セキュリティ : Cisco FlexVPN

EzVPN-NEM から FlexVPN への移行ガイド

2015 年 11 月 25 日 - 機械翻訳について
その他のバージョン: PDFpdf | 英語版 (2015 年 8 月 22 日) | フィードバック


目次


概要

この資料は提供したものです EzVPN (インターネット鍵交換 v1 (IKEv1))からのマイグレーション プロセスの支援を FlexVPN (IKEv2)へのセットアップは可能な限りとして少数の問題としてと設定しました。 IKEv2 リモートアクセスが移行を少し困難にするある特定の方法で IKEv1 リモートアクセスと異なるので、この資料は EzVPN モデルから FlexVPN リモートアクセス モデルに移行の異なる設計アプローチを採用するのを助けます。

この資料は IOS FlexVPN クライアントに対処しますまたはハードウェアクライアントは、この資料 ソフトウェアクライアントを論議しません。 ソフトウェアクライアントに関する詳細については以下を参照して下さい:

注: 著者:Cisco TAC エンジニア、Praveena Shanubhogue および Atri Basu

前提条件

要件

次の項目に関する知識があることが推奨されます。

  • IKEv2

  • Cisco FlexVPN

  • Cisco AnyConnect セキュア モビリティ クライアント

  • Cisco VPN Client

使用するコンポーネント

このドキュメントは、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、クリアな(デフォルト)設定で作業を開始しています。 ネットワークが稼働中の場合は、コマンドが及ぼす潜在的な影響を十分に理解しておく必要があります。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

EzVPN vs FlexVPN

EzVPN モデル-際立っている何が

名前が示すので、EzVPN の目標はリモートクライアントで VPN 設定を簡単にすることです。 これを実現させるために、クライアントは正しい EzVPN サーバ、別名クライアント プロファイルに連絡するのに必要とされる最小詳細で設定されます。

トンネルネゴシエーション

http://www.cisco.com/c/dam/en/us/support/docs/security/flexvpn/115950-ezvpn-nem-to-flexvpn-01.gif

FlexVPN リモートアクセス VPN モデル

FlexVPN サーバ

正常な FlexVPN と FlexVPN リモートアクセス セットアップの重要な違いはこと事前共有キーおよび認証(RSA-SIG)方式だけの使用によって FlexVPN クライアントにそれ自身を認証するサーバ必要です。 FlexVPN はどの認証方式 発信側および応答側使用、互いかの依存しない決定することを可能にします。 すなわち、それらは同じである場合もありますか、または異なります。 ただし、FlexVPN リモートアクセスに関しては、サーバに選択がありません。

IOS FlexVPN クライアント認証認証方法

クライアントはこれらの認証方式をサポートします:

  • rsa-sig — デジタル認証 認証。

  • pre-share — 事前共有キー(PSK)認証。

  • Extensible Authentication Protocol (EAP) - EAP 認証。 IOS FlexVPN クライアントのための EAP サポートは 15.2(3)T に追加されました。

    IOS FlexVPN クライアントによるサポートされた EAP メソッドは下記のものを含んでいます:

    • 拡張可能認証メッセージ要約 5 (EAP-MD5)、

    • 拡張可能認証プロトコル MICROSOFT Challenge Handshake Authentication Protocol バージョン 2 (EAP-MSCHAPv2)、

    • 拡張可能認証プロトコル ジェネリック トークンカード(EAP-GTC)。

この資料は RSA-SIG 認証の使用だけを、これらの理由により記述したものです:

  • スケーラブル—各クライアントは認証を与えられ、サーバで、クライアント識別のある一般的 な一部はそれに対して認証されます。

  • 保護して下さい—ワイルドカード PSK よりセキュア(ローカル許可の場合には)。 、AAA (認証、許可、会計)許可の場合には、台無しにされた IKE 識別に基づいて別途の PSKs を書くことは容易であるが。

この資料で示されている EasyVPN クライアントと比較される FlexVPN クライアントコンフィギュレーションは少し徹底的なようであるかもしれません。 これは設定はスマートなデフォルトによるユーザによって設定される必要はない設定がの何人かの一部が含まれているという理由によります。 スマートなデフォルトは提案のようなさまざまな事柄のための前もって構成されるか、またはデフォルト 設定を、ポリシー示すのに、使用される用語設定 される IPSec トランスフォーム等です。 そして IKEv1 デフォルト値とは違って、IKEv2 スマートなデフォルト値は強いです。 たとえば、それは高度暗号化規格(AES-256)、セキュアハッシュアルゴリズム(SHA-512)、および提案の Group-5 を、等利用します。

トンネルネゴシエーション

http://www.cisco.com/c/dam/en/us/support/docs/security/flexvpn/115950-ezvpn-nem-to-flexvpn-02.gif

IKEv2 交換のためのパケットの交換に関する詳細については、IKEv2 パケット交換およびプロトコル レベル デバッグを参照して下さい。

初期設定

トポロジ

http://www.cisco.com/c/dam/en/us/support/docs/security/flexvpn/115950-ezvpn-nem-to-flexvpn-03.gif

初期設定

EzVPN ハブ-基づく dVTI

!! AAA Config for EzVPN clients. We are using Local AAA Server.
aaa new-model
aaa authentication login default local
aaa authorization network default local 

!! ISAKMP Policy
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
 
!! ISAKMP On-Demand Keep-Alive     
crypto isakmp keepalive 10 2

!! EzVPN Split ACL
access-list 101 permit ip 10.10.0.0 0.0.0.255 any

!! EzVPN Client Group Configuration. This is what holds all the config attributes
crypto isakmp client configuration group cisco
 key cisco
 dns 6.0.0.2
 wins 7.0.0.1
 domain cisco.com
 acl 101
 save-password

!! ISAKMP Profile. This ties Client IKE identity to AAA. 
!! And since this is dVTI setup, ISAKMP Profile tells the IOS
!!   from which Virtual-Template (VT1) to clone the Virtual Access interfaces 
crypto isakmp profile vi
   match identity group cisco
   client authentication list default
   isakmp authorization list default
   virtual-template 1

!! IPSec Transform Set. 
crypto ipsec transform-set set esp-3des esp-sha-hmac 

!! IPSec Profile. This ties Transform set and ISAKMP Profile together.
crypto ipsec profile vi
 set transform-set set 
 set isakmp-profile vi

!! The loopback interface. And virtual-template borrows the address from here.
interface Loopback0
 ip address 10.10.10.1 255.255.255.252

!! dVTI interface.
interface Virtual-Template1 type tunnel
 ip unnumbered Loopback0
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile vi

EzVPN クライアント-クラシック(VTI 無し)

!! ISAKMP On-Demand Keep-Alive     
crypto isakmp keepalive 10 2

!! EzVPN Client - Group Name and The key (as configured on the Server), 
!!   Peer address and XAUTH config go here.
crypto ipsec client ezvpn ez
 connect auto
 group cisco key cisco
 local-address Ethernet0/0
 mode network-extension
 peer 10.0.0.1
 username cisco password cisco
 xauth userid mode local

!! EzVPn outside interface - i.e. WAN interface
interface Ethernet0/0
 ip address 10.1.1.2 255.255.255.0
 crypto ipsec client ezvpn ez

!! EzVPN inside interface
!! Traffic sourced from this LAN is sent over established Tunnel
interface Ethernet0/1
 ip address 10.10.1.1 255.255.255.0
 crypto ipsec client ezvpn ez inside

EzVPN クライアント-拡張(VTI ベース)

!! VTI - 
interface Virtual-Template1 type tunnel
 no ip address
 tunnel mode ipsec ipv4

!! ISAKMP On-Demand Keep-Alive     
crypto isakmp keepalive 10 2

!! EzVPN Client - Group Name and The key (as configured on the Server),
!!   Peer address and XAUTH config go here.
!! Also this config says which Virtual Template to use.
crypto ipsec client ezvpn ez
 connect auto
 group cisco key cisco
 local-address Ethernet0/0
 mode network-extension
 peer 10.0.0.1
 virtual-interface 1
 username cisco password cisco
 xauth userid mode local

!! EzVPn outside interface - WAN interface
interface Ethernet0/0
 ip address 10.1.1.3 255.255.255.0
 crypto ipsec client ezvpn ez

!! EzVPN inside interface -
!! Traffic sourced from this LAN is sent over established Tunnel
interface Ethernet0/1
 ip address 10.10.2.1 255.255.255.0
 crypto ipsec client ezvpn ez inside

FlexVPN 移行アプローチへの EzVPN

サーバ IKEv2 リモートアクセス 設定をサポートする限り EzVPN サーバがまた FlexVPN サーバとして機能できると同時に機能する。 完全な IKEv2 設定 サポートに関しては、IOS v15.2(3)T の上の何でも推奨されます。 これらの例で 15.2(4)M1 は使用されました。

2 つの可能性のあるアプローチがあります:

  1. FlexVPN サーバとしてセットアップ EzVPN サーバは、それから設定を曲げるために EzVPN クライアントを移行します。

  2. FlexVPN サーバとして別のルータを設定して下さい。 EzVPN クライアントおよび FlexVPN 移行されたクライアントは FlexVPN サーバと EzVPN サーバ間の接続の作成を通って通信し続けます。

この資料は第 2 アプローチを記述し、FlexVPN クライアントとして新しいスポークを(たとえば、Spoke3)、使用したものです。 このスポークは参照として他のクライアントを将来移行するために使用することができます。

移行ステップ

ことに注目して下さい FlexVPN に話した、EzVPN スポークで FlexVPN 構成をロードすることを選択できる話した EzVPN から移行する時。 ただし、カットオーバー全体、ボックスにアウトオブバンド(非 VPN)管理アクセスを必要とするかもしれません。

移行されたトポロジー

http://www.cisco.com/c/dam/en/us/support/docs/security/flexvpn/115950-ezvpn-nem-to-flexvpn-04.gif

設定

FlexVPN ハブ

!! AAA Authorization done Locally
aaa new-model
aaa authorization network Flex local 

!! PKI TrustPoint to Sign and Validate Certificates.
!! Contains Identity Certificate and CA Certificate
crypto pki trustpoint FlexServer
 enrollment terminal
 revocation-check none
 rsakeypair FlexServer
 subject-name CN=flexserver.cisco.com,OU=FlexVPN

!! Access-list used in Config-Reply in order to push routes
access-list 1 permit 10.10.0.0 0.0.0.255

!! IKEv2 Authorization done locally. Used in Config-Set.
crypto ikev2 authorization policy FlexClient-Author 
 def-domain cisco.com
 route set interface
 route set access-list 1

!! IKEv2 Proposal. Optional Config. Smart-Default takes care of this.
crypto ikev2 proposal FlexClient-Proposal 
 encryption aes-cbc-128 aes-cbc-192 3des
 integrity sha256 sha512 sha1
 group 5 2

!! If IKEv2 Proposal was left out default, then IKEv2 Policy can be left out too.
!! Ties Proposal to Peer address/fvrf
crypto ikev2 policy FlexClient-Policy 
 match fvrf any
 proposal FlexClient-Proposal

!! IKEv2 Profile. This is the main Part
!! Clients are configured to send their FQDN. And we match the domain 'cisco.com'
!! We are sending 'flexserver.cisco.com' as the fqdn identity.
!! Local and Remote authentication is RSA-SIG
!! Authorization (config-reply) is done locally with the user-name
!!   'FlexClient-Author'
!! This whole profile is tied to Virtual-Template 1 
crypto ikev2 profile FlexClient-Profile
 match identity remote fqdn domain cisco.com
 identity local fqdn flexserver.cisco.com
 authentication remote rsa-sig
 authentication local rsa-sig
 pki trustpoint FlexServer
 aaa authorization group cert list Flex FlexClient-Author
 virtual-template 1

!! IPSec Transform set. Optional Config, since Smart Default takes care of this.
crypto ipsec transform-set ESP-AES-SHA1 esp-aes esp-sha-hmac 

!! IPSec Profile ties default/Configured transform set with the IKEv2 Profile
crypto ipsec profile FlexClient-IPSec
 set transform-set ESP-AES-SHA1 
 set ikev2-profile FlexClient-Profile

!! Loopback interface lends ip address to Virtual-template and 
!!   eventually to Virtual-Access interfaces spawned.
interface Loopback0
 ip address 10.10.10.1 255.255.255.252

!! The IKEv2 enabled Virtual-Template 
interface Virtual-Template1 type tunnel
 ip unnumbered Loopback0
 tunnel protection ipsec profile FlexClient-IPSec

!! WAN interface
interface Ethernet0/0
 ip address 10.0.0.2 255.255.255.0

!! LAN interfaces
interface Ethernet0/1
 ip address 10.10.0.1 255.255.255.0

サーバ証明についての注

キー使用法(KU)は公開キーの目的か意図された使用状況を定義します。 拡張/キー使用法(EKU)を精製しますキー使用法を拡張しました。 FlexVPN はサーバ証明にサーバ auth の EKU があることを必要とします(クライアントが受け入れる認証のためのデジタル署名およびキー暗号化の KU 属性の OID = 1.3.6.1.5.5.7.3.1)。

FlexServer#show crypto pki certificates verbose 
Certificate
  Status: Available
  Version: 3
  Certificate Serial Number (hex): 09
  Certificate Usage: General Purpose
  Issuer: 
    l=lal-bagh
    c=IN
    o=Cisco
    ou=TAC
    cn=Praveen
  Subject:
    Name: flexserver.cisco.com
    ou=FlexVPN
    cn=flexserver.cisco.com
  CRL Distribution Points: 
    http://10.48.67.33:80/Praveen/Praveen.crl
<snip>
  Signature Algorithm: MD5 with RSA Encryption
  Fingerprint MD5: F3646C9B 1CC26A81 C3CB2034 061302AA 
  Fingerprint SHA1: 7E9E99D4 B66C70E3 CBA8C4DB DD94629C 023EEBE7 
  X509v3 extensions:
    X509v3 Key Usage: E0000000
      Digital Signature
      Non Repudiation
      Key Encipherment
<snip>
    Authority Info Access:
    Extended Key Usage:
        Client Auth
        Server Auth
  Associated Trustpoints: FlexServer 
  Storage: nvram:lal-bagh#9.cer
  Key Label: FlexServer
  Key storage device: private config



CA Certificate
<snip>

FlexVPN Client の設定

!! AAA Authorization done Locally
aaa new-model
aaa authorization network Flex local

!! PKI TrustPoint to Sign and Validate Certificates.
!! Contains Identity Certificate and CA Certificate
crypto pki trustpoint Spoke3-Flex
 enrollment terminal
 revocation-check none
 subject-name CN=spoke3.cisco.com,OU=FlexVPN
 rsakeypair Spoke3-Flex

!! Access-list used in Config-Set in order to push routes
access-list 1 permit 10.10.3.0 0.0.0.255

!! IKEv2 Authorization done locally. Used in Config-Set.
crypto ikev2 authorization policy FlexClient-Author 
 route set interface
 route set access-list 1


!! IKEv2 Proposal. Optional Config. Smart-Default takes care of this.
crypto ikev2 proposal FlexClient-Proposal 
 encryption aes-cbc-128 aes-cbc-192 3des
 integrity sha256 sha512 sha1
 group 5 2


!! If IKEv2 Proposal was left out default, then IKEv2 Policy can be left out too.
!! Ties Proposal to Peer address/fvrf
crypto ikev2 policy FlexClient-Policy 
 match fvrf any
 proposal FlexClient-Proposal

!! IKEv2 Profile. This is the main Part
!! Server is configured to send its FQDN type IKE-ID, 
!!    and we match the domain 'cisco.com'
!! (If the IKE-ID type is DN (extracted from the certificate),
!!    we will need a certificate map)
!! We are sending 'spoke3.cisco.com' as the IKE-identity of type fqdn.
!! Local and Remote authentication is RSA-SIG
!! Authorization (config-set) is done locally using the user-name filter
!!    'FlexClient-Author'
crypto ikev2 profile FlexClient-Profile
 match identity remote fqdn flexserver.cisco.com
 identity local fqdn spoke3.cisco.com
 authentication remote rsa-sig
 authentication local rsa-sig
 pki trustpoint Spoke3-Flex
 aaa authorization group cert list Flex FlexClient-Author

!! IPSec Transform set. Optional Config, since Smart Default takes care of this.
crypto ipsec transform-set ESP-AES-SHA1 esp-aes esp-sha-hmac 

!! IPSec Profile ties the transform set with the IKEv2 Profile
crypto ipsec profile FlexClient-IPSec
 set transform-set ESP-AES-SHA1 
 set ikev2-profile FlexClient-Profile

!! FlexVPN Client Tunnel interface. 
!! If IP-Address of the tunnel is negotiated,
!!   FlexVPN server is capable of assigning an IP through Config-Set 
interface Tunnel0
 ip unnumbered Ethernet0/1
 tunnel source Ethernet0/0
 tunnel destination dynamic
 tunnel protection ipsec profile FlexClient-IPSec

!! Final FlexVPN client Part. 
!! Multiple backup Peer and/or Multiple Tunnel source interfaces can be configured
crypto ikev2 client flexvpn FlexClient
  peer 1 10.0.0.2
  client connect Tunnel0

!! WAN interface
interface Ethernet0/0
 ip address 10.1.1.4 255.255.255.248

!! LAN Interface
interface Ethernet0/1
 ip address 10.10.3.1 255.255.255.0

クライアント 認証についての注

FlexVPN はクライアント 認証にクライアント Auth の EKU があることを必要とします(サーバが受け入れられる認証のためのデジタル署名およびキー暗号化の KU 属性の OID = 1.3.6.1.5.5.7.3.2)。

Spoke3#show crypto pki certificates verbose 
Certificate
  Status: Available
  Version: 3
  Certificate Serial Number (hex): 08
  Certificate Usage: General Purpose
  Issuer: 
    l=lal-bagh
    c=IN
    o=Cisco
    ou=TAC
    cn=Praveen
  Subject:
    Name: spoke3.cisco.com
    ou=FlexVPN
    cn=spoke3.cisco.com
 <snip>
  Subject Key Info:
    Public Key Algorithm: rsaEncryption
    RSA Public Key: (1024 bit)
  Signature Algorithm: MD5 with RSA Encryption
  Fingerprint MD5: 2381D319 906177E1 F45019BC 61059BD5 
  Fingerprint SHA1: D81FD705 653547F2 D0916710 E6B096A1 23F6C467 
  X509v3 extensions:
    X509v3 Key Usage: E0000000
      Digital Signature
      Non Repudiation
      Key Encipherment
 <snip>
    Extended Key Usage:
        Client Auth
        Server Auth
  Associated Trustpoints: Spoke3-Flex 
  Storage: nvram:lal-bagh#8.cer
  Key Label: Spoke3-Flex
  Key storage device: private config



CA Certificate
<snip>

FlexVPN オペレーション 確認

FlexVPN サーバ

FlexServer#show crypto ikev2 session   
 IPv4 Crypto IKEv2 Session 
Session-id:5, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                 Remote                fvrf/ivrf            Status 
1         10.0.0.2/500          10.1.1.4/500          none/none            READY  
    Encr: AES-CBC, keysize: 192, Hash: SHA512, DH Grp:5, Auth sign: RSA, Auth verify: 
   RSA
    Life/Active Time: 86400/7199 sec
Child sa: local selector  10.0.0.2/0 - 10.0.0.2/65535
          remote selector 10.1.1.4/0 - 10.1.1.4/65535
          ESP spi in/out: 0xA9571C00/0x822DDAAD 

FlexServer#show crypto ikev2 session detailed 

 IPv4 Crypto IKEv2 Session 

Session-id:5, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                 Remote                fvrf/ivrf            Status 
1         10.0.0.2/500          10.1.1.4/500          none/none            READY  

    Encr: AES-CBC, keysize: 192, Hash: SHA512, DH Grp:5, Auth sign: RSA, Auth verify: 
   RSA
    Life/Active Time: 86400/7244 sec
    CE id: 1016, Session-id: 5
    Status Description: Negotiation done
    Local spi: 648921093349609A       Remote spi: 1C2FFF727C8EA465
    Local id: flexserver.cisco.com
    Remote id: spoke3.cisco.com
    Local req msg id:  2              Remote req msg id:  5         
    Local next msg id: 2              Remote next msg id: 5         
    Local req queued:  2              Remote req queued:  5         
    Local window:      5              Remote window:      5         
    DPD configured for 0 seconds, retry 0
    NAT-T is not detected  
    Cisco Trust Security SGT is disabled
    Initiator of SA : No
    Remote subnets:
    10.10.3.0 255.255.255.0


  Child sa: local selector  10.0.0.2/0 - 10.0.0.2/65535
            remote selector 10.1.1.4/0 - 10.1.1.4/65535
        ESP spi in/out: 0xA9571C00/0x822DDAAD  
        AH spi in/out: 0x0/0x0  
        CPI in/out: 0x0/0x0  
        Encr: AES-CBC, keysize: 128, esp_hmac: SHA96
        ah_hmac: None, comp: IPCOMP_NONE, mode transport

FlexServer#show ip route static 
      10.0.0.0/8 is variably subnetted, 9 subnets, 4 masks
S        10.10.3.0/30 is directly connected, Virtual-Access1
FlexServer#ping 10.10.3.1 repeat 100

Type escape sequence to abort.
Sending 100, 100-byte ICMP Echos to 10.10.3.1, timeout is 2 seconds:
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Success rate is 100 percent (100/100), round-trip min/avg/max = 1/5/13 ms


FlexServer#show crypto ipsec sa | I ident|caps|spi
 local  ident (addr/mask/prot/port): (10.0.0.2/255.255.255.255/47/0)
 remote ident (addr/mask/prot/port): (10.1.1.4/255.255.255.255/47/0)
  #pkts encaps: 205, #pkts encrypt: 205, #pkts digest: 205
  #pkts decaps: 200, #pkts decrypt: 200, #pkts verify: 200
   current outbound spi: 0x822DDAAD(2184043181)
    spi: 0xA9571C00(2841058304)
    spi: 0x822DDAAD(2184043181)

FlexVPN リモート

Spoke3#show crypto ikev2 session          
 IPv4 Crypto IKEv2 Session 
Session-id:4, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                 Remote                fvrf/ivrf            Status 
1         10.1.1.4/500          10.0.0.2/500          none/none            READY  
    Encr: AES-CBC, keysize: 192, Hash: SHA512, DH Grp:5, Auth sign: RSA, Auth verify: 
   RSA
    Life/Active Time: 86400/7621 sec
Child sa: local selector  10.1.1.4/0 - 10.1.1.4/65535
          remote selector 10.0.0.2/0 - 10.0.0.2/65535
          ESP spi in/out: 0x822DDAAD/0xA9571C00  

Spoke3#show crypto ikev2 session detailed 

 IPv4 Crypto IKEv2 Session 
Session-id:4, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                 Remote                fvrf/ivrf            Status 
1         10.1.1.4/500          10.0.0.2/500          none/none            READY  

    Encr: AES-CBC, keysize: 192, Hash: SHA512, DH Grp:5, Auth sign: RSA, Auth verify: 
   RSA
    Life/Active Time: 86400/7612 sec
    CE id: 1016, Session-id: 4
    Status Description: Negotiation done
    Local spi: 1C2FFF727C8EA465       Remote spi: 648921093349609A
    Local id: spoke3.cisco.com
    Remote id: flexserver.cisco.com
    Local req msg id:  5              Remote req msg id:  2         
    Local next msg id: 5              Remote next msg id: 2         
    Local req queued:  5              Remote req queued:  2         
    Local window:      5              Remote window:      5         
    DPD configured for 0 seconds, retry 0
    NAT-T is not detected  
    Cisco Trust Security SGT is disabled
    Initiator of SA : Yes
    Default Domain: cisco.com
    Remote subnets:
    10.10.10.1 255.255.255.255
    10.10.0.0 255.255.255.0


Child sa: local selector  10.1.1.4/0 - 10.1.1.4/65535
          remote selector 10.0.0.2/0 - 10.0.0.2/65535
         ESP spi in/out: 0x822DDAAD/0xA9571C00  
         AH spi in/out: 0x0/0x0  
         CPI in/out: 0x0/0x0  
         Encr: AES-CBC, keysize: 128, esp_hmac: SHA96
         ah_hmac: None, comp: IPCOMP_NONE, mode transport

Spoke3#ping 10.10.0.1 repeat 100                 

Type escape sequence to abort.
Sending 100, 100-byte ICMP Echos to 10.10.0.1, timeout is 2 seconds:
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Success rate is 100 percent (100/100), round-trip min/avg/max = 1/5/12 ms

Spoke3#show crypto ipsec sa | I ident|caps|spi
  local  ident (addr/mask/prot/port): (10.1.1.4/255.255.255.255/47/0)
  remote ident (addr/mask/prot/port): (10.0.0.2/255.255.255.255/47/0)
   #pkts encaps: 300, #pkts encrypt: 300, #pkts digest: 300
   #pkts decaps: 309, #pkts decrypt: 309, #pkts verify: 309
    current outbound spi: 0xA9571C00(2841058304)
     spi: 0x822DDAAD(2184043181)
     spi: 0xA9571C00(2841058304)

関連するシスコ サポート コミュニティ ディスカッション

シスコ サポート コミュニティは、どなたでも投稿や回答ができる情報交換スペースです。


関連情報


Document ID: 115950