セキュリティと VPN : IPSec ネゴシエーション/IKE プロトコル

IPSec のトラブルシューティング:debug コマンドの説明と使用

2010 年 3 月 10 日 - ライター翻訳版
その他のバージョン: PDFpdf | 機械翻訳版 (2013 年 8 月 21 日) | 英語版 (2009 年 7 月 15 日) | フィードバック

目次

概要
前提条件
      要件
      使用するコンポーネント
      表記法
Cisco IOS ソフトウェアのデバッグ
      show crypto isakmp sa
      show crypto ipsec sa
      show crypto engine connection active
      debug crypto isakmp
      debug crypto ipsec
エラー メッセージの例
      Replay Check Failed(リプレイ チェックに失敗)
      QM FSM エラー
      Invalid local address(無効なローカル アドレス)
      IKE message from X.X.X.X failed its sanity check or is malformed(X.X.X.X からの IKE メッセージが X.X.X.X 自体の健全性チェックに失敗したか、または形式が正しくない)
      Processing of Main Mode failed with peer(ピアとのメイン モードの処理が失敗した)
      Proxy identities not supported(プロキシ ID がサポートされていない)
      Transform proposal not supported(トランスフォーム プロポーザルがサポートされていない)
      No cert and no keys with remote peer(リモート ピアに証明書も鍵もない)
      peer address X.X.X.X not found(ピア アドレス X.X.X.X が見つからない)
      IPSEC packet has invalid SPI(IPSec パケットに無効な SPI がある)
      IPSEC(initialize_sas): Invalid Proxy IDs(IPSEC(initialize_sas):無効なプロキシ ID)
      Reserved Not Zero on Payload 5(ペイロード 5 で Reserved が 0 ではない)
      Hash Algorithm Offered does not Match Policy(提供されるハッシュ アルゴリズムがポリシーと一致しない)
      HMAC Verification Failed(HMAC の確認に失敗)
      Remote Peer Not Responding(リモート ピアが応答しない)
      Packet Encryption/Decryption Error(パケットの暗号化/復号化エラー)
PIX のデバッグ
      show crypto isakmp sa
      show crypto ipsec sa
      debug crypto isakmp
      debug crypto ipsec
ルータと VPN Client 間の一般的な問題
      VPN トンネル外部のサブネットにアクセスできない:スプリット トンネリング
PIX と VPN Client 間の一般的な問題
      トンネル確立後にトラフィックが流れない:PIX 背後の内部ネットワークに PING が通らない
      トンネルのアップ後、ユーザがインターネットをブラウズできない:スプリット トンネリング
      トンネルのアップ後、特定のアプリケーションが動作しない:クライアントでの MTU 調整
      sysopt コマンドが設定されていない
Access Control List(ACL; アクセス コントロール リスト)の確認
関連するシスコ サポート コミュニティ ディスカッション
関連情報


概要

このドキュメントでは、Cisco IOS(R) Software および PIX/ASA で IPsec の問題をトラブルシューティングする際によく使用される debug コマンドについて解説します。このドキュメントでは、IPsec が設定済みであることを前提とします。詳細は、『一般的な IPSec のエラー メッセージ』と『一般的な IPSec の問題』を参照してください。

IPSec VPN の問題に対する最も一般的なソリューションについては、『一般的な L2L およびリモート アクセス IPSec VPN のトラブルシューティング方法について』を参照してください。接続および Cisco テクニカルサポートのトラブルシューティングを開始する前に試した方がよい一般的な手順のチェックリストが含まれています。



前提条件

要件

このドキュメントに関する特別な要件はありません。



使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

  • Cisco IOS ソフトウェア

    • IPSec フィーチャ セット

    • 56i - シングル Data Encryption Standard(DES; データ暗号規格)機能を示します(Cisco IOS ソフトウェア リリース 11.2 以降)。

    • k2 - トリプル DES 機能を示します(Cisco IOS ソフトウェア リリース 12.0 以降)。トリプル DES は、Cisco 2600 シリーズ以降で使用できます。

  • PIX - V5.0以降。アクティブにするためには、シングルまたはトリプル DES のライセンス キーが必要です。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな(デフォルト)設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのような作業についても、その潜在的な影響について確実に理解しておく必要があります。



表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。



Cisco IOS ソフトウェアのデバッグ

このセクションの項目では、Cisco IOS ソフトウェアの debug コマンドについて解説します。詳細は、『一般的な IPSec のエラー メッセージ』と『一般的な IPSec の問題』を参照してください。



show crypto isakmp sa

このコマンドは、ピア間で構築された Internet Security Association and Key Management Protocol(ISAKMP)セキュリティ アソシエーション(SA)を表示します。

dst    	  src        state     conn-id     slot
12.1.1.2  12.1.1.1   QM_IDLE    1           0


show crypto ipsec sa

このコマンドは、ピア間で構築された IPSec SA を表示します。ネットワーク 20.1.1.0 と 10.1.1.0 の間を流れるトラフィックに対して、12.1.1.1 と 12.1.1.2 との間に暗号化されたトンネルが構築されます。着信側および発信側で構築された 2 つの Encapsulating Security Payload(ESP)SA を確認できます。Authentication Header(AH)SA がないため、AH は使用されていません。

show crypto ipsec sa コマンドの出力例を次に示します。

interface: FastEthernet0
    Crypto map tag: test, local addr.12.1.1.1
   local  ident (addr/mask/prot/port): (20.1.1.0/255.255.255.0/0/0)
   remote ident (addr/mask/prot/port): (10.1.1.0/255.255.255.0/0/0)
   current_peer: 12.1.1.2
     PERMIT, flags={origin_is_acl,}
    #pkts encaps: 7767918, #pkts encrypt: 7767918, #pkts digest 7767918
    #pkts decaps: 7760382, #pkts decrypt: 7760382, #pkts verify 7760382
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 0, #pkts compr.failed: 0, 
    #pkts decompress failed: 0, #send errors 1, #recv errors 0
     local crypto endpt.: 12.1.1.1, remote crypto endpt.: 12.1.1.2
     path mtu 1500, media mtu 1500
     current outbound spi: 3D3
     inbound esp sas:
      spi: 0x136A010F(325714191)
        transform: esp-3des esp-md5-hmac ,
        in use settings ={Tunnel, }
        slot: 0, conn id: 3442, flow_id: 1443, crypto map: test
        sa timing: remaining key lifetime (k/sec): (4608000/52)
        IV size: 8 bytes
        replay detection support: Y
     inbound ah sas:
     inbound pcp sas:
inbound pcp sas:
outbound esp sas:
   spi: 0x3D3(979)
    transform: esp-3des esp-md5-hmac ,
    in use settings ={Tunnel, }
    slot: 0, conn id: 3443, flow_id: 1444, crypto map: test
    sa timing: remaining key lifetime (k/sec): (4608000/52)
    IV size: 8 bytes
    replay detection support: Y
outbound ah sas:
outbound pcp sas:


show crypto engine connection active

このコマンドは、構築された個々のフェーズ 2 SA と、送信されたトラフィックの量を表示します。フェーズ 2(セキュリティ アソシエーション)SA は単方向であるため、各 SA には一方向のトラフィックだけが表示されます(暗号化は発信側、復号化は着信側です)。



debug crypto isakmp

debug crypto isakmp コマンドの出力例を次に示します。

processing SA payload.message ID = 0 
Checking ISAKMP transform against priority 1 policy 
	encryption DES-CBC 
      	hash SHA 
	default group 2 
	auth pre-share 
	life type in seconds 
	life duration (basic) of 240 
atts are acceptable.Next payload is 0 
processing KE payload.message ID = 0 
processing NONCE payload.message ID = 0 
processing ID payload.message ID = 0 
SKEYID state generated 
processing HASH payload.message ID = 0 
SA has been authenticated 
processing SA payload.message ID = 800032287


debug crypto ipsec

このコマンドは、発信元および送信先の IPSec トンネル エンドポイントを表示します。src_proxy および dest_proxy はクライアント サブネットです。2 つの "sa created" メッセージが、方向ごとに 1 つずつ表示されます (ESP および AH を実行すると、メッセージが 4 つ表示されます)。

debug crypto ipsec コマンドの出力例を次に示します。

Checking IPSec proposal 1transform 1, ESP_DES 
attributes in transform:
	encaps is 1 
	SA life type in seconds 
	SA life duration (basic) of 3600 
	SA life type in kilobytes 
	SA life duration (VPI) of 0x0 0x46 0x50 0x0 
HMAC algorithm is SHA 
atts are acceptable.
Invalid attribute combinations between peers will show up as "atts 
  not acceptable".
IPSEC(validate_proposal_request): proposal part #2, 
(key eng.msg.) dest= 12.1.1.2, SRC= 12.1.1.1, 
      dest_proxy= 10.1.1.0/0.0.0.0/0/0,
      src_proxy= 20.1.1.0/0.0.0.16/0/0, 
      protocol= ESP, transform= esp-des esp-sha-hmac 
      lifedur= 0s and 0kb,
      spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4 
IPSEC(key_engine): got a queue event...
IPSEC(spi_response): getting spi 203563166 for SA 
      from 12.1.1.2 to 12.1.1.1 for prot 2 
IPSEC(spi_response): getting spi 194838793 for SA 
      from 12.1.1.2 to 12.1.1.1 for prot 3 
IPSEC(key_engine): got a queue event...
IPSEC(initialize_sas): , 
  (key eng.msg.) dest= 12.1.1.2, SRC= 12.1.1.1, 
      dest_proxy= 10.1.1.0/255.255.255.0/0/0, 
      src_proxy= 20.1.1.0/255.255.255.0/0/0, 
      protocol= ESP, transform= esp-des esp-sha-hmac
      lifedur= 3600s and 4608000kb, 
      spi= 0xC22209E(203563166), conn_id= 3, 
              keysize=0, flags= 0x4 
IPSEC(initialize_sas): ,
  (key eng.msg.) SRC= 12.1.1.2, dest= 12.1.1.1, 
      src_proxy= 10.1.1.0/255.255.255.0/0/0, 
      dest_proxy= 20.1.1.0/255.255.255.0/0/0, 
      protocol= ESP, transform= esp-des esp-sha-hmac 
      lifedur= 3600s and 4608000kb, 
      spi= 0xDED0AB4(233638580), conn_id= 6, 
              keysize= 0, flags= 0x4 
IPSEC(create_sa): sa created, 
      (sa) sa_dest= 12.1.1.2, sa_prot= 50, 
      sa_spi= 0xB9D0109(194838793), 
      sa_trans= esp-des esp-sha-hmac , sa_conn_id= 5 
 IPSEC(create_sa): sa created, 
      (sa) sa_dest= 12.1.1.2, sa_prot= 50, 
      sa_spi= 0xDED0AB4(233638580), 
      sa_trans= esp-des esp-sha-hmac , sa_conn_id= 6 


エラー メッセージの例

ここでは、次の各 debug コマンドで生成されたエラー メッセージの例を示します。

  • debug crypto ipsec

  • debug crypto isakmp

  • debug crypt engine

詳細は、エラー メッセージ デコーダ登録ユーザ専用)ツールを参照してください。



Replay Check Failed(リプレイ チェックに失敗)

「Replay Check Failed」エラーの出力例を次に示します。

%CRYPTO-4-PKT_REPLAY_ERR: decrypt: replay check failed connection id=#.

このエラーは、伝送メディアでリオーダーした結果(特にパラレル パスが存在する場合)によるものです。または、負荷時に大きいパケットと小さいパケットに対して Cisco IOS の Inside で行われるパケット処理の不適切なパスによるものです。これを反映するために、トランスフォーム セットを変更します。reply check は、transform-set esp-md5-hmac がイネーブルにされているときだけ、見られます。このエラー メッセージを抑制するには、esp-md5-hmac をディセーブルにして、暗号化のみを行います。Cisco Bug ID CSCdp19680登録ユーザ専用)を参照してください。



QM FSM エラー

IPsec L2L VPN トンネルが PIX ファイアウォールまたは ASA で確立されず、QM FSM エラー メッセージが表示されます。

1 つの原因としては、プロキシ アイデンティティ(対象トラフィック、Access Control List(ACL; アクセス コントロール リスト)、クリプト ACL など)が両端で一致していない場合が考えられます。両方のデバイスで設定をチェックして、クリプト ACL が一致していることを確認してください。



Invalid local address(無効なローカル アドレス)

エラー メッセージの出力例を次に示します。

IPSEC(validate_proposal): invalid local address 12.2.6.2
ISAKMP (0:3): atts not acceptable.Next payload is 0
ISAKMP (0:3): SA not acceptable!

このエラー メッセージは、次の 2 つの一般的な問題のいずれかが原因です。

  • crypto map map-name local-address interface-id コマンドにより、ルータが指定されたアドレスを使用するように設定されたため、識別情報として正しくないアドレスをルータが使用する。

  • crypto map が間違ったインターフェイスに適用されているか、またはまったく適用されていない。設定をチェックし、crypto map が正しいインターフェイスに適用されていることを確認します。



IKE message from X.X.X.X failed its sanity check or is malformed(X.X.X.X からの IKE メッセージが X.X.X.X 自体の健全性チェックに失敗したか、または形式が正しくない)

この debug エラーは、ピア同士の事前共有鍵が一致しない場合に表示されます。この問題を修正するには、両方の側の事前共有鍵を確認します。

1d00H:%CRPTO-4-IKMP_BAD_MESSAGE: IKE message from 150.150.150.1 failed its
 sanity check or is malformed   


Processing of Main Mode failed with peer(ピアとのメイン モードの処理が失敗した)

Main Mode(メイン モード)エラー メッセージの例を次に示します。メイン モードの失敗は、フェーズ 1 ポリシーが両方の側で一致しないことを示しています。

1d00h: ISAKMP (0:1): atts are not acceptable.Next payload is 0
1d00h: ISAKMP (0:1); no offers accepted!
1d00h: ISAKMP (0:1): SA not acceptable!
1d00h: %CRYPTO-6-IKMP_MODE_FAILURE: Processing of Main Mode failed with 
peer at 150.150.150.1

show crypto isakmp sa コマンドは、ISAKMP SA が MM_NO_STATE にあることを示します。この出力も、メイン モードが失敗したことを意味します。

dst    	  src        state     		conn-id     	slot
10.1.1.2  10.1.1.1   MM_NO_STATE    	1           0

フェーズ 1 ポリシーが両方のピアにあることを確認し、すべての属性が一致していることを確かめます。

Encryption DES or 3DES
Hash MD5 or SHA
Diffie-Hellman Group 1 or 2
Authentication {rsa-sig | rsa-encr | pre-share  


Proxy identities not supported(プロキシ ID がサポートされていない)

IPSec トラフィックのアクセス リストが一致していない場合、デバッグにはこのメッセージが表示されます。

1d00h: IPSec(validate_transform_proposal): proxy identities not supported
1d00h: ISAKMP: IPSec policy invalidated proposal
1d00h: ISAKMP (0:2): SA not acceptable!

各ピアのアクセス リストは互いにミラーになっている(すべてのエントリが反転している)必要があります。次の例は、この点について説明しています。

Peer A
access-list 150 permit ip 172.21.113.0 0.0.0.255 172.21.114.0 0.0.0.255
access-list 150 permit ip host 15.15.15.1 host 172.21.114.123
Peer B
access-list 150 permit ip 172.21.114.0 0.0.0.255 172.21.113.0 0.0.0.255
access-list 150 permit ip host 172.21.114.123 host 15.15.15.1


Transform proposal not supported(トランスフォーム プロポーザルがサポートされていない)

このメッセージは、フェーズ 2(IPSec)が両方の側で一致しない場合に表示されます。このメッセージが最もよく発生するのは、トランスフォーム セット内に不一致や非互換性が存在する場合です。

1d00h: IPSec (validate_proposal): transform proposal 
   (port 3, trans 2, hmac_alg 2) not supported  
1d00h: ISAKMP (0:2) : atts not acceptable.Next payload is 0
1d00h: ISAKMP (0:2) SA not acceptable

トランスフォーム セットが両方の側で一致することを確認します。

crypto ipsec transform-set transform-set-name transform1 
[transform2 [transform3]]
?ah-md5-hmac
?ah-sha-hmac 
?esp-des
?esp-des and esp-md5-hmac
?esp-des and esp-sha-hmac
?esp-3des and esp-md5-hmac 
?esp-3des and esp-sha-hmac
?comp-lzs


No cert and no keys with remote peer(リモート ピアに証明書も鍵もない)

このメッセージは、ルータに設定されたピア アドレスが間違っているか、または変更されたことを示しています。ピア アドレスが正しいこと、およびアドレスが到達可能であることを確認します。

1d00h: ISAKMP: No cert, and no keys (public or pre-shared) with 
remote peer 150.150.150.2


peer address X.X.X.X not found(ピア アドレス X.X.X.X が見つからない)

通常、このエラー メッセージは、対応する VPN 3000 コンセントレータのエラー メッセージ「Message: No proposal chosen(14)」とともに表示されます。このエラーは、接続がホストツーホストになった結果を示しています。ルータ コンフィギュレーションでは、IPSec プロポーザルの順序が、ルータ用に選択されたプロポーザルがピアではなくアクセス リストに一致するようになっています。アクセス リストにはそれよりも大きなネットワークが指定されていて、トラフィックと交差しているホストはこれに含まれています。これを修正するには、コンセントレータからルータまでのこの接続に対応するルータ プロポーザルが先に行に現れるようにします。これにより、ルータ プロポーザルが特定のホストに先に一致します。

20:44:44: IPSEC(validate_proposal_request): proposal part #1,
  (key eng.msg.) dest= 194.70.240.150, src= 198.174.236.6, 
    dest_proxy= 10.0.0.76/255.255.255.255/0/0 (type=1), 
    src_proxy= 198.174.238.203/255.255.255.255/0/0 (type=1),
    protocol= ESP, transform= esp-3des esp-md5-hmac , 
    lifedur= 0s and 0kb, 
    spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4
20:44:44: IPSEC(validate_transform_proposal):
   peer address 198.174.236.6 not found


IPSEC packet has invalid SPI(IPSec パケットに無効な SPI がある)

エラー メッセージの出力例を次に示します。

%PIX-4-402101: decaps: recd IPSEC packet has 
invalid spi for destaddr=dest_address, prot=protocol, spi=number

受信した IPSec パケットには、Security Associations Database(SADB; セキュリティ アソシエーション データベース)に存在しない Security Parameters Index(SPI; セキュリティ パラメータ インデックス)が指定されています。これは次の原因による一時的な状態である可能性があります。

  • IPSec ピア間の Security Association(SA)のエージングにわずかな相違がある

  • ローカル SA がクリアされている

  • IPSec ピアによって誤ったパケットが送信された

これは、攻撃の可能性もあります。

推奨処置:ピアでは、ローカル SA がクリアされたことが認識されない場合があります。ローカル ルータから新しい接続が確立されると、その後は、2 つのピアでの正常な再構築が可能です。その他の場合、問題が短期間で収束しない場合は、新しい接続を確立するか、またはピアの管理者に連絡してください。



IPSEC(initialize_sas): Invalid Proxy IDs(IPSEC(initialize_sas):無効なプロキシ ID)

エラー「21:57:57: IPSEC(initialize_sas): invalid proxy IDs」は、受信したプロキシ ID が、アクセス リストを基準として設定されているプロキシ ID と一致しないことを示しています。両方が一致していることを確かめるには、debug コマンドによる出力を確認します。

プロポーザル要求の debug コマンドの出力では、対応する access-list 103 permit ip 10.1.1.0 0.0.0.255 20.1.1.0 0.0.0.255 が一致していません。アクセス リストは、一方の端ではネットワーク固有であり、他方の端ではホスト固有です。

21:57:57: IPSEC(validate_proposal_request): proposal part #1,
  (key eng.msg.) dest= 192.1.1.1, src= 192.1.1.2,
    dest_proxy= 10.1.1.1/255.255.255.0/0/0 (type=4),
    src_proxy= 20.1.1.1/255.255.255.0/0/0 (type=4)


Reserved Not Zero on Payload 5(ペイロード 5 で Reserved が 0 ではない)

これは、ISAKMP 鍵が一致しないことを示しています。正確さを確実にするには、鍵の再生成かリセットを行います。



Hash Algorithm Offered does not Match Policy(提供されるハッシュ アルゴリズムがポリシーと一致しない)

設定された ISAKMP ポリシーがリモート ピアによって提示されたポリシーと一致しない場合、ルータは 65535 のデフォルト ポリシーを試行します。それも一致しない場合は、ISAKMP ネゴシエーションが失敗します。ユーザは、ルータ上でエラー メッセージ「Hash algorithm offered does not match policy!」または「Encryption algorithm offered does not match policy!」を受信します。

=RouterA=
3d01h: ISAKMP (0:1): processing SA payload.message ID = 0
3d01h: ISAKMP (0:1): found peer pre-shared key matching 209.165.200.227
ISAKMP (0:1): Checking ISAKMP transform 1 against priority 1 policy
ISAKMP:      encryption 3DES-CBC
ISAKMP:      hash MD5
ISAKMP:      default group 1
ISAKMP:      auth pre-share
ISAKMP:      life type in seconds
ISAKMP:      life duration (VPI) of  0x0 0x1 0x51 0x80
ISAKMP (0:1): Hash algorithm offered does not match policy!
ISAKMP (0:1): atts are not acceptable.Next payload is 0
=RouterB=
ISAKMP (0:1): Checking ISAKMP transform 1 against priority 65535 policy
ISAKMP:      encryption 3DES-CBC
ISAKMP:      hash MD5
ISAKMP:      default group 1
ISAKMP:      auth pre-share
ISAKMP:      life type in seconds
ISAKMP:      life duration (VPI) of  0x0 0x1 0x51 0x80
ISAKMP (0:1): Encryption algorithm offered does not match policy!
ISAKMP (0:1): atts are not acceptable.Next payload is 0
ISAKMP (0:1): no offers accepted!
ISAKMP (0:1): phase 1 SA not acceptable!


HMAC Verification Failed(HMAC の確認に失敗)

IPSec パケットで Hash Message Authentication Code(HMAC)の確認が失敗すると、このエラー メッセージが報告されます。これは通常、パケットが破損している場合に起こります。

Sep 22 11:02:39 131.203.252.166 2435:
Sep 22 11:02:39: %MOTCR-1-ERROR:motcr_crypto_callback() motcr return failure
Sep 22 11:02:39 131.203.252.166 2436:
Sep 22 11:02:39: %MOTCR-1-PKTENGRET_ERROR: MOTCR PktEng Return Value = 0x20000, 
                 PktEngReturn_MACMiscompare

このエラー メッセージがときどき表示されるのであれば、無視できます。しかし、たびたび繰り返される場合は、実際に何がパケットを破損させているか調査する必要があります。この原因は、暗号アクセラレータの欠陥による場合もあります。



Remote Peer Not Responding(リモート ピアが応答しない)

このエラー メッセージは、トランスフォーム セットの不一致がある場合に表示されます。両方のピアで一致したトランスフォーム セットが設定されていることを確認してください。



Packet Encryption/Decryption Error(パケットの暗号化/復号化エラー)

エラー メッセージの出力例を次に示します。

HW_VPN-1-HPRXERR: Virtual Private Network (VPN) Module0/2: Packet Encryption/Decryption
error, status=4615

このエラー メッセージの原因としては、次のいずれかが考えられます。

  • フラグメンテーション - フラグメント化された crypto パケットのプロセス スイッチングにより、プロセス スイッチングされたパケットよりも前に、ファスト スイッチングされたパケットが VPN カードに強制的に送信される。プロセス スイッチングされたパケットの前に、ファスト スイッチングされた十分な数のパケットが処理されると、プロセス スイッチングされたパケットの ESP または AH のシーケンス番号が期限切れになるため、それらのパケットが VPN カードに着信したとき、該当するシーケンス番号がリプレイ ウィンドウの範囲外になります。これにより、使用するカプセル化によって異なりますが、AH または ESP シーケンス番号エラー(それぞれ 4615 および 4612)が発生します。

  • キャッシュ エントリの期限切れ - ファスト スイッチングされたキャッシュ エントリが期限切れになり、キャッシュ ミスが発生した先頭パケットがプロセス スイッチングされた場合にも、このエラー メッセージが発生することがあります。

回避策

  1. 3DES トランスフォーム セット上のすべてのタイプの認証をオフにし、ESP-DES/3DES を使用します。これにより、認証/再生防止保護が無効になり、順序の不正な(混合の)IPsec トラフィックに関連したパケット破棄エラー %HW_VPN-1-HPRXERR: Hardware VPN0/2: Packet Encryption/Decryption error, status=4615 が回避されます。

  2. 前述の項番 1 の理由に対して実際に適用できる回避策の 1 つ は、着信ストリームの Maximum Transmission Unit(MTU; 最大伝送ユニット)のサイズを 1400 バイト未満にする方法です。MTU のサイズを 1400 バイト未満にするには、次のコマンドを入力します。

    ip tcp adjust-mss 1300
  3. AIM カードを無効にします。

  4. ルータ インターフェイス上で/CEF のスイッチングをオフにします。ファスト スイッチングを削除するには、インターフェイス設定モードで次のコマンドを実行します。

    no ip route-cache


PIX のデバッグ

show crypto isakmp sa

このコマンドは、ピア間で構築された ISAKMP SA を表示します。

dst    	  src        state     conn-id     slot
12.1.1.2  12.1.1.1   QM_IDLE    1           0

show crypto isakmp sa コマンドの出力では、状態は常に QM_IDLE である必要があります。状態が MM_KEY_EXCH である場合は、設定された事前共有鍵が正しくないか、ピアの IP アドレスが異なっていることを意味します。

PIX(config)#show crypto isakmp sa
Total     : 2
Embryonic : 1
        dst               src        state     pending     created
 192.168.254.250   10.177.243.187    MM_KEY_EXCH   0           0

この問題は、正しい IP アドレスか事前共有鍵を設定することで修正できます。



show crypto ipsec sa

このコマンドは、ピア間で構築された IPSec SA を表示します。ネットワーク 20.1.1.0 と 10.1.1.0 の間を流れるトラフィックに対して、12.1.1.1 と 12.1.1.2 との間に暗号化されたトンネルが構築されます。着信側および発信側で構築された 2 つの ESP SA を確認できます。AH SA がないため、AH は使用されていません。

show crypto ipsec sa コマンドの例は、次の出力に示されています。

interface: outside
    Crypto map tag: vpn, local addr.12.1.1.1
   local  ident (addr/mask/prot/port): (20.1.1.0/255.255.255.0/0/0)
   remote ident (addr/mask/prot/port): (12.1.1.2/255.255.255.255/0/0)
   current_peer: 10.2.1.1
   dynamic allocated peer ip: 12.1.1.2
     PERMIT, flags={}
    #pkts encaps: 345, #pkts encrypt: 345, #pkts digest 0
    #pkts decaps: 366, #pkts decrypt: 366, #pkts verify 0
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 0, #pkts compr.failed: 0, 
    #pkts decompress failed: 0, #send errors 0, #recv errors 0
     local crypto endpt.: 12.1.1.1, remote crypto endpt.: 12.1.1.2
     path mtu 1500, ipsec overhead 56, media mtu 1500
     current outbound spi: 9a46ecae
     inbound esp sas:
      spi: 0x50b98b5(84646069)
        transform: esp-3des esp-md5-hmac ,
        in use settings ={Tunnel, }
        slot: 0, conn id: 1, crypto map: vpn
        sa timing: remaining key lifetime (k/sec): (460800/21)
        IV size: 8 bytes
        replay detection support: Y
     inbound ah sas:

     inbound pcp sas:

     outbound esp sas:
      spi: 0x9a46ecae(2588339374)
        transform: esp-3des esp-md5-hmac ,
        in use settings ={Tunnel, }
        slot: 0, conn id: 2, crypto map: vpn
        sa timing: remaining key lifetime (k/sec): (460800/21)
        IV size: 8 bytes
        replay detection support: Y 
    outbound ah sas:


debug crypto isakmp

このコマンドでは IPSec 接続に関するデバッグ情報が表示され、両端で互換性がないために拒否された最初の属性セットが示されます。2 回目の照合試行(DES および Secure Hash Algorithm(SHA)の代わりにトリプル DES を試行)は受け入れられ、ISAKMP SA が構築されます。このデバッグはローカル プールからの IP アドレス(10.32.8.1)を受け入れるダイヤルアップ クライアントからも出力されます。ISAKMP SA が構築されると、IPSec 属性がネゴシエートされ、受け入れ可能と判断されます。これにより、PIX は次のように IPSec SA を設定します。

debug crypto isakmp コマンドの出力例を次に示します。

crypto_isakmp_process_block: src 12.1.1.1, dest 12.1.1.2
OAK_AG exchange
ISAKMP (0): processing SA payload.message ID = 0
ISAKMP (0): Checking ISAKMP transform 1 against priority 1 policy
ISAKMP:      encryption DES-CBC
ISAKMP:      hash MD5
ISAKMP:      default group 1
ISAKMP:      auth pre-share
ISAKMP (0): atts are not acceptable.Next payload is 3
ISAKMP (0): Checking ISAKMP transform 3 against priority 1 policy
ISAKMP:      encryption 3DES-CBC
ISAKMP:      hash SHA
ISAKMP:      default group 1
ISAKMP:      auth pre-share
ISAKMP (0): atts are acceptable.Next payload is 3
ISAKMP (0): processing KE payload.message ID = 0
ISAKMP: Created a peer node for 12.1.1.2
OAK_QM exchange
ISAKMP (0:0): Need config/address
ISAKMP (0:0): initiating peer config to 12.1.1.2.ID = 2607270170 (0x9b67c91a)
return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 12.1.1.2, dest 12.1.1.1
ISAKMP_TRANSACTION exchange
ISAKMP (0:0): processing transaction payload from 12.1.1.2.
   message ID = 2156506360
ISAKMP: Config payload CFG_ACK
ISAKMP (0:0): peer accepted the address!
ISAKMP (0:0): processing saved QM.
oakley_process_quick_mode:
OAK_QM_IDLE
ISAKMP (0): processing SA payload.message ID = 818324052
ISAKMP : Checking IPSec proposal 1
ISAKMP: transform 1, ESP_DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-MD5
ISAKMP:      encaps is 1
IPSEC(validate_proposal): transform proposal 
   (prot 3, trans 2, hmac_alg 1) not supported
ISAKMP (0): atts not acceptable.Next payload is 0
ISAKMP : Checking IPSec proposal 2
ISAKMP: transform 1, ESP_3DES
ISAKMP:   attributes in transform:
ISAKMP:      authenticator is HMAC-MD5
ISAKMP:      encaps is 1
ISAKMP (0): atts are acceptable.
ISAKMP (0): processing NONCE payload.message ID = 818324052
ISAKMP (0): processing ID payload.message ID = 81
ISAKMP (0): ID_IPV4_ADDR src 10.32.8.1 prot 0 port 0
ISAKMP (0): processing ID payload.message ID = 81
ISAKMP (0): ID_IPV4_ADDR dst 12.1.1.1 prot 0 port 0
INITIAL_CONTACTIPSEC(key_engine): got a queue event...


debug crypto ipsec

このコマンドでは、IPSec 接続に関する debug 情報が表示されます。

IPSEC(key_engine): got a queue event...
IPSEC(spi_response): getting spi 0xd532efbd(3576885181) for SA
        from  12.1.1.2  to  12.1.1.1  for prot 3
return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 12.1.1.2, dest 12.1.1.1
OAK_QM exchange
oakley_process_quick_mode:
OAK_QM_AUTH_AWAIT
ISAKMP (0): Creating IPSec SAs
        inbound SA from  12.1.1.2  to  12.1.1.1  
           (proxy 10.32.8.1 to  12.1.1.1.)
        has spi 3576885181 and conn_id 2 and flags 4
        outbound SA from  12.1.1.1  to  12.1.1.2  
           (proxy 12.1.1.1 to 10.32.8.1)
        has spi 2749108168 and conn_id 1 and flags 4IPSEC(key_engine):
           got a queue event...
IPSEC(initialize_sas): ,
  (key eng.msg.) dest= 12.1.1.1, src= 12.1.1.2,
    dest_proxy= 12.1.1.1/0.0.0.0/0/0 (type=1),
    src_proxy= 10.32.8.1/0.0.0.0/0/0 (type=1),
    protocol= ESP, transform= esp-3des esp-md5-hmac ,
    lifedur= 0s and 0kb,
    spi= 0xd532efbd(3576885181), conn_id= 2, keysize= 0, flags= 0x4 
IPSEC(initialize_sas): ,
  (key eng.msg.) src= 12.1.1.1, dest= 12.1.1.2,
    src_proxy= 12.1.1.1/0.0.0.0/0/0 (type=1),
    dest_proxy= 10.32.8.1/0.0.0.0/0/0 (type=1),
    protocol= ESP, transform= esp-3des esp-md5-hmac ,
    lifedur= 0s and 0kb,
    spi= 0xa3dc0fc8(2749108168), conn_id= 1, keysize= 0, flags= 0x4
return status is IKMP_NO_ERROR


ルータと VPN Client 間の一般的な問題

VPN トンネル外部のサブネットにアクセスできない:スプリット トンネリング

次のルータ コンフィギュレーションの出力例は、VPN 接続のためのスプリット トンネリングを有効にする方法を示しています。access list 150 コマンドは、crypto isakmp client configuration group hw-client-groupname コマンドの中で設定されているグループに関連付けられます。これにより、Cisco VPN Client はルータを使用して、VPN トンネルの構成要素ではない追加のサブネットにアクセスできます。これは、IPSec 接続のセキュリティを損なうことなく行えます。トンネルは 172.168.0.128 ネットワーク上に形成されます。access list 150 コマンドで定義されていないデバイス(インターネットなど)へのトラフィック フローは暗号化されません。

!
crypto isakmp client configuration group hw-client-groupname
 key hw-client-password
 dns 172.168.0.250 172.168.0.251
 wins 172.168.0.252 172.168.0.253
 domain cisco.com
 pool dynpool
 acl 150 
!
!
access-list 150 permit ip 172.168.0.128 0.0.0.127 any 
!


PIX と VPN Client 間の一般的な問題

次のセクションは、VPN Client 3.x.を使用して IPSec に PIX を設定する際に遭遇する一般的な問題について説明しています。PIX の設定例は、バージョン 6.x に基づくものです。



トンネル確立後にトラフィックが流れない:PIX 背後の内部ネットワークに PING が通らない

この問題はルーティングに関連する一般的な問題です。内部にあり、なおかつ同じサブネットに直接接続されていないネットワークに対応する経路が PIX にあることを確認します。また、Inside ネットワークには、クライアント アドレス プール内のアドレスごとに、PIX に戻る経路がある必要があります。

出力例を次に示します。


!--- PIX 内部インターフェイスのアドレス。

ip address inside 10.1.1.1 255.255.255.240

!--- 内部セグメント上にあるネットワークへのルート。
!--- ネクストホップは内部のルータ。

route inside 172.16.0.0 255.255.0.0 10.1.1.2 1


!--- IPSec セッションのためにアドレスを VPN Client に割り当てる
!--- PIX 上で定義されたアドレスのプール。

ip local pool mypool 10.1.2.1-10.1.2.254

!--- 内部ルータでは、デフォルト ゲートウェイが PIX 内部インターフェイスでない場合、 
!--- ルータにネクストホップを PIX 内部インターフェイスとして持つ 
!--- 10.1.2.0/24 ネットワークへのルートが必要です
!--- (Cisco IOS ルータの場合でも同様です)。

ip route 10.1.2.0 255.255.255.0 10.1.1.1


トンネルのアップ後、ユーザがインターネットをブラウズできない:スプリット トンネリング

この問題の最も一般的な原因は、VPN Client から PIX への IPSec トンネルによって、すべてのトラフィックがトンネルを通じて PIX ファイアウォールに送られることです。PIX の機能では、トラフィックを受信したインターフェイスにそのトラフィックを送信し戻すことは許可されていません。そのため、インターネット宛てのトラフィックは動作しません。この問題を修正するには、split tunneling コマンドを使用します。この修正は、ただ 1 つの特定のトラフィックだけをトンネル経由で送信し、残りのトラフィックはトンネル経由ではなく直接インターネットに送る、という考え方に基づいています。

vpngroup vpn3000 split-tunnel 90
access-list 90 permit ip 10.1.1.0 255.255.255.0 10.1.2.0 255.255.255.0
access-list 90 permit ip 172.16.0.0 255.255.0.0 10.1.2.0 255.255.255.0

注:vpngroup vpn3000 split-tunnel 90 コマンドにより、access-list number 90 によるスプリット トンネリングがイネーブルになります。access-list 90 コマンドでは、どのトラフィックをトンネル経由で流すかが定義され、残りのトラフィックはアクセス リストの最後で拒否されます。PIX で Network Address Translation(NAT; ネットワーク アドレス変換)を拒否する場合にも、同じアクセス リストを設定する必要があります。



トンネルのアップ後、特定のアプリケーションが動作しない:クライアントでの MTU 調整

トンネルが確立された後、ユーザが PIX ファイアウォールの背後にあるネットワーク上のマシンに PING できても、Microsoft Outlook などの特定のアプリケーションを使用できないことがあります。よく見られる問題は、パケットの Maximum Transfer Unit(MTU; 最大伝送ユニット)のサイズです。IPSec ヘッダーは最大で 50〜60 バイトになり、元のパケットに追加されます。パケットのサイズが 1500(インターネットでのデフォルト)を超えた場合、各デバイスでパケットをフラグメント化する必要があります。IPsec ヘッダーが追加されても、サイズはまだ IPSec の最大値である 1496 未満です。

show interface コマンドでは、構内のルータまたはアクセス可能なルータ上の特定のインターフェイスの MTU が示されます。発信元から宛先までのすべてのパスの MTU を判別するために、送信されたデータグラムが MTU より多い場合にこのエラー メッセージが発信元に送り返されるように、さまざまなサイズのデータグラムが DF(Don't Fragment)ビットを設定して送信されます。

frag.needed and DF set

この出力例では、IP アドレスが 10.1.1.2 と 172.16.1.56 のホスト間でパスの MTU を見つける例が示されています。

Router#debug ip icmp
ICMP packet debugging is on
 

!--- 拡張 PING を実行します。

Router#ping
Protocol [ip]:
Target IP address: 172.16.1.56
Repeat count [5]:
Datagram size [100]: 1550
Timeout in seconds [2]:


!--- 拡張コマンドには必ず y を入力してください。

Extended commands [n]: y
Source address or interface: 10.1.1.2
Type of service [0]:


!--- 次のように DF ビットを設定します。


Set DF bit in IP header?[no]: y
Validate reply data?[no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 1550-byte ICMP Echos to 172.16.1.56, timeout is 2 seconds:
 
2w5d: ICMP: dst (172.16.1.56): frag.needed and DF set.
2w5d: ICMP: dst (172.16.1.56): frag.needed and DF set.
2w5d: ICMP: dst (172.16.1.56): frag.needed and DF set.
2w5d: ICMP: dst (172.16.1.56): frag.needed and DF set.
2w5d: ICMP: dst (172.16.1.56): frag.needed and DF set.
Success rate is 0 percent (0/5)


!--- さらにデータグラム サイズを減らして、再度、拡張 PING を実行します。

Router#ping
Protocol [ip]:
Target IP address: 172.16.1.56
Repeat count [5]:
Datagram size [100]: 1500
Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface: 10.1.1.2
Type of service [0]:
Set DF bit in IP header?[no]: y
Validate reply data?[no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 1500-byte ICMP Echos to 172.16.1.56, timeout is 2 seconds:
!!!!!
2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2
2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2
2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2
2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2
2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2

Success rate is 100 percent (5/5), round-trip min/avg/max = 380/383/384 ms

注:VPN Client には MTU 調整ユーティリティが付属しており、ユーザはこれを使用して Cisco VPN Client の MTU を調整できます。PPP over Ethernet(PPPoE)クライアント ユーザの場合は、PPPoE アダプタの MTU を調整します。

注:VPN Client の MTU ユーティリティを調整するには、次の手順を実行します。

  1. Start > Programs > Cisco System VPN Client > Set MTU の順に選択します。

  2. Local Area Connection を選択し、ラジオ ボタン 1400 をクリックします。

  3. OK をクリックします。

    ipsec-debug-02.gif

  4. ステップ 1 を繰り返し、Dial-up Networking を選択します。

  5. ラジオ ボタン 576OK の順にクリックします。

    ipsec-debug-01.gif



sysopt コマンドが設定されていない

PIX の IPSec コンフィギュレーションで sysopt connection permit-ipsec コマンドを使用し、conduitaccess-list コマンド文のチェックなしで IPSec トラフィックが PIX ファイアウォールをパススルーすることを許可します。デフォルトでは、どの着信セッションも conduitaccess-list コマンド文によって明示的に許可する必要があります。IPSec 保護トラフィックでは、二次アクセス リストのチェックが冗長になる可能性があります。常に許可されるように IPSec の認証/暗号化着信セッションをイネーブルにするには、sysopt connection permit-ipsec コマンドを使用します。



Access Control List(ACL; アクセス コントロール リスト)の確認

通常の IPSec VPN 設定ではアクセス リストを 2 つ使用します。一方のアクセス リストは、VPN トンネルに宛てられたトラフィックを NAT プロセスから除外するために使用します。もう一方のアクセス リストでは、暗号化するトラフィックが定義されます。これには、LAN-to-LAN 設定のクリプト ACL、またはリモート アクセス設定のスプリット トンネリング ACL が含まれます。これらの ACL が誤って設定されていたり、存在しなかったりすると、トラフィックが VPN トンネルを 1 方向にしか流れなかったり、トンネルにトラフィックがまったく送られなかったりします。

IPSec VPN の設定に必要なすべてのアクセス リストを設定していることと、それらのアクセス リストにトラフィックが正確に定義されていることを確認してください。このリストには、IPSec VPN の問題の原因が ACL にあることが疑われる場合に確認する単純な項目が含まれています。

  • NAT 免除 ACL とクリプト ACL でトラフィックが正しく指定されていることを確認します。

  • 複数の VPN トンネルと複数のクリプト ACL がある場合は、それらの ACL が重複していないことを確認します。

  • ACL を 2 回使用しないようにします。NAT 免除 ACL とクリプト ACL で同じトラフィックが指定されている場合でも、2 つの異なるアクセス リストを使用してください。

  • 使用しているデバイスで、NAT 免除 ACL を使用するように設定されていることを確認します。つまり、ルータ上では route-map コマンド、PIX または ASA 上では nat (0) コマンドを使用します。NAT 免除 ACL は、LAN-to-LAN 設定とリモート アクセス設定の両方に必要です。

ACL 設定を確認する方法についての詳細は、『一般的な L2L およびリモート アクセス IPSec VPN のトラブルシューティング方法について』の「ACL が正しいことを確認する」セクションを参照してください。



関連するシスコ サポート コミュニティ ディスカッション

シスコ サポート コミュニティは、どなたでも投稿や回答ができる情報交換スペースです。


関連情報




Document ID: 5409