info/4       CM/0x63100026
Attempt connection with server "14.36.100.50"
 
197    19:00:56.083  01/24/02  Sev=Info/6       IKE/0x6300003B
Attempting to establish a connection with 14.36.100.50.
 
198    19:00:56.124  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK AG (SA, KE, NON, ID, VID, VID, VID) 
to 14.36.100.50
 
199    19:00:56.774  01/24/02  Sev=Info/4       IPSEC/0x63700014
Deleted all keys
 
200    19:00:59.539  01/24/02  Sev=Info/5       IKE/0x6300002F
Received ISAKMP packet: peer = 14.36.100.50
 
201    19:00:59.539  01/24/02  Sev=Info/4       IKE/0x63000014
RECEIVING <<< ISAKMP OAK AG (SA, VID, VID, VID, KE, ID, NON, HASH) 
from 14.36.100.50
 
202    19:00:59.539  01/24/02  Sev=Info/5       IKE/0x63000059
Vendor ID payload = 12F5F28C457168A9702D9FE274CC0100
 
203    19:00:59.539  01/24/02  Sev=Info/5       IKE/0x63000001
Peer is a Cisco-Unity compliant peer
 
204    19:00:59.539  01/24/02  Sev=Info/5       IKE/0x63000059
Vendor ID payload = AFCAD71368A1F1C96B8696FC77570100
 
205    19:00:59.539  01/24/02  Sev=Info/5       IKE/0x63000001
Peer supports DPD
 
206    19:00:59.539  01/24/02  Sev=Info/5       IKE/0x63000059
Vendor ID payload = 6D761DDC26ACECA1B0ED11FABBB860C4
 
207    19:00:59.569  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK AG *(HASH, NOTIFY:STATUS_INITIAL_CONTACT) 
to 14.36.100.50
 
208    19:00:59.569  01/24/02  Sev=Info/5       IKE/0x6300002F
Received ISAKMP packet: peer = 14.36.100.50
 
209    19:00:59.569  01/24/02  Sev=Info/4       IKE/0x63000014
RECEIVING <<< ISAKMP OAK TRANS *(HASH, ATTR) from 14.36.100.50
 
210    19:00:59.569  01/24/02  Sev=Info/4       CM/0x63100015
Launch xAuth application
 
211    19:01:04.236  01/24/02  Sev=Info/4       CM/0x63100017
xAuth application returned
 
212    19:01:04.236  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK TRANS *(HASH, ATTR) to 14.36.100.50
 
213    19:01:04.496  01/24/02  Sev=Info/5       IKE/0x6300002F
Received ISAKMP packet: peer = 14.36.100.50
 
214    19:01:04.496  01/24/02  Sev=Info/4       IKE/0x63000014
RECEIVING <<< ISAKMP OAK TRANS *(HASH, ATTR) from 14.36.100.50
 
215    19:01:04.496  01/24/02  Sev=Info/4       CM/0x6310000E
Established Phase 1 SA.  1 Phase 1 SA in the system
 
216    19:01:04.506  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK TRANS *(HASH, ATTR) to 14.36.100.50
 
217    19:01:04.516  01/24/02  Sev=Info/5       IKE/0x6300005D
Client sending a firewall request to concentrator
 
218    19:01:04.516  01/24/02  Sev=Info/5       IKE/0x6300005C
Firewall Policy: Product=Cisco Integrated Client, Capability= 
(Centralized Policy Push).
 
219    19:01:04.516  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK TRANS *(HASH, ATTR) to 14.36.100.50
 
220    19:01:04.586  01/24/02  Sev=Info/5       IKE/0x6300002F
Received ISAKMP packet: peer = 14.36.100.50
 
221    19:01:04.586  01/24/02  Sev=Info/4       IKE/0x63000014
RECEIVING <<< ISAKMP OAK TRANS *(HASH, ATTR) from 14.36.100.50
 
222    19:01:04.586  01/24/02  Sev=Info/5       IKE/0x63000010
MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_ADDRESS: , 
value = 10.1.2.1
 
223    19:01:04.586  01/24/02  Sev=Info/5       IKE/0x63000010
MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_DNS(1): , 
value = 10.1.1.2
 
224    19:01:04.586  01/24/02  Sev=Info/5       IKE/0x63000010
MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_NBNS(1) (a.k.a. WINS) 
: , value = 10.1.1.2
 
225    19:01:04.586  01/24/02  Sev=Info/5       IKE/0x6300000E
MODE_CFG_REPLY: Attribute = MODECFG_UNITY_DEFDOMAIN: , 
value = cisco.com
 
226    19:01:04.586  01/24/02  Sev=Info/4       CM/0x63100019
Mode Config data received
 
227    19:01:04.606  01/24/02  Sev=Info/5       IKE/0x63000055
Received a key request from Driver for IP address 14.36.100.50, 
GW IP = 14.36.100.50
 
228    19:01:04.606  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK QM *(HASH, SA, NON, ID, ID) to 14.36.100.50
 
229    19:01:04.606  01/24/02  Sev=Info/5       IKE/0x63000055
Received a key request from Driver for IP address 10.10.10.255, 
GW IP = 14.36.100.50
 
230    19:01:04.606  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK QM *(HASH, SA, NON, ID, ID) to 14.36.100.50
 
231    19:01:04.786  01/24/02  Sev=Info/4       IPSEC/0x63700014
Deleted all keys
 
232    19:01:05.948  01/24/02  Sev=Info/5       IKE/0x6300002F
Received ISAKMP packet: peer = 14.36.100.50
 
233    19:01:05.948  01/24/02  Sev=Info/4       IKE/0x63000014
RECEIVING <<< ISAKMP OAK QM *(HASH, SA, NON, ID, ID, 
NOTIFY:STATUS_RESP_LIFETIME) from 14.36.100.50
 
234    19:01:05.948  01/24/02  Sev=Info/5       IKE/0x63000044
RESPONDER-LIFETIME notify has value of 28800 seconds
 
235    19:01:05.948  01/24/02  Sev=Info/5       IKE/0x63000045
RESPONDER-LIFETIME notify has value of 4608000 kb
 
236    19:01:05.948  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK QM *(HASH) to 14.36.100.50
 
237    19:01:05.948  01/24/02  Sev=Info/5       IKE/0x63000058
Loading IPsec SA (Message ID = 0x5B090EB1 OUTBOUND SPI = 
0xF39C2217 INBOUND SPI = 0x72FEDC99)
 
238    19:01:05.948  01/24/02  Sev=Info/5       IKE/0x63000025
Loaded OUTBOUND ESP SPI: 0xF39C2217
 
239    19:01:05.948  01/24/02  Sev=Info/5       IKE/0x63000026
Loaded INBOUND ESP SPI: 0x72FEDC99
 
240    19:01:05.948  01/24/02  Sev=Info/4       CM/0x6310001A
One secure connection established
 
241    19:01:05.988  01/24/02  Sev=Info/6       DIALER/0x63300003
Connection established.
 
242    19:01:06.078  01/24/02  Sev=Info/6       DIALER/0x63300008
MAPI32 Information - Outlook not default mail client
 
243    19:01:06.118  01/24/02  Sev=Info/5       IKE/0x6300002F
Received ISAKMP packet: peer = 14.36.100.50
 
244    19:01:06.118  01/24/02  Sev=Info/4       IKE/0x63000014
RECEIVING <<< ISAKMP OAK QM *(HASH, SA, NON, ID, ID, 
NOTIFY:STATUS_RESP_LIFETIME) from 14.36.100.50
 
245    19:01:06.118  01/24/02  Sev=Info/5       IKE/0x63000044
RESPONDER-LIFETIME notify has value of 28800 seconds
 
246    19:01:06.118  01/24/02  Sev=Info/5       IKE/0x63000045
RESPONDER-LIFETIME notify has value of 4608000 kb
 
247    19:01:06.118  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK QM *(HASH) to 14.36.100.50
 
248    19:01:06.118  01/24/02  Sev=Info/5       IKE/0x63000058
Loading IPsec SA (Message ID = 0xCFE65CEB OUTBOUND SPI = 
0x6AC28ED0 INBOUND SPI = 0x0A5AD786)
 
249    19:01:06.118  01/24/02  Sev=Info/5       IKE/0x63000025
Loaded OUTBOUND ESP SPI: 0x6AC28ED0
 
250    19:01:06.118  01/24/02  Sev=Info/5       IKE/0x63000026
Loaded INBOUND ESP SPI: 0x0A5AD786
 
251    19:01:06.118  01/24/02  Sev=Info/4       CM/0x63100022
Additional Phase 2 SA established.
 
252    19:01:07.020  01/24/02  Sev=Info/4       IPSEC/0x63700010
Created a new key structure
 
253    19:01:07.020  01/24/02  Sev=Info/4       IPSEC/0x6370000F
Added key with SPI=0x17229cf3 into key list
 
254    19:01:07.020  01/24/02  Sev=Info/4       IPSEC/0x63700010
Created a new key structure
 
255    19:01:07.020  01/24/02  Sev=Info/4       IPSEC/0x6370000F
Added key with SPI=0x99dcfe72 into key list
 
256    19:01:07.020  01/24/02  Sev=Info/4       IPSEC/0x63700010
Created a new key structure
 
257    19:01:07.020  01/24/02  Sev=Info/4       IPSEC/0x6370000F
Added key with SPI=0xd08ec26a into key list
 
258    19:01:07.020  01/24/02  Sev=Info/4       IPSEC/0x63700010
Created a new key structure
 
259    19:01:07.020  01/24/02  Sev=Info/4       IPSEC/0x6370000F
Added key with SPI=0x86d75a0a into key list
 
260    19:01:15.032  01/24/02  Sev=Info/6       IKE/0x6300003D
Sending DPD request to 14.36.100.50, seq# = 152233542
 
261    19:01:15.032  01/24/02  Sev=Info/4       IKE/0x63000013
SENDING >>> ISAKMP OAK INFO *(HASH, NOTIFY:DPD_REQUEST) 
to 14.36.100.50
 
262    19:01:15.032  01/24/02  Sev=Info/5       IKE/0x6300002F
Received ISAKMP packet: peer = 14.36.100.50
 
263    19:01:15.032  01/24/02  Sev=Info/4       IKE/0x63000014
RECEIVING <<< ISAKMP OAK INFO *(HASH, NOTIFY:DPD_ACK) 
from 14.36.100.50
 
264    19:01:15.032  01/24/02  Sev=Info/5       IKE/0x6300003F
Received DPD ACK from 14.36.100.50, seq# received = 152233542, 
seq# expected = 152233542

関連するシスコ サポート コミュニティ ディスカッション

シスコ サポート コミュニティは、どなたでも投稿や回答ができる情報交換スペースです。


関連情報


Document ID: 18897