المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

التحسينات المهمة

الاصطلاحات

التكوين ذي الصلة

نظرة عامة على المخطط

تشفير

موزع

حادثتن

تصحيح الأخطاء

مرئيات تدفق الحزمة

تصحيح الأخطاء مع توضيح

تأكيد الوظيفة واستكشاف الأخطاء وإصلاحها

إظهار مقابس التشفير

عرض تفاصيل جلسة عمل التشفير

show crypto isakmp sa detail

عرض تفاصيل IPsec للتشفير

show ip nhrp

عرض ip nhs

عرض dmvpn [تفصيل]

معلومات ذات صلة

المقدمة

يصف هذا وثيقة ال debug رسالة أنت كنت واجهت على الصرة وتكلم عن حركي Multipoint Virtual Private شبكة (DMVPN) مرحلة 1 نشر.

المتطلبات الأساسية

للحصول على أوامر التكوين وتصحيح الأخطاء في هذا المستند، ستحتاج إلى موجهين من Cisco يعملان بنظام التشغيل Cisco IOS® الإصدار 12.4(9)T أو إصدار أحدث. بشكل عام، تتطلب مرحلة DMVPN الأساسية 1 الإصدار 12.2(13)T من Cisco IOS أو إصدار أحدث أو الإصدار 12.2(33)XNC لموجه خدمات التجميع (ASR)، رغم أنه قد لا يتم دعم الميزات وتصحيح الأخطاء التي تم رؤيتها في هذا المستند.

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- تضمين التوجيه العام (GRE)

- بروتوكول تحليل الخطوة (Hop) التالية (NHRP)

- بروتوكول إدارة المفاتيح وارتباط أمان الإنترنت (ISAKMP)

- تبادل مفتاح الإنترنت (IKE)

- أمان بروتوكول الإنترنت (IPSec)

- واحد على الأقل من بروتوكولات التوجيه هذه: بروتوكول توجيه العبارة الداخلي المحسن (EIGRP) وفتح أقصر مسار أولا (OSPF) وبروتوكول معلومات التوجيه (RIP) وبروتوكول العبارة الحدودية (BGP)

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى موجهات الخدمات المتكاملة (ISRs) Cisco 2911 التي تعمل بنظام Cisco IOS، الإصدار 15.1(4)M4.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

التحسينات المهمة

قدمت إصدارات Cisco IOS هذه ميزات أو إصلاحات مهمة للمرحلة 1 من DMVPN:

- الإصدار 12.2(18)SXF5 - دعم أفضل ل ISAKMP عند إستخدام البنية الأساسية للمفتاح العام (PKI)

- الإصدار 12.2(33)XNE - ASR، ملفات تعريف IPSec، حماية النفق، تبادل ترجمة عنوان الشبكة (NAT) عبر بروتوكول IPSec

- الإصدار 12.3(7)T - دعم التوجيه وإعادة التوجيه الظاهري (iVRF) من الداخل

- الإصدار 12.3(11)T - دعم التوجيه الظاهري وإعادة التوجيه (fVRF) للباب الأمامي

- الإصدار 12.4(9)T - دعم العديد من عمليات تصحيح الأخطاء ذات الصلة DMVPN والأوامر

- الإصدار 12.4(15)T - حماية النفق المشترك

- الإصدار 12.4(20)T - IPv6 عبر DMVPN

- الإصدار 15.0(1)M - مراقبة سلامة نفق NHRP

الاصطلاحات

أحلت cisco فني طرف إتفاق لمعلومة على وثيقة إتفاق.

التكوين ذي الصلة

نظرة عامة على المخطط

بالنسبة لهذه الطوبولوجيا، تم تكوين موفري خدمات مدمجة (ISR) بسرعة 2911 يعملان بالإصدار 15.1(4)M4 للمرحلة الأولى من DMVPN: أحدهما كمركز والآخر كمتحدث. تم إستخدام Ethernet0/0 كواجهة "الإنترنت" على كل موجه. يتم تكوين واجهات الاسترجاع الأربعة لمحاكاة الشبكات المحلية الموجودة في موقع المحوري أو المحوري. بما أن هذه هي المرحلة الأولى من تطوير شبكة DMVPN مع تحدث واحد فقط، يتم تكوين المحادثة باستخدام نفق GRE من نقطة إلى نقطة بدلا من نفق GRE متعدد النقاط. تم إستخدام تكوين التشفير نفسه (ISAKMP و IPSec) على كل موجه لضمان مطابقته تماما.

الرسم التخطيطي 1

تشفير

هذا هو نفس الشيء على الصرة والمتكلم.

crypto isakmp policy 1

encr 3des

hash sha

authentication pre-share

crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0

crypto ipsec transform-set DMVPN-TSET esp-3des esp-sha-hmac

mode transport

crypto ipsec profile DMVPN-IPSEC

set transform-set DMVPN-TSET

موزع

interface Tunnel0

ip address 10.1.1.254 255.255.255.0

no ip redirects

ip mtu 1400

ip nhrp authentication NHRPAUTH

ip nhrp map multicast dynamic

ip nhrp network-id 1

ip tcp adjust-mss 1360

no ip split-horizon eigrp 1

tunnel source Ethernet0/0

tunnel mode gre multipoint

tunnel key 1

tunnel protection ipsec profile DMVPN-IPSEC

end

interface Ethernet0/0

ip address 172.16.10.1 255.255.255.0

end

interface Loopback0

ip address 203.0.113.1 255.255.255.255

interface Loopback1

ip address 203.0.113.2 255.255.255.255

interface Loopback2

ip address 203.0.113.3 255.255.255.255

interface Loopback3

ip address 203.0.113.4 255.255.255.255

router eigrp 1

network 10.1.1.0 0.0.0.255

network 203.0.113.1 0.0.0.0

network 203.0.113.2 0.0.0.0

network 203.0.113.3 0.0.0.0

network 203.0.113.4 0.0.0.0

حادثتن

interface Tunnel0

ip address 10.1.1.1 255.255.255.0

ip mtu 1400

ip nhrp authentication NHRPAUTH

ip nhrp map 10.1.1.254 172.16.10.1

ip nhrp network-id 1

ip nhrp nhs 10.1.1.254

ip tcp adjust-mss 1360

tunnel source Ethernet0/0

tunnel destination 172.16.10.1

tunnel key 1

tunnel protection ipsec profile DMVPN-IPSEC

end

interface Ethernet0/0

ip address 172.16.1.1 255.255.255.0

end

interface Loopback0

ip address 209.165.201.1 255.255.255.255

interface Loopback1

ip address 209.165.201.2 255.255.255.255

interface Loopback2

ip address 209.165.201.3 255.255.255.255

interface Loopback3

ip address 209.165.201.4 255.255.255.255

router eigrp 1

network 209.165.201.1 0.0.0.0

network 209.165.201.2 0.0.0.0

network 209.165.201.3 0.0.0.0

network 209.165.201.4 0.0.0.0

network 10.1.1.0 0.0.0.255

تصحيح الأخطاء

مرئيات تدفق الحزمة

هذا عرض لتدفق حزمة DMVPN بالكامل كما هو موضح في هذا المستند. يتم أيضا تضمين أخطاء أكثر تفصيلا تشرح كل خطوة من الخطوات.

1. عندما يكون النفق على "لا إيقاف عمل"، فإنه يقوم بإنشاء طلب تسجيل NHRP، والذي يبدأ عملية DMVPN. بما أن تكوين الصرة ديناميكي بالكامل، فإن ال Speaker يجب أن يكون النقطة النهائية التي تبدأ التوصيل.

2. يتم بعد ذلك تضمين طلب تسجيل NHRP في GRE الذي يؤدي إلى بدء عملية التشفير.

3. عند هذه النقطة، يتم إرسال رسالة الوضع الرئيسي الأولى ل ISAKMP - ISAKMP MM1 - من لوحة الوصل على المنفذ UDP500.

4. يستقبل الموزع MM1 ويعالجه، ويستجيب مع ISAKMP MM2، حيث إن لديه سياسة ISAKMP مطابقة.

الرسم التخطيطي 2 - يشير إلى الخطوات من 1 إلى 4

5. عندما يتلقى المتكلم الرسالة MM2، فإنه يستجيب بالرسالة MM3. كما هو الحال مع MM1، يؤكد "التحدث" صحة نهج ISAKMP الذي تم إستلامه.

6. يستقبل الصرة MM3 ويستجيب مع MM4.

7. عند هذه النقطة في مفاوضة ISAKMP، قد يستجيب ال Speaker على منفذ UDP4500 إذا تم اكتشاف nat في مسار النقل. ومع ذلك، إذا لم يتم الكشف عن NAT، يستمر "التحدث" ويرسل MM5 على UDP500. أخيرا، يستجيب الصرة مع MM6 in order to أتمت الأسلوب رئيسي تبادل.

الرسم التخطيطي 3 - يشير إلى الخطوات من 5 إلى 7

8. ما إن ال يتحدث يستلم MM6 من الصرة، هو يرسل QM1 إلى الصرة على UDP500 in order to بدأت أسلوب سريع.

9. يستقبل الصرة QM1 ويستجيب مع QM2، بما أن كل السمات المستلمة مقبولة. عند هذه النقطة، يخلق الصرة المرحلة 2 SAs ل هذا جلسة.

10. باعتباره الخطوة الأخيرة من تفاوض "الوضع السريع"، يتم تلقي QM2 بواسطة "المحادثة". يقوم الصوت بعد ذلك بإنشاء نقاط الوصول الخاصة بالمرحلة الثانية الخاصة به وإرسال QM3 كاستجابة لذلك. يؤدي هذا إلى اكتمال تفاوض ISAKMP و IPSec. هناك الآن جلسة IPSec تقوم بتشفير حركة مرور GRE بين هذين النظرين.

الرسم التخطيطي 4 - يشير إلى الخطوات من 8 إلى 10

11. الآن بعد أن تم رفع جلسة التشفير وقابل تمرير حركة المرور، يتم تضمين هذه الحزم داخل GRE عبر نفق IPSec.

الرسم التخطيطي 5 - يشير إلى الخطوة 11

12. كما تمت ملاحظته في الخطوات الأولى، يقوم Talk بإنشاء طلب تسجيل NHRP يتم إرساله عبر GRE عبر نفق IPSec.

13. يستلم الصرة طلبات تسجيل NHRP ويرسل رد تسجيل NHRP بمجرد التأكد من أن ل Speech نفق صالح وعنوان NonBroadcast Multiaccess (NBMA). يتلقى المتكلم الرد على تسجيل NHRP هذا الذي يكمل عملية التسجيل.

الرسم التخطيطي 6 - يشير إلى الخطوات من 12 إلى 13

هذه الأخطاء هي النتيجة عند إدخال الأمر debug dmvpn all all على موجهات الموزع والمتكلم. يقوم هذا الأمر المحدد بتمكين مجموعة تصحيح الأخطاء هذه:

Spoke1#debug dmvpn all all

DMVPN all level debugging is on

Spoke1#show debug

NHRP:

NHRP protocol debugging is on

NHRP activity debugging is on

NHRP extension processing debugging is on

NHRP cache operations debugging is on

NHRP routing debugging is on

NHRP rate limiting debugging is on

NHRP errors debugging is on

IKEV2:

IKEV2 error debugging is on

IKEV2 terse debugging is on

IKEV2 event debugging is on

IKEV2 packet debugging is on

IKEV2 detail debugging is on

Cryptographic Subsystem:

Crypto ISAKMP debugging is on

Crypto ISAKMP Error debugging is on

Crypto IPSEC debugging is on

Crypto IPSEC Error debugging is on

Crypto secure socket events debugging is on

Tunnel Protection Debugs:

Generic Tunnel Protection debugging is on

DMVPN:

DMVPN error  debugging is on

DMVPN UP/DOWN event  debugging is on

DMVPN detail  debugging is on

DMVPN packet  debugging is on

DMVPN all level debugging is on

تصحيح الأخطاء مع توضيح

بما أن هذا تكوين يتم فيه تنفيذ IPSec، فتظهر تصحيح الأخطاء جميع تصحيح أخطاء ISAKMP و IPSec. إذا لم يتم تكوين تشفير، فاتجاهل أي تصحيح أخطاء يبدأ ب "IPsec" أو "ISAKMP".

شرح تصحيح أخطاء الموزع

تصحيح الأخطاء بالتسلسل

تحدث عن شرح تصحيح الأخطاء

يتم إنشاء رسائل تصحيح الأخطاء القليلة الأولى هذه بواسطة أمر no shutdown تم إدخاله على واجهة النفق. يتم إنشاء الرسائل بواسطة خدمات التشفير و GRE و NHRP التي يتم بدؤها.

يظهر خطأ تسجيل NHRP على صرة لأن هو لا يتلقى التالي جنجل نادل (NHS) يشكل (الصرة هو ال NHS لسحابة DMVPN الخاصة بنا). هذا متوقع.

IPSec-IFC MGRE/Tu0: التحقق من حالة النفق.

NHRP: if_up: Tunnel0 proto 0

بروتوكول IPSec-IFC MGRE/Tu0: النفق قادم

IPSec-IFC MGRE/Tu0: crypto_ss_listen_start إستماع بالفعل

٪crypto-6-ISAKMP_on_off: ISAKMP قيد التشغيل

NHRP: يتعذر إرسال التسجيل - لم يتم تكوين NHSs

٪LINK-3-UPDOWN: Interface Tunnel0، تم تغيير الحالة إلى أعلى

NHRP: if_up: Tunnel0 proto 0

NHRP: يتعذر إرسال التسجيل - لم يتم تكوين NHSs

بروتوكول IPSec-IFC MGRE/Tu0: النفق قادم

IPSec-IFC MGRE/Tu0: crypto_ss_listen_start إستماع بالفعل

٪Lineproto-5-updown: بروتوكول الخط في نفق الواجهة0، تم تغيير الحالة إلى أعلى

IPSec-IFC GRE/Tu0: التحقق من حالة النفق.

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى 0

IPSec-IFC GRE/Tu0: crypto_ss_listen_start بالفعل

IPSec-IFC GRE/TU0(172.16.1.1/172.16.10.1): فتح مقبس باستخدام ملف التعريف DMVPN-IPSec

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى 0

بروتوكول IPSec-IFC GRE/TU0(172.16.1.1/172.16.10.1): يتم إنشاء نفق فورا.

IPSec-IFC GRE/Tu0: إضافة واجهة النفق0 إلى القائمة المشتركة

NHRP: if_up: Tunnel0 proto 0

NHRP: Tunnel0: إضافة ذاكرة التخزين المؤقت للهدف 10.1.1.254/32 الخطوة التالية 10.1.1.254

172.16.10.1

بروتوكول IPSec-IFC GRE/Tu0: النفق قادم

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى الطراز 961D220

IPSec-IFC GRE/Tu0: crypto_ss_listen_start بالفعل

IPSec-IFC GRE/Tu0: crypto_ss_listen_start بالفعل

IPSec-IFC GRE/TU0(172.16.1.1/172.16.10.1): فتح مقبس باستخدام ملف التعريف DMVPN-IPSec

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى الطراز 961D220

IPSec-IFC GRE/TU0(172.16.1.1/172.16.10.1): مقبس مفتوح بالفعل. تجاهل.

crypto_SS(tunnel sec): بدأ التطبيق في الإنصات

فشل إدراج خريطة في AVL MAPDB، يوجد بالفعل زوج التعيين + ace على Mapdb

٪crypto-6-ISAKMP_on_off: ISAKMP قيد التشغيل

crypto_SS(tunnel sec): معلومات نشطة مفتوحة ومقبسة: محلية 172.16.1.1 172.16.1.1/255.255.255.255/0، remote 172.16.10.172.16.10.1/255.255.255.255/0,  prot 47، ifc tu0

يتم إنشاء رسائل تصحيح الأخطاء القليلة الأولى هذه بواسطة أمر no shutdown تم إدخاله على واجهة النفق. يتم إنشاء الرسائل بواسطة خدمات التشفير و GRE و NHRP التي يتم بدؤها.

وبالإضافة إلى ذلك، يضيف المتحدث إدخالا إلى ذاكرة التخزين المؤقت الخاصة به لبروتوكول إدارة الشبكة (NHRP) لعنوان الشبكة (NBMA) والنفق الخاص بها.

بدء تفاوض ISAKMP (المرحلة الأولى)

IPSec(real_mtu): إعادة ضبط SADB_ROOT 94EFDC0 MTU إلى 1500

IPSec(sa_request): ،

(مفتاح المهندس) الصادر المحلي= 172.16.1.1:500، عن بعد= 172.16.10.1:500،

local_proxy= 172.16.1.1/255.255.255.255/47/0 (type=1)،

remote_proxy= 172.16.10.1/255.255.255.255/47/0 (type=1)،

البروتوكول= ESP، التحويل= ESP-3des esp-sha-hmac (النقل)،

LifeDur= 3600s و 4608000kb،

spi= 0x0(0)، conn_id= 0، keysize= 0، flags= 0x0

ISAKMP:(0): ملف تعريف طلب SA (فارغ)

ISAKMP: تم إنشاء بنية نظير ل 172.16.10.1، منفذ نظير 500

ISAKMP: نظير جديد تم إنشاؤه = 0x95F6858 peer_handle = 0x800004

ISAKMP: قفل بنية النظير 0x95F6858، إعادة حساب 1 ل isakmp_initiator

ISAKMP: المنفذ المحلي 500، المنفذ البعيد 500

ISAKMP: تعيين العقدة الجديدة 0 إلى QM_IDLE

ISAKMP:(0):insert sa بنجاح = 8A26FB0

ISAKMP:(0):يتعذر بدء تشغيل الوضع المتميز، تجربة الوضع الرئيسي.

ISAKMP:(0):مفتاح مشترك مسبقا للنظير الذي تم العثور عليه 172.16.10.1

ISAKMP:(0): معرف NAT-T Vendor-RFC3947 الذي تم إنشاؤه

ISAKMP:(0): معرف NAT-T Vendor-07 الذي تم إنشاؤه

ISAKMP:(0): معرف NAT-T Vendor-03 الذي تم إنشاؤه

ISAKMP:(0): معرف NAT-T vendor-02 الذي تم إنشاؤه

ISAKMP:(0):Input = IKE_MESG_FROM_IPSec، IKE_SA_REQ_MM

ISAKMP:(0):الحالة القديمة = حالة IKE_READY الجديدة = IKE_I_MM1

ISAKMP:(0): بدء تبادل الوضع الرئيسي

ISAKMP:(0): إرسال الحزمة إلى 172.16.10.1 my_port 500 peer_port 500 (i) mm_no_state

ISAKMP:(0):إرسال حزمة IKE IPv4.

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى الطراز 961D220

بروتوكول IPSec-IFC GRE/TU0(172.16.1.1/172.16.10.1): رسالة جاهزة للمقابس الجيد

تتمثل الخطوة الأولى بمجرد أن يكون النفق "no shutdown" في بدء تفاوض التشفير. هنا يخلق الصوت طلب SA، يحاول أن يبدأ عدواني أسلوب ويفشل في العودة إلى الوضع الرئيسي. ونظرا لأنه لم يتم تكوين "الوضع العدواني" على أي من الموجهات، فمن المتوقع حدوث ذلك.

يبدأ الأسلوب الرئيسي ويرسل أول رسالة ISAKMP، MM_NO_STATE. تغييرات حالة ISAKMP من ike_ready إلى ike_i_mm1.

استعملت ال nat-T بائع id رسالة في كشف واجتياز من nat. من المتوقع أن تكون هذه الرسائل أثناء التفاوض على ISAKMP بغض النظر عما إذا تم تنفيذ NAT أم لا. مثل رسائل الوضع AGGRESSIVE، هذه متوقعة.

بعد أن يكون نفق speaker "no shutdown"، يستلم الصرة ال ike جديد sa (الوضع الرئيسي 1) رسالة على ميناء 500. كمستجيب، يقوم الصرة بإنشاء اقتران أمان ISAKMP (SA).

تتغير حالة ISAKMP من ike_ready إلى ike_r_mm1.

ISAKMP (0): الحزمة المستلمة من 172.16.1.1 منفذ 500 Sport 500 Global (N) SA الجديدة

ISAKMP: تم إنشاء بنية نظير ل 172.16.1.1، منفذ نظير 500

ISAKMP: نظير جديد تم إنشاؤه = 0x8CACD00 peer_handle = 0x8000003

ISAKMP: تأمين بنية النظير 0x8CACD00، إعادة حساب 1 ل crypto_isakmp_process_block

ISAKMP: المنفذ المحلي 500، المنفذ البعيد 500

ISAKMP:(0):إدراج sa بنجاح sa = 6a5BDE8

ISAKMP:(0):Input = IKE_MESG_FROM_PEER، IKE_MM_EXCH

ISAKMP:(0):الحالة القديمة = حالة IKE_READY الجديدة = IKE_R_MM1

تتم معالجة رسالة IKE Main Mode 1 المستلمة. يحدد الصرة أن النظير لديه سمات ISAKMP المطابقة ويتم تعبئتها في ISAKMP sa الذي تم إنشاؤه للتو. تظهر الرسائل أن النظير يستخدم 3DES-CBC للتشفير، تجزئة SHA، Diffie Hellman (DH) المجموعة 1، والمفتاح المضغوط للمصادقة، وفترة بقاء SA الافتراضية من 86400 ثانية (0x0 0x1 0x510x80 = 0x15180 = 86400 ثانية).

لا تزال حالة ISAKMP ike_r_MM1 نظرا لعدم إرسال رد إلى المحادثة.

استعملت ال nat-T بائع id رسالة في كشف واجتياز من nat. من المتوقع أن تكون هذه الرسائل أثناء التفاوض على ISAKMP بغض النظر عما إذا تم تنفيذ NAT أم لا. يتم ملاحظة رسائل مماثلة لاكتشاف النظير المتوقف (DPD).

ISAKMP:(0): معالجة حمولة SA. معرف الرسالة = 0

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 69 غير متطابق

ISAKMP (0): معرف المورد هو NAT-T RFC 3947

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 245 غير متطابق

ISAKMP (0): معرف المورد هو NAT-T v7

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 157 غير متطابق

ISAKMP:(0): معرف المورد هو NAT-T v3

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 123 غير متطابق

ISAKMP:(0): معرف المورد هو NAT-T v2

ISAKMP:(0):مطابقة مفتاح النظير المشترك مسبقا 172.16.1.1 الذي تم العثور عليه

ISAKMP:(0): تم العثور على المفتاح المحلي الذي تم تحميله مسبقا

ISAKMP: مسح ملفات التعريف بحثا عن xauth ...

ISAKMP:(0):التحقق من تحويل ISAKMP 1 مقابل سياسة الأولوية 1

ISAKMP: تشفير 3DES-CBC

ISAKMP: تجزئة SHA

ISAKMP: المجموعة الافتراضية 1

ISAKMP: مشاركة مسبقة للمصادقة

ISAKMP: نوع الحياة بالثواني

ISAKMP: مدة الحياة (VPI) تبلغ 0x0 0x1 0x51 0x80

ISAKMP:(0):البوابة مقبولة. الحمولة التالية هي 0

ISAKMP:(0):واط:العمر الفعلي: 0

ISAKMP:(0):Allowed:Life: 0

ISAKMP:(0):نقاط التعبئة في sa vpi_length:4

ISAKMP:(0):Fill points in sa life_in_seconds:86400

ISAKMP:(0):إرجاع العمر الفعلي: 86400

ISAKMP:(0)::مؤقت العمر الذي بدأ: 86400.

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 69 غير متطابق

ISAKMP (0): معرف المورد هو NAT-T RFC 3947

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 245 غير متطابق

ISAKMP (0): معرف المورد هو NAT-T v7

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 157 غير متطابق

ISAKMP:(0): معرف المورد هو NAT-T v3

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 123 غير متطابق

ISAKMP:(0): معرف المورد هو NAT-T v2

ISAKMP:(0):Input = IKE_MESG_INTERNAL، IKE_PROCESS_MAIN_MODE

ISAKMP:(0):الحالة القديمة = IKE_R_MM1 الحالة الجديدة = IKE_R_MM1

يتم إرسال MM_SA_SETUP (الوضع الرئيسي 2) إلى Talk، مما يؤكد تلقي MM1 وقبولها كحزمة ISAKMP صالحة.

تغييرات حالة ISAKMP من IKE_R_MM1 إلى IKE_R_MM2.

ISAKMP:(0): معرف NAT-T Vendor-RFC3947 الذي تم إنشاؤه

ISAKMP:(0): إرسال الحزمة إلى 172.16.1.1 my_port 500 peer_port 500 (R) MM_SA_SETUP

ISAKMP:(0):إرسال حزمة IKE IPv4.

ISAKMP:(0):Input = IKE_MESG_INTERNAL، IKE_PROCESS_COMPLETE

ISAKMP:(0):الحالة القديمة = IKE_R_MM1 الحالة الجديدة = IKE_R_MM2

ISAKMP (0): الحزمة المستلمة من 172.16.10.1 منفذ 500 Sport 500 Global (I) MM_NO_STATE

ISAKMP:(0):Input = IKE_MESG_FROM_PEER، IKE_MM_EXCH

ISAKMP:(0):الحالة القديمة = IKE_I_MM1 الحالة الجديدة = IKE_I_MM2

ISAKMP:(0): معالجة حمولة SA. معرف الرسالة = 0

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 69 غير متطابق

ISAKMP (0): معرف المورد هو NAT-T RFC 3947

ISAKMP:(0):مفتاح مشترك مسبقا للنظير الذي تم العثور عليه 172.16.10.1

ISAKMP:(0): تم العثور على المفتاح المحلي الذي تم تحميله مسبقا

ISAKMP: مسح ملفات التعريف بحثا عن xauth ...

ISAKMP:(0):التحقق من تحويل ISAKMP 1 مقابل سياسة الأولوية 1

ISAKMP: تشفير 3DES-CBC

ISAKMP: تجزئة SHA

ISAKMP: المجموعة الافتراضية 1

ISAKMP: مشاركة مسبقة للمصادقة

ISAKMP: نوع الحياة بالثواني

ISAKMP: مدة الحياة (VPI) تبلغ 0x0 0x1 0x51 0x80

ISAKMP:(0):البوابة مقبولة. الحمولة التالية هي 0

ISAKMP:(0):واط:العمر الفعلي: 0

ISAKMP:(0):Allowed:Life: 0

ISAKMP:(0):نقاط التعبئة في sa vpi_length:4

ISAKMP:(0):Fill points in sa life_in_seconds:86400

ISAKMP:(0):إرجاع العمر الفعلي: 86400

ISAKMP:(0)::مؤقت العمر الذي بدأ: 86400.

ISAKMP:(0): معالجة حمولة معرف المورد

ISAKMP:(0): يبدو معرف المورد Unity/DPD ولكن Major 69 غير متطابق

ISAKMP (0): معرف المورد هو NAT-T RFC 3947

ISAKMP:(0):Input = IKE_MESG_INTERNAL، IKE_PROCESS_MAIN_MODE

ISAKMP:(0):الحالة القديمة = IKE_I_MM2 الحالة الجديدة = IKE_I_MM2

ردا على رسالة MM1 المرسلة إلى الصرة، تصل MM2 التي تقر باستلام MM1. تتم معالجة رسالة IKE Main Mode 2 المستلمة. يدرك الصوت أن الصرة بها خصائص ISAKMP المطابقة وهذه السمات معبئة في ال ISAKMP SA أن كان خلقت. توضح هذه الحزمة أن النظير يستخدم 3DES-CBC للتشفير، وتجزئة SHA، ومجموعة Diffie Hellman (DH) 1، والمفتاح المشترك مسبقا للمصادقة، ودورة حياة SA الافتراضية من 86400 ثانية (0x0 0x1 0x510x80 = 0x15180 = 86400 ثانية).

بالإضافة إلى رسائل NAT-T، هناك تبادل لتحديد ما إذا كانت جلسة العمل ستستخدم DPD.

تتغير حالة ISAKMP من IKE_I_MM1 إلى IKE_I_MM2.

ISAKMP:(0): إرسال الحزمة إلى 172.16.10.1 my_port 500 peer_port 500 (i) mm_sa_setup

ISAKMP:(0):إرسال حزمة IKE IPv4.

ISAKMP:(0):Input = IKE_MESG_INTERNAL، IKE_PROCESS_COMPLETE

ISAKMP:(0):الحالة القديمة = IKE_I_MM2 الحالة الجديدة = IKE_I_MM3

MM_SA_SETUP (الوضع الرئيسي 3) يرسل إلى الصرة، مما يؤكد أن المتكلم إستلم MM2 ويرغب في المتابعة.

تتغير حالة ISAKMP من IKE_I_MM2 إلى IKE_I_MM3.

يتم تلقي MM_SA_SETUP (الوضع الرئيسي 3) بواسطة الموزع. يستنتج الصرة أن النظير هو جهاز Cisco IOS آخر ولا يتم اكتشاف NAT لنا أو لنظيرنا.

تتغير حالة ISAKMP من IKE_R_MM2 إلى IKE_R_MM3.

ISAKMP (0): الحزمة المستلمة من 172.16.1.1 منفذ 500 Sport 500 Global (R) MM_SA_SETUP

ISAKMP:(0):Input = IKE_MESG_FROM_PEER، IKE_MM_EXCH

ISAKMP:(0):الحالة القديمة = IKE_R_MM2 الحالة الجديدة = IKE_R_MM3

ISAKMP:(0): معالجة حمولة KE. معرف الرسالة = 0

ISAKMP:(0): معالجة حمولة الشبكة. معرف الرسالة = 0

ISAKMP:(0):مطابقة مفتاح النظير المشترك مسبقا 172.16.1.1 الذي تم العثور عليه

ISAKMP:(1002): معالجة حمولة معرف المورد

ISAKMP:(1002): معرف المورد هو DPD

ISAKMP:(1002): معالجة حمولة معرف المورد

ISAKMP:(1002): التحدث إلى مربع IOS آخر!

ISAKMP:(1002): معالجة حمولة معرف المورد

ISAKMP:(1002): يبدو معرف المورد Unity/DPD ولكن Major 225 غير متطابق

ISAKMP:(1002): معرف المورد هو Xauth

ISAKMP:نوع الحمولة المستلمة 20

ISAKMP (1002): لا تطابق له التجزئة - هذه العقدة خارج NAT

ISAKMP:نوع الحمولة المستلمة 20

ISAKMP (1002): لم يتم العثور على NAT للذات أو النظير

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PROCESS_MAIN_MODE

ISAKMP:(1002):الحالة القديمة = IKE_R_MM3 الحالة الجديدة = IKE_R_MM3

يتم إرسال MM_KEY_EXCH (الوضع الرئيسي 4) بواسطة الموزع.

تغييرات حالة ISAKMP من IKE_R_MM3 إلى IKE_R_MM4.

ISAKMP:(1002): إرسال الحزمة إلى 172.16.1.1 my_port 500 peer_port 500 (r) mm_key_exch

ISAKMP:(1002):إرسال حزمة IKE IPv4.

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PROCESS_COMPLETE

ISAKMP:(1002):الحالة القديمة = IKE_R_MM3 الحالة الجديدة = IKE_R_MM4

ISAKMP (0): الحزمة المستلمة من 172.16.10.1 منفذ 500 Sport 500 Global (I) MM_SA_SETUP

ISAKMP:(0):Input = IKE_MESG_FROM_PEER، IKE_MM_EXCH

ISAKMP:(0):الحالة القديمة = IKE_I_MM3 الحالة الجديدة = IKE_I_MM4

ISAKMP:(0): معالجة حمولة KE. معرف الرسالة = 0

ISAKMP:(0): معالجة حمولة الشبكة. معرف الرسالة = 0

ISAKMP:(0):مفتاح مشترك مسبقا للنظير الذي تم العثور عليه 172.16.10.1

ISAKMP:(1002): معالجة حمولة معرف المورد

ISAKMP:(1002): معرف المورد هو Unity

ISAKMP:(1002): معالجة حمولة معرف المورد

ISAKMP:(1002): معرف المورد هو DPD

ISAKMP:(1002): معالجة حمولة معرف المورد

ISAKMP:(1002): التحدث إلى مربع IOS آخر!

ISAKMP:نوع الحمولة المستلمة 20

ISAKMP (1002): لا تطابق له التجزئة - هذه العقدة خارج NAT

ISAKMP:نوع الحمولة المستلمة 20

ISAKMP (1002): لم يتم العثور على NAT للذات أو النظير

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PROCESS_MAIN_MODE

ISAKMP:(1002):الحالة القديمة = IKE_I_MM4 الحالة الجديدة = IKE_I_MM4

تم تلقي MM_SA_SETUP (الوضع الرئيسي 4) بواسطة TALK. يخلص الكلام إلى أن النظير هو جهاز Cisco IOS آخر ولا يتم اكتشاف NAT لنا أو لنظيرنا.

تتغير حالة ISAKMP من IKE_I_MM3 إلى IKE_I_MM4.

ISAKMP:(1002):إرسال جهة اتصال أولية

ISAKMP:(1002):يقوم SA بإجراء مصادقة مفتاح مشترك مسبقا باستخدام نوع المعرف ID_IPv4_ADDR.

ISAKMP (1002): حمولة المعرف

الحمولة التالية : 8

النوع : 1

العنوان: 172.16.1.1

البروتوكول: 17

المنفذ: 500

الطول: 12

ISAKMP:(1002):إجمالي طول الحمولة: 12

ISAKMP:(1002): إرسال الحزمة إلى 172.16.10.1 my_port 500 peer_port 500 (i) mm_key_exch

ISAKMP:(1002):إرسال حزمة IKE IPv4.

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PROCESS_COMPLETE

ISAKMP:(1002):الحالة القديمة = IKE_I_MM4 الحالة الجديدة = IKE_I_MM5

يتم إرسال MM_KEY_EXCH (الوضع الرئيسي 5) بواسطة المحادثة.

تتغير حالة ISAKMP من IKE_I_MM4 إلى IKE_I_MM5.

MM_KEY_EXCH (الوضع الرئيسي 5) يتم إستلامه بواسطة الموزع.

تتغير حالة ISAKMP من IKE_R_MM4 إلى IKE_R_MM5.

وبالإضافة إلى ذلك، يظهر "تطابق النظير *none* من ملفات التعريف" بسبب عدم وجود ملف تعريف ISAKMP. ولأن هذه هي الحالة، لا يستخدم ISAKMP توصيفا.

ISAKMP (1002): حزمة مستلمة من 172.16.1.1 منفذ 500 Sport 500 Global (R) MM_KEY_EXCH

ISAKMP:(1002):Input = IKE_MESG_FROM_PEER، IKE_MM_EXCH

ISAKMP:(1002):الحالة القديمة = IKE_R_MM4 الحالة الجديدة = IKE_R_MM5

ISAKMP:(1002): حمولة معرف المعالجة. معرف الرسالة = 0

ISAKMP (1002): حمولة المعرف

الحمولة التالية : 8

النوع : 1

العنوان: 172.16.1.1

البروتوكول: 17

المنفذ: 500

الطول: 12

ISAKMP:(0): تطابقات الأقران *لا شيء* من ملفات التعريف

ISAKMP:(1002): معالجة حمولة التجزئة. معرف الرسالة = 0

ISAKMP:(1002): معالجة بروتوكول الإعلام المبدئي_الاتصال 1

spi 0، معرف الرسالة = 0، sa = 0x6a5BDE8

ISAKMP:(1002):حالة مصادقة SA:

مصادق

ISAKMP:(1002):تمت مصادقة SA على 172.16.1.1

ISAKMP:(1002):حالة مصادقة SA:

مصادق

ISAKMP:(1002): معالجة جهة الاتصال الأولية،

تقليل المرحلتين الحاليتين 1 و 2 SA مع المنفذ المحلي 172.16.10.1 البعيد 172.16.1.1 المنفذ البعيد 500

ISAKMP: محاولة إدراج نظير 172.16.10.1/172.16.1.1/500/,  وإدراجه بنجاح 8CACD00.

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PROCESS_MAIN_MODE

ISAKMP:(1002):الحالة القديمة = IKE_R_MM5 الحالة الجديدة = IKE_R_MM5

IPSec(key_engine): تم الحصول على حدث قائمة انتظار يحتوي على 1 رسالة (رسائل) KMI

ISAKMP:(1002):يقوم SA بإجراء مصادقة مفتاح مشترك مسبقا باستخدام نوع المعرف ID_IPv4_ADDR.

ISAKMP (1002): حمولة المعرف

الحمولة التالية : 8

النوع : 1

العنوان: 172.16.10.1

البروتوكول: 17

المنفذ: 500

الطول: 12

ISAKMP:(1002):إجمالي طول الحمولة: 12

يتم إرسال الحزمة MM_KEY_EXCH الأخيرة (الوضع الرئيسي 6) بواسطة الموزع. يؤدي هذا إلى اكتمال تفاوض المرحلة 1 الذي يدل على أن هذا الجهاز جاهز للمرحلة 2 (وضع IPSec السريع).

تتغير حالة ISAKMP من IKE_R_MM5 إلى IKE_P1_COMPLETE.

ISAKMP:(1002): إرسال الحزمة إلى 172.16.1.1 my_port 500 peer_port 500 (r) mm_key_exch

ISAKMP:(1002):إرسال حزمة IKE IPv4.

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PROCESS_COMPLETE

ISAKMP:(1002):الحالة القديمة = IKE_R_MM5 الحالة الجديدة = IKE_P1_COMPLETE

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PHASE1_COMPLETE

ISAKMP:(1002):الحالة القديمة = IKE_P1_COMPLETE الحالة الجديدة = IKE_P1_COMPLETE

ISAKMP (1002): حزمة مستلمة من 172.16.10.1 منفذ 500 Sport 500 Global (I) MM_KEY_EXCH

ISAKMP:(1002): حمولة معرف المعالجة. معرف الرسالة = 0

ISAKMP (1002): حمولة المعرف

الحمولة التالية : 8

النوع : 1

العنوان: 172.16.10.1

البروتوكول: 17

المنفذ: 500

الطول: 12

ISAKMP:(0): تطابقات الأقران *لا شيء* من ملفات التعريف

ISAKMP:(1002): معالجة حمولة التجزئة. معرف الرسالة = 0

ISAKMP:(1002):حالة مصادقة SA:

مصادق

ISAKMP:(1002):تمت مصادقة SA على 172.16.10.1

isakmp: محاولة إدراج نظير 172.16.1.1/172.16.10.1/500/,  وإدراجه بنجاح 95F6858.

ISAKMP:(1002):Input = IKE_MESG_FROM_PEER، IKE_MM_EXCH

ISAKMP:(1002):الحالة القديمة = IKE_I_MM5 الحالة الجديدة = IKE_I_MM6

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PROCESS_MAIN_MODE

ISAKMP:(1002):الحالة القديمة = حالة IKE_I_MM6 الجديدة = IKE_I_MM6

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PROCESS_COMPLETE

ISAKMP:(1002):الحالة القديمة = حالة IKE_I_MM6 الجديدة = IKE_P1_COMPLETE

يتم تلقي الحزمة الأخيرة MM_KEY_EXCH (الوضع الرئيسي 6) بواسطة المحادثة. يؤدي هذا إلى اكتمال تفاوض المرحلة 1 الذي يدل على أن هذا الجهاز جاهز للمرحلة 2 (وضع IPSec السريع).

تتغير حالة ISAKMP من IKE_I_MM5 إلى IKE_I_MM6، ثم فورا إلى IKE_P1_COMPLETE.

وبالإضافة إلى ذلك، يظهر "تطابق النظير *none* من ملفات التعريف" بسبب عدم وجود ملف تعريف ISAKMP. ولأن هذه هي الحالة، لا يستخدم ISAKMP توصيفا.

انتهاء مفاوضات ISAKMP (المرحلة الأولى)، بدء مفاوضات IPSec (المرحلة الثانية)

ISAKMP:(1002):بدء تبادل الوضع السريع، M-ID الخاص ب 3464373979

ISAKMP:(1002):يحصل بادئ QM على SPI

ISAKMP:(1002): إرسال الحزمة إلى 172.16.10.1 my_port 500 peer_port 500 (I) QM_Idle

ISAKMP:(1002):إرسال حزمة IKE IPv4.

ISAKMP:(1002):العقدة 3464373979، الإدخال = IKE_MESG_INTERNAL، IKE_INIT_QM

ISAKMP:(1002):الحالة القديمة = IKE_QM_READY الحالة الجديدة = IKE_QM_I_QM1

ISAKMP:(1002):Input = IKE_MESG_INTERNAL، IKE_PHASE1_COMPLETE

ISAKMP:(1002):الحالة القديمة = IKE_P1_COMPLETE الحالة الجديدة = IKE_P1_COMPLETE

يبدأ تبادل "الوضع السريع" (المرحلة الثانية، IPSec) وترسل المحادثات أول رسالة QM إلى الموزع.

يستلم الصرة أول حزمة Quick Mode (QM) تحتوي على اقتراح IPSec. تحدد السمات المستلمة ما يلي: تضمين علامة معينة على 2 (وضع النقل، علامة 1 ستكون وضع النفق)، وعمر SA الافتراضي هو 3600 ثانية و 4608000 كيلوبايت (0x465000 في hex)، HMAC-SHA للمصادقة، و 3DES للتشفير. بما أن هذه هي نفس السمات التي تم تعيينها في التكوين المحلي، فقد تم قبول العرض وتم إنشاء طبقة مساعد IPSec. نظرا لعدم اقتران قيم فهرس معلمات الأمان (SPI) بهذه القيم حتى الآن، فهذه مجرد طبقة من sa لا يمكن إستخدامها لتمرير حركة المرور بعد.

ISAKMP (1002): الحزمة المستلمة من 172.16.1.1 منفذ 500 Sport 500 Global (R) QM_Idle

ISAKMP: تعيين العقدة الجديدة -830593317 على QM_Idle

ISAKMP:(1002): معالجة حمولة التجزئة. معرف الرسالة = 3464373979

ISAKMP:(1002): معالجة حمولة SA. معرف الرسالة = 3464373979

ISAKMP:(1002):التحقق من مقترح IPSec 1

ISAKMP: تحويل 1 و ESP_3DES

ISAKMP: سمات في التحويل:

ISAKMP: نقاط الوصول هي 2 (النقل)

ISAKMP: نوع حياة SA بالثواني

ISAKMP: مدة البقاء (الأساسية) لمدة 3600 سنة

ISAKMP: نوع حياة SA بالكيلوبايت

ISAKMP: مدة حياة SA (VPI) تبلغ 0x0 0x460x50 0x0

ISAKMP: المصدق هو HMAC-SHA

ISAKMP:(1002):عدد مرات القبول.

IPSec(verify_proposal_request): جزء العرض #1

IPSec(verify_proposal_request): جزء العرض #1،

(مفتاح المهندس) الوارد المحلي= 172.16.10.1:0، remote= 172.16.1.1:0،

local_proxy= 172.16.10.1/255.255.255.255/47/0 (type=1)،

remote_proxy= 172.16.1.1/255.255.255.255/47/0 (type=1)،

بروتوكول= ESP، تحويل= بلا (نقل)،

LifeDur= 0s و 0kb،

spi= 0x0(0)، conn_id= 0، keysize= 128، flags= 0x0

هذه مجرد رسائل خدمة IPSec عامة تقول إنها تعمل بشكل صحيح.

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): تم إرجاع البحث عن الاتصال إلى 0

IPSec-IFC MGRE/Tu0: crypto_ss_listen_start إستماع بالفعل

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): فتح مقبس باستخدام ملف التعريف DMVPN-IPSec

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): تم إرجاع البحث عن الاتصال إلى 0

بروتوكول IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): يتم إنشاء نفق فورا.

IPSec-IFC MGRE/Tu0: إضافة واجهة النفق0 إلى القائمة المشتركة

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): tunnel_protection_start_pending_timer 8C93888

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): طلب إستماع جيد

يتم إنشاء إدخال خريطة pseudo-crypto لبروتوكول IP رقم 47 (GRE) من 172.16.10.1 (عنوان موزع عام) إلى 172.16.1.1 (عنوان عام متكلم). يتم إنشاء IPSec SA/SPI لكل من حركة المرور الواردة والصادرة مع قيم من الاقتراح المقبول.

فشل إدراج خريطة في AVL MAPDB، يوجد بالفعل زوج التعيين + ace على Mapdb

crypto_SS(tunnel sec): معلومات خاملة مفتوحة ومقبسة: محلية 172.16.10.1 172.16.10.1/255.255.255.255/0، remote 172.16.1.172.16.1.1/255.255.255.255/0، prot 47، ifc tu0

crypto mapdb : proxy_match

src addr: 172.16.10.1

DST Addr: 172.16.1.1

البروتوكول: 47

منفذ src : 0

منفذ DST : 0

ISAKMP:(1002): معالجة حمولة الشبكة. معرف الرسالة = 3464373979

ISAKMP:(1002): حمولة معرف المعالجة. معرف الرسالة = 3464373979

ISAKMP:(1002): حمولة معرف المعالجة. معرف الرسالة = 3464373979

ISAKMP:(1002):QM Responder يحصل على SPI

ISAKMP:(1002):العقدة 3464373979، الإدخال = IKE_MESG_FROM_PEER، IKE_QM_EXCH

ISAKMP:(1002):الحالة القديمة = IKE_QM_READY New State = IKE_QM_SPI_STARVE

ISAKMP:(1002): إنشاء IPSec SAs

SA الوارد من 172.16.1.1 إلى 172.16.10.1 (f/i) 0/ 0

(الوكيل 172.16.1.1 إلى 172.16.10.1)

يحتوي على spi 0xDD2AC2B3 و conn_id 0

عمر 3600 ثانية

عمر يبلغ 4608000 كيلوبايت

SA الصادر من 172.16.10.1 إلى 172.16.1.1 (f/i) 0/0

(الوكيل 172.16.10.1 إلى 172.16.1.1)

يحتوي على spi 0x82C3E0C4 و conn_id 0

عمر 3600 ثانية

عمر يبلغ 4608000 كيلوبايت

رسالة QM الثانية التي تم إرسالها بواسطة الموزع. رسالة تم إنشاؤها بواسطة خدمة IPSec التي تؤكد أن حماية النفق قيد التشغيل على Tunnel0.

يتم عرض رسالة إنشاء SA أخرى تحتوي على عناوين IP، SPIs، سمات التحويل، وعمر الكتابة بالكيلوبايت والثواني المتبقية.

ISAKMP:(1002): إرسال الحزمة إلى 172.16.1.1 my_port 500 peer_port 500 (R) QM_Idle

ISAKMP:(1002):إرسال حزمة IKE IPv4.

ISAKMP:(1002):العقدة 3464373979، الإدخال = IKE_MESG_INTERNAL، IKE_GOT_SPI

ISAKMP:(1002):الحالة القديمة = IKE_QM_SPI_STARVE الحالة الجديدة = IKE_QM_R_QM2

crypto_SS(tunnel sec): اكتمل ربط التطبيق بالمأخذ

IPSec(key_engine): تم الحصول على حدث قائمة انتظار يحتوي على 1 رسالة (رسائل) KMI

crypto mapdb : proxy_match

src addr: 172.16.10.1

DST Addr: 172.16.1.1

البروتوكول: 47

منفذ src : 0

منفذ DST : 0

IPSec(crypto_ipsec_sa_find_ident_head): إعادة الاتصال بنفس الوكلاء والأقران 172.16.1.1

IPSec(policy_db_add_ident): src 172.16.10.1، dest 172.16.1.1، dest_port 0

IPSec(create_sa): تم إنشاء SA،

(sa) sa_dest= 172.16.10.1، sa_proto= 50،

sa_spi= 0xDD2AC2B3(3710567091)،

sa_trans= esp-3des esp-sha-hmac، sa_conn_id= 3

sa_lifetime (k/sec)= (4536779/3600)

IPSec(create_sa): تم إنشاء SA،

(sa) sa_dest= 172.16.1.1، sa_proto= 50،

sa_spi= 0x82c3e0c4(2193875140)،

sa_trans= esp-3des esp-sha-hmac، sa_conn_id= 4

sa_lifetime (k/sec)= (4536779/3600)

IPSec(crypto_ipsec_update_ident_tunnel_decap_oce): تحديث Tunnel0 ident 8b6a0E8 مع tun_decap_oce 6A648F0

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): تم إرجاع البحث عن الاتصال 8C93888

بروتوكول IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): رسالة جاهزة للمقابس الجيد

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): تم إرجاع البحث عن الاتصال 8C93888

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): tunnel_protection_socket_up

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): إرسال الإشارات NHRP

IPSec-IFC MGRE/TU0(172.16.10.1/172.16.1.1): تم الحصول على رسالة MTU رقم 1458

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): تم إرجاع البحث عن الاتصال 8C93888

ISAKMP (1002): الحزمة المستلمة من 172.16.10.1 منفذ 500 Sport 500 Global (I) QM_Idle

ISAKMP:(1002): معالجة حمولة التجزئة. معرف الرسالة = 3464373979

ISAKMP:(1002): معالجة حمولة SA. معرف الرسالة = 3464373979

ISAKMP:(1002):التحقق من مقترح IPSec 1

ISAKMP: تحويل 1 و ESP_3DES

ISAKMP: سمات في التحويل:

ISAKMP: نقاط الوصول هي 2 (النقل)

ISAKMP: نوع حياة SA بالثواني

ISAKMP: مدة البقاء (الأساسية) لمدة 3600 سنة

ISAKMP: نوع حياة SA بالكيلوبايت

ISAKMP: مدة حياة SA (VPI) تبلغ 0x0 0x460x50 0x0

ISAKMP: المصدق هو HMAC-SHA

ISAKMP:(1002):عدد مرات القبول.

IPSec(verify_proposal_request): جزء العرض #1

IPSec(verify_proposal_request): جزء العرض #1،

(مفتاح المهندس) الوارد المحلي= 172.16.1.1:0، عن بعد= 172.16.10.1:0،

local_proxy= 172.16.1.1/255.255.255.255/47/0 (type=1)،

remote_proxy= 172.16.10.1/255.255.255.255/47/0 (type=1)،

بروتوكول= ESP، تحويل= بلا (نقل)،

LifeDur= 0s و 0kb،

spi= 0x0(0)، conn_id= 0، keysize= 128، flags= 0x0

crypto mapdb : proxy_match

src addr: 172.16.1.1

DST Addr: 172.16.10.1

البروتوكول: 47

منفذ src : 0

منفذ DST : 0

يتلقى المتكلم الحزمة الثانية QM التي تحتوي على اقتراح IPSec. هذا يؤكد أن QM1 تم إستلامه بواسطة الموزع. تحدد السمات المستلمة ما يلي: تضمين علامة تم تعيينها على 2 (وضع النقل، علامة 1 ستكون وضع النفق)، وعمر SA الافتراضي هو 3600 ثانية و 4608000 كيلوبايت (0x465000 في hex)، HMAC-SHA للمصادقة، و DES للتشفير. بما أن هذه هي نفس السمات التي تم تعيينها في التكوين المحلي، فقد تم قبول العرض وتم إنشاء طبقة مساعد IPSec. نظرا لعدم اقتران قيم فهرس معلمات الأمان (SPI) بهذه القيم حتى الآن، فهذه مجرد طبقة من sa لا يمكن إستخدامها لتمرير حركة المرور بعد.

يتم إنشاء إدخال خريطة pseudo-crypto لبروتوكول IP رقم 47 (GRE) من 172.16.10.1 (عنوان موزع عام) إلى 172.16.1.1 (عنوان عام متكلم).

ISAKMP:(1002): معالجة حمولة الشبكة. معرف الرسالة = 3464373979

ISAKMP:(1002): حمولة معرف المعالجة. معرف الرسالة = 3464373979

ISAKMP:(1002): حمولة معرف المعالجة. معرف الرسالة = 3464373979

ISAKMP:(1002): إنشاء IPSec SAs

SA الوارد من 172.16.10.1 إلى 172.16.1.1 (f/i) 0/ 0

(الوكيل 172.16.10.1 إلى 172.16.1.1)

يحتوي على spi 0x82C3E0C4 و conn_id 0

عمر 3600 ثانية

عمر يبلغ 4608000 كيلوبايت

SA الصادر من 172.16.1.1 إلى 172.16.10.1 (f/i) 0/0

(الوكيل 172.16.1.1 إلى 172.16.10.1)

يحتوي على spi 0xDD2AC2B3 و conn_id 0

عمر 3600 ثانية

عمر يبلغ 4608000 كيلوبايت

يتم إنشاء IPSec SA/SPI لكل من حركة المرور الواردة والصادرة مع قيم من الاقتراح المقبول.

ISAKMP:(1002): إرسال الحزمة إلى 172.16.10.1 my_port 500 peer_port 500 (I) QM_Idle

ISAKMP:(1002):إرسال حزمة IKE IPv4.

ISAKMP:(1002):حذف العقدة -830593317 خطأ السبب الكاذب "لا خطأ"

ISAKMP:(1002):العقدة 3464373979، الإدخال = IKE_MESG_FROM_PEER، IKE_QM_EXCH

ISAKMP:(1002):الحالة القديمة = IKE_QM_I_QM1 الحالة الجديدة = IKE_QM_PHASE2_COMPLETE

IPSec(key_engine): تم الحصول على حدث قائمة انتظار يحتوي على 1 رسالة (رسائل) KMI

crypto mapdb : proxy_match

src addr: 172.16.1.1

DST Addr: 172.16.10.1

البروتوكول: 47

منفذ src : 0

منفذ DST : 0

IPSec(crypto_ipsec_sa_find_ident_head): إعادة الاتصال بنفس الوكلاء والأقران 172.16.10.1

IPSec(policy_db_add_ident): src 172.16.1.1، dest 172.16.10.1، dest_port 0

IPSec(create_sa): تم إنشاء SA،

(sa) sa_dest= 172.16.1.1، sa_proto= 50،

sa_spi= 0x82c3e0c4(2193875140)،

sa_trans= esp-3des esp-sha-hmac، sa_conn_id= 3

sa_lifetime (k/sec)= (4499172/3600)

IPSec(create_sa): تم إنشاء SA،

(sa) sa_dest= 172.16.10.1، sa_proto= 50،

sa_spi= 0xDD2AC2B3(3710567091)،

sa_trans= esp-3des esp-sha-hmac، sa_conn_id= 4

sa_lifetime (k/sec)= (4499172/3600)

IPSec(update_current_outbound_sa): الحصول على تمكين نظير SA 172.16.10.1 الحالي الصادر إلى SPI DD2AC2B3

IPSec(update_current_outbound_sa): النظير المحدث 172.16.10.1 الحالي الصادر إلى SPI DD2AC2B3

IPSec(crypto_ipsec_update_ident_tunnel_decap_oce): تحديث Tunnel0 ID 94F2740 مع tun_decap_oce 794ED30

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى الطراز 961D220

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): tunnel_protection_socket_up

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): إرسال الإشارات NHRP

NHRP: انتقال الأولوية 0 لمجموعة NHS 10.1.1.254 Tunnel0 VRF 0 إلى 'E' من '

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى الطراز 961D220

NHRP: محاولة إرسال الحزمة عبر DEST 10.1.1.254

يرسل الصوت الرسالة الثالثة والأخيرة QM إلى الصرة، والتي تكمل تبادل QM. وعلى عكس بروتوكول ISAKMP حيث يمر كل نظير عبر كل حالة (من MM1 إلى MM6/P1_COMPLETE)، يختلف بروتوكول IPSec قليلا حيث لا يوجد سوى ثلاث رسائل بدلا من ست رسائل. ينتقل البادئ (الذي تحدثنا عنه في هذه الحالة، كما يدل على ذلك "I" في رسالة IKE_QM_i_QM1) من QM_READY، ثم إلى QM_I_QM1 مباشرة إلى QM_PHASE2_COMPLETE. ينتقل المستجيب (الموزع) إلى QM_READY و QM_SPI_STARVE و QM_R_QM2 و QM_PHASE2_COMPLETE.

يتم عرض رسالة إنشاء SA أخرى تحتوي على عناوين IP، SPIs، سمات التحويل، وعمر الكتابة بالكيلوبايت والثواني المتبقية.

تؤكد رسائل QM النهائية هذه أن "الوضع السريع" مكتمل وأن IPSec موجود على كلا جانبي النفق.

وعلى عكس بروتوكول ISAKMP حيث يمر كل نظير عبر كل حالة (من MM1 إلى MM6/P1_COMPLETE)، يختلف بروتوكول IPSec قليلا حيث لا يوجد سوى ثلاث رسائل بدلا من ست رسائل. المستجيب (محورنا في هذه الحالة، كما هو موضح بواسطة "R" في رسالة IKE_QM_R_QM1) يستخدم كلا من QM_READY و QM_SPI_STARVE و QM_R_QM2 و QM_PHASE2_COMPLETE. ينتقل البادئ (تكلم) من QM_READY، ثم إلى QM_I_QM1 مباشرة إلى QM_PHASE2_COMPLETE.

ISAKMP (1002): الحزمة المستلمة من 172.16.1.1 منفذ 500 Sport 500 Global (R) QM_Idle

ISAKMP:(1002):حذف العقدة -830593317 خطأ السبب الكاذب "QM تم (الانتظار)"

ISAKMP:(1002):العقدة 3464373979، الإدخال = IKE_MESG_FROM_PEER، IKE_QM_EXCH

ISAKMP:(1002):الحالة القديمة = IKE_QM_R_QM2 الحالة الجديدة = IKE_QM_PHASE2_COMPLETE

IPSec(key_engine): تم الحصول على حدث قائمة انتظار يحتوي على 1 رسالة (رسائل) KMI

IPSec(key_engine_enable_outbound): rec d تمكين الإعلام من ISAKMP

IPSec(key_engine_enable_outbound): تمكين SA باستخدام SPI 2193875140/50

IPSec(update_current_outbound_sa): الحصول على تمكين نظير SA 172.16.1.1 الحالي الصادر إلى SPI 82C3E0C4

IPSec(update_current_outbound_sa): النظير المحدث 172.16.1.1 الحالي الصادر إلى SPI 82C3E0C4

NHRP: إرسال طلب التسجيل عبر Tunnel0 vrf 0، حجم الحزمة: 108

SRC: 10.1.1.1، DST: 10.1.1.254

(و) الشبكة: IPv4(1)، النوع: IP(800)، الخطوة: 255، الإصدار: 1

SHTL: 4(NSAP)، SSTL: 0(NSAP)

PKTSZ: 108 إخراج: 52

(م) الأعلام: "NAT فريد"، المرجع: 65540

SRC NBMA: 172.16.1.1

بروتوكول SRC: 10.1.1.1، بروتوكول dst: 10.1.1.254

(C-1) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 7200

addr_len: 0(NSAP)، subaddr_len: 0(NSAP)، proto_len: 0، pref: 0

امتداد عنوان المستجيب (3):

ملحق سجل NHS للنقل الأمامي (4):

امتداد سجل NHS العكسي (5):

امتداد المصادقة(7):

النوع:ClearText(1)، Data&colon؛NHRBATH

امتداد عنوان NAT(9):

(C-1) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 0

addr_len: 4(NSAP)، subaddr_len: 0(NSAP)، proto_len: 4، pref: 0

عميل NBMA: 172.16.10.1

بروتوكول العميل: 10.1.1.254

هذه هي طلبات تسجيل NHRP التي تم إرسالها إلى الموزع في محاولة للتسجيل إلى NHS (الموزع). من الطبيعي أن نرى مضاعفات من هذه الأمور، حيث يواصل المتحدثون محاولة التسجيل لدى "NHS" إلى أن يستلم "ردا للتسجيل".

src،dst: مصدر النفق (يتحدث) وعناوين IP للوجهة (المحور). هذه هي مصدر حزمة GRE التي تم إرسالها بواسطة الموجه ووجهة هذه الحزمة

SRC nbma: عنوان NBMA (الإنترنت) للكلمة التي أرسلت هذه الحزمة وتحاول التسجيل مع NHS

بروتوكول SRC: عنوان النفق الخاص بالمتكلم الذي يحاول التسجيل

بروتوكول DST: عنوان النفق ل NHS/Hub

امتداد المصادقة، البيانات&colon؛ سلسلة مصادقة NHRP

عميل NBMA: عنوان NBMA الخاص ب NHS/Hub

بروتوكول العميل: عنوان النفق ل NHS/hub

معدل NHRP: إرسال طلب تسجيل أولي ل 10.1.1.254، reqid 65540

٪LINK-3-UPDOWN: Interface Tunnel0، تم تغيير الحالة إلى أعلى

NHRP: if_up: Tunnel0 proto 0

NHRP: Tunnel0: تحديث ذاكرة التخزين المؤقت للهدف 10.1.1.254/32 الخطوة التالية 10.1.1.254

172.16.10.1

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى الطراز 961D220

NHRP: محاولة إرسال الحزمة عبر DEST 10.1.1.254

المزيد من رسائل خدمة NHRP التي تقول إن طلب التسجيل الأولي أرسل إلى NHS في 10.1.1.254. هناك أيضا تأكيد على إضافة إدخال ذاكرة تخزين مؤقت إلى IP 10.1.1.254/24 النفق الذي يعيش في NBMA 172.16.10.1. والرسالة المؤجلة تقول ان النفق "لم يغلق" ترى هنا.

بروتوكول IPSec-IFC GRE/Tu0: النفق قادم

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى الطراز 961D220

IPSec-IFC GRE/Tu0: crypto_ss_listen_start بالفعل

IPSec-IFC GRE/Tu0: crypto_ss_listen_start بالفعل

IPSec-IFC GRE/TU0(172.16.1.1/172.16.10.1): فتح مقبس باستخدام ملف التعريف DMVPN-IPSec

IPSec-IFC GRE/Tu0(172.16.1.1/172.16.10.1): تم إرجاع البحث عن الاتصال إلى الطراز 961D220

IPSec-IFC GRE/TU0(172.16.1.1/172.16.10.1): المقبس مفتوح بالفعل. تجاهل.

٪Lineproto-5-updown: بروتوكول الخط في نفق الواجهة0، تم تغيير الحالة إلى أعلى

هذه هي رسائل خدمة IPSec العامة التي تقول إنها تعمل بشكل صحيح. هنا حيث يرى أخيرا أن بروتوكول النفق في الأعلى.

هذه هي طلبات تسجيل NHRP التي تم تلقيها من ال Talk في محاولة للتسجيل إلى NHS ( الصرة). من الطبيعي أن نرى مضاعفات من هذه الأمور، حيث يواصل المتحدثون محاولة التسجيل لدى "NHS" إلى أن يستلم "ردا للتسجيل".

SRC nbma: عنوان NBMA (الإنترنت) للكلمة التي أرسلت هذه الحزمة وتحاول التسجيل مع NHS

بروتوكول SRC: عنوان النفق الخاص بالمتكلم الذي يحاول التسجيل

بروتوكول DST: عنوان النفق ل NHS/Hub

امتداد المصادقة، البيانات&colon؛ سلسلة مصادقة NHRP

عميل NBMA: عنوان NBMA الخاص ب NHS/Hub

بروتوكول العميل: عنوان النفق ل NHS/hub

NHRP: إستلام طلب تسجيل عبر Tunnel0 vrf 0، حجم الحزمة: 108

(و) الشبكة: IPv4(1)، النوع: IP(800)، الخطوة: 255، الإصدار: 1

SHTL: 4(NSAP)، SSTL: 0(NSAP)

PKTSZ: 108 إخراج: 52

(م) الأعلام: "NAT فريد"، المرجع: 65540

SRC NBMA: 172.16.1.1

بروتوكول SRC: 10.1.1.1، بروتوكول dst: 10.1.1.254

(C-1) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 7200

addr_len: 0(NSAP)، subaddr_len: 0(NSAP)، proto_len: 0، pref: 0

امتداد عنوان المستجيب (3):

ملحق سجل NHS للنقل الأمامي (4):

امتداد سجل NHS العكسي (5):

امتداد المصادقة(7):

النوع:ClearText(1)، Data&colon؛NHRBATH

امتداد عنوان NAT(9):

(C-1) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 0

addr_len: 4(NSAP)، subaddr_len: 0(NSAP)، proto_len: 4، pref: 0

عميل NBMA: 172.16.10.1

بروتوكول العميل: 10.1.1.254

تتم إضافة حزم تصحيح أخطاء NHRP التي تضيف الشبكة الهدف 10.1.1.1/32 والمتوفرة عبر الخطوة التالية من 10.1.1.1 على NHRP من 172.16.1.1. كما تتم إضافة 172.16.1.1 إلى قائمة العناوين التي يرسل الصرة حركة مرور البث المتعدد إليها.

تؤكد هذه الرسائل نجاح التسجيل، كما تم حل عنوان النفق الفرعي.

NHRP: Netid_in = 1، to_us = 1

NHRP: Tunnel0: إضافة ذاكرة التخزين المؤقت للهدف 10.1.1.1/32 الخطوة التالية 10.1.1.1

172.16.1.1

NHRP: إضافة نقاط نهاية النفق (VPN: 10.1.1.1، NBMA: 172.16.1.1)

NHRP: تم إرفاق مجموعة NHRP الفرعية لنقاط نهاية النفق بنجاح (VPN: 10.1.1.1، NBMA: 172.16.1.1)

NHRP: عقدة الكتلة الفرعية المدخلة لذاكرة التخزين المؤقت: عقدة الكتلة الفرعية المدرجة للهدف لذاكرة التخزين المؤقت: الهدف 10.1.1.1/32nhop 10.1.1.1

NHRP: إدخال ذاكرة تخزين مؤقت ديناميكي داخلي محول ل 10.1.1.1/32 قارن Tunnel0 إلى خارجي

NHRP: Tu0: إنشاء تعيين متعدد البث ديناميكي NBMA: 172.16.1.1

NHRP: تعيين البث المتعدد الديناميكي المضاف ل NBMA: 172.16.1.1

NHRP: تحديث ذاكرة التخزين المؤقت الخاصة بنا باستخدام NBMA: 172.16.10.1، NBMA_ALT: 172.16.10.1

طول إلزامي جديد: 32

NHRP: محاولة إرسال الحزمة عبر DEST 10.1.1.1

NHRP: نجح NHRP في حل 10.1.1.1 إلى NBMA 172.16.1.1

NHRP: نجحت عملية التضمين.  Tunnel IP Addr 172.16.1.1

هذا هو "رد تسجيل NHRP" الذي تم إرساله بواسطة الموزع إلى المدون إستجابة ل "طلب تسجيل NHRP" الذي تم تلقيه في وقت سابق. مثل حزم التسجيل الأخرى، يرسل الصرة مضاعفات من هذا إستجابة للطلبات المتعددة.

src،dst: مصدر النفق (المحور) وعناوين IP للوجهة (المحادثة). هذه هي مصدر حزمة GRE التي تم إرسالها بواسطة الموجه ووجهة هذه الحزمة

SRC NBMA: عنوان NBMA (الإنترنت) للكلمة

بروتوكول SRC: عنوان النفق الخاص بالمتكلم الذي يحاول التسجيل

بروتوكول DST: عنوان النفق ل NHS/Hub

عميل NBMA: عنوان NBMA الخاص ب NHS/Hub

بروتوكول العميل: عنوان النفق ل NHS/hub

امتداد المصادقة، البيانات&colon؛ سلسلة مصادقة NHRP

NHRP: إرسال رد التسجيل عبر Tunnel0 vrf 0، حجم الحزمة: 128

SRC: 10.1.1.254، DST: 10.1.1.1

(و) الشبكة: IPv4(1)، النوع: IP(800)، الخطوة: 255، الإصدار: 1

SHTL: 4(NSAP)، SSTL: 0(NSAP)

PKTSZ: 128 وحدة إضافة: 52

(م) الأعلام: "NAT فريد"، المرجع: 65540

SRC NBMA: 172.16.1.1

بروتوكول SRC: 10.1.1.1، بروتوكول dst: 10.1.1.254

(C-1) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 7200

addr_len: 0(NSAP)، subaddr_len: 0(NSAP)، proto_len: 0، pref: 0

امتداد عنوان المستجيب (3):

(ج) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 7200

addr_len: 4(NSAP)، subaddr_len: 0(NSAP)، proto_len: 4، pref: 0

عميل NBMA: 172.16.10.1

بروتوكول العميل: 10.1.1.254

ملحق سجل NHS للنقل الأمامي (4):

امتداد سجل NHS العكسي (5):

امتداد المصادقة(7):

النوع:ClearText(1)، Data&colon؛NHRBATH

امتداد عنوان NAT(9):

(C-1) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 0

addr_len: 4(NSAP)، subaddr_len: 0(NSAP)، proto_len: 4، pref: 0

عميل NBMA: 172.16.10.1

بروتوكول العميل: 10.1.1.254

NHRP: إستلام رد التسجيل عبر Tunnel0 vrf 0، حجم الحزمة: 128

(و) الشبكة: IPv4(1)، النوع: IP(800)، الخطوة: 255، الإصدار: 1

SHTL: 4(NSAP)، SSTL: 0(NSAP)

PKTSZ: 128 وحدة إضافة: 52

(م) الأعلام: "NAT فريد"، المرجع: 65541

SRC NBMA: 172.16.1.1

بروتوكول SRC: 10.1.1.1، بروتوكول dst: 10.1.1.254

(C-1) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 7200

addr_len: 0(NSAP)، subaddr_len: 0(NSAP)، proto_len: 0، pref: 0

امتداد عنوان المستجيب (3):

(ج) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 7200

addr_len: 4(NSAP)، subaddr_len: 0(NSAP)، proto_len: 4، pref: 0

عميل NBMA: 172.16.10.1

بروتوكول العميل: 10.1.1.254

ملحق سجل NHS للنقل الأمامي (4):

امتداد سجل NHS العكسي (5):

امتداد المصادقة(7):

النوع:ClearText(1)، Data&colon؛NHRBATH

امتداد عنوان NAT(9):

(C-1) الرمز: لا خطأ(0)

البادئة: 32، mtu: 17912، hd_time: 0

addr_len: 4(NSAP)، subaddr_len: 0(NSAP)، proto_len: 4، pref: 0

عميل NBMA: 172.16.10.1

بروتوكول العميل: 10.1.1.254

NHRP: Netid_in = 0، to_us = 1

هذا هو "رد تسجيل NHRP" الذي تم إرساله بواسطة الموزع إلى المدون إستجابة ل "طلب تسجيل NHRP" الذي تم تلقيه في وقت سابق. مثل حزم التسجيل الأخرى، يرسل الصرة مضاعفات من هذا إستجابة للطلبات المتعددة.

SRC NBMA: عنوان NBMA (الإنترنت) للكلمة

بروتوكول SRC: عنوان النفق الخاص بالمتكلم الذي يحاول التسجيل

بروتوكول DST: عنوان النفق ل NHS/Hub

عميل NBMA: عنوان NBMA الخاص ب NHS/Hub

بروتوكول العميل: عنوان النفق ل NHS/hub

امتداد المصادقة، البيانات&colon؛ سلسلة مصادقة NHRP

رسائل خدمة IPSec أكثر عمومية تقول إنها تعمل بشكل صحيح.

IPSec-IFC MGRE/Tu0: crypto_ss_listen_start إستماع بالفعل

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): فتح مقبس باستخدام ملف التعريف DMVPN-IPSec

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): تم إرجاع البحث عن الاتصال 8C93888

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): المأخذ مفتوح بالفعل. تجاهل.

IPSec-IFC MGRE/Tu0(172.16.10.1/172.16.1.1): tunnel_protection_stop_pending_timer 8C93888

NHRP: NHS-Up: 10.1.1.254

رسائل خدمة NHRP التي تقول أن NHS الموجود في 10.1.1.254 قيد التشغيل.

رسالة النظام التي تشير إلى أن تجاور EIGRP يتم مع الجار الذي يتحدث في 10.1.1.1.

٪dual-5-nbrchange: EIGRP-IPv4 1: جار 10.1.1.1 (Tunnel0) قيد التشغيل: تجاور جديد

٪dual-5-nbrchange: EIGRP-IPv4 1: جار 10.1.1.254 (Tunnel0) جاهز: تجاور جديد

رسالة النظام التي تشير إلى أن تجاور EIGRP يتم مع الصرة المجاورة في 10.1.1.254.

رسالة النظام التي تؤكد حل NHRP الناجح.

NHRP: نجح NHRP في حل 10.1.1.1 إلى NBMA 172.16.1.1

تأكيد الوظيفة واستكشاف الأخطاء وإصلاحها

يتلقى هذا قسم بعض من أكثر عرض أمر مفيد يستعمل أن يتحرى على حد سواء الصرة ويتحدث. لتمكين تصحيح أخطاء أكثر تحديدا، أستخدم شروط تصحيح الأخطاء التالية:

- debug dmvpn condition peer nbma nbma_address

- debug dmvpn شرط peer tunnel_ADDRESS

- debug crypto condition peer ipV4 NBMA_ADDRESS

إظهار مقابس التشفير

Spoke1#show crypto sockets

Number of Crypto Socket connections 1

Tu0 Peers (local/remote): 172.16.1.1/172.16.10.1

Local Ident  (addr/mask/port/prot): (172.16.1.1/255.255.255.255/0/47)

Remote Ident (addr/mask/port/prot): (172.16.10.1/255.255.255.255/0/47)

IPSec Profile: "DMVPN-IPSEC"

Socket State: Open

Client: "TUNNEL SEC" (Client State: Active)

Crypto Sockets in Listen state:

Client: "TUNNEL SEC" Profile: "DMVPN-IPSEC" Map-name: "Tunnel0-head-0"

Hub#show crypto sockets

Number of Crypto Socket connections 1

Tu0 Peers (local/remote): 172.16.10.1/172.16.1.1

Local Ident  (addr/mask/port/prot): (172.16.10.1/255.255.255.255/0/47)

Remote Ident (addr/mask/port/prot): (172.16.1.1/255.255.255.255/0/47)

IPSec Profile: "DMVPN-IPSEC"

Socket State: Open

Client: "TUNNEL SEC" (Client State: Active)

Crypto Sockets in Listen state:

Client: "TUNNEL SEC" Profile: "DMVPN-IPSEC" Map-name: "Tunnel0-head-0"

عرض تفاصيل جلسة عمل التشفير

Spoke1#show crypto session detail

Crypto session current status

Code: C - IKE Configuration mode, D - Dead Peer Detection

K - Keepalives, N - NAT-traversal, T - cTCP encapsulation

X - IKE Extended Authentication, F - IKE Fragmentation

Interface: Tunnel0

Uptime: 00:01:01

Session status: UP-ACTIVE

Peer: 172.16.10.1 port 500 fvrf: (none) ivrf: (none)

Phase1_id: 172.16.10.1

Desc: (none)

IKEv1 SA: local 172.16.1.1/500 remote 172.16.10.1/500 Active

Capabilities:(none) connid:1001 lifetime:23:58:58

IPSEC FLOW: permit 47 host 172.16.1.1 host 172.16.10.1

Active SAs: 2, origin: crypto map

Inbound:  #pkts dec'ed 25 drop 0 life (KB/Sec) 4596087/3538

Outbound: #pkts enc'ed 25 drop 3 life (KB/Sec) 4596087/3538

Hub#show crypto session detail

Crypto session current status

Code: C - IKE Configuration mode, D - Dead Peer Detection

K - Keepalives, N - NAT-traversal, T - cTCP encapsulation

X - IKE Extended Authentication, F - IKE Fragmentation

Interface: Tunnel0

Uptime: 00:01:47

Session status: UP-ACTIVE

Peer: 172.16.1.1 port 500 fvrf: (none)

ivrf: (none)

Phase1_id: 172.16.1.1

Desc: (none)

IKEv1 SA: local 172.16.10.1/500 remote 172.16.1.1/500 Active

Capabilities:(none) connid:1001 lifetime:23:58:12

IPSEC FLOW: permit 47 host 172.16.10.1 host 172.16.1.1

Active SAs: 2, origin: crypto map

Inbound:  #pkts dec'ed 35 drop 0 life (KB/Sec) 4576682/3492

Outbound: #pkts enc'ed 35 drop 0 life (KB/Sec) 4576682/3492

show crypto isakmp sa detail

Spoke1#show crypto isakmp sa detail

Codes: C - IKE configuration mode, D - Dead Peer Detection

K - Keepalives, N - NAT-traversal

T - cTCP encapsulation, X - IKE Extended Authentication

psk - Preshared key, rsig - RSA signature

renc - RSA encryption

IPv4 Crypto ISAKMP SA

C-id  Local           Remote          I-VRF    Status Encr Hash Auth DH Lifetime Cap.

1001  172.16.1.1      172.16.10.1              ACTIVE 3des  sha  psk  1  23:59:10

Engine-id:Conn-id =  SW:1

IPv6 Crypto ISAKMP SA

Hub#show crypto isakmp sa detail

Codes: C - IKE configuration mode, D - Dead Peer Detection

K - Keepalives, N - NAT-traversal

T - cTCP encapsulation, X - IKE Extended Authentication

psk - Preshared key, rsig - RSA signature

renc - RSA encryption

IPv4 Crypto ISAKMP SA

C-id  Local           Remote          I-VRF    Status Encr Hash Auth DH Lifetime Cap.

1001  172.16.10.1     172.16.1.1               ACTIVE 3des sha  psk  1  23:58:20

Engine-id:Conn-id =  SW:1

IPv6 Crypto ISAKMP SA

عرض تفاصيل IPsec للتشفير

Spoke1#show crypto ipsec sa detail

interface: Tunnel0

Crypto map tag: Tunnel0-head-0, local addr 172.16.1.1

protected vrf: (none)

local  ident (addr/mask/prot/port): (172.16.1.1/255.255.255.255/47/0)

remote ident (addr/mask/prot/port): (172.16.10.1/255.255.255.255/47/0)

current_peer 172.16.10.1 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 24, #pkts encrypt: 24, #pkts digest: 24

#pkts decaps: 24, #pkts decrypt: 24, #pkts verify: 24

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#pkts no sa (send) 3, #pkts invalid sa (rcv) 0

#pkts encaps failed (send) 0, #pkts decaps failed (rcv) 0

#pkts invalid prot (recv) 0, #pkts verify failed: 0

#pkts invalid identity (recv) 0, #pkts invalid len (rcv) 0

#pkts replay rollover (send): 0, #pkts replay rollover (rcv) 0

##pkts replay failed (rcv): 0

#pkts internal err (send): 0, #pkts internal err (recv) 0

local crypto endpt.: 172.16.1.1, remote crypto endpt.: 172.16.10.1

path mtu 1500, ip mtu 1500, ip mtu idb Ethernet0/0

current outbound spi: 0xA259D71(170237297)

PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0x8D538D11(2371063057)

transform: esp-3des esp-sha-hmac ,

in use settings ={Transport,}

conn id: 1, flow_id: SW:1, sibling_flags 80000006,

crypto map: Tunnel0-head-0

sa timing: remaining key lifetime (k/sec): (4596087/3543)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xA259D71(170237297)

transform: esp-3des esp-sha-hmac ,

in use settings ={Transport, }

conn id: 2, flow_id: SW:2, sibling_flags 80000006,

crypto map: Tunnel0-head-0

sa timing: remaining key lifetime (k/sec): (4596087/3543)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE

outbound ah sas:

outbound pcp sas:

Hub#show crypto ipsec sa detail

interface: Tunnel0

Crypto map tag: Tunnel0-head-0, local addr 172.16.10.1

protected vrf: (none)

local  ident (addr/mask/prot/port): (172.16.10.1/255.255.255.255/47/0)

remote ident (addr/mask/prot/port): (172.16.1.1/255.255.255.255/47/0)

current_peer 172.16.1.1 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 34, #pkts encrypt: 34, #pkts digest: 34

#pkts decaps: 34, #pkts decrypt: 34, #pkts verify: 34

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#pkts no sa (send) 0, #pkts invalid sa (rcv) 0

#pkts encaps failed (send) 0, #pkts decaps failed (rcv) 0

#pkts invalid prot (recv) 0, #pkts verify failed: 0

#pkts invalid identity (recv) 0, #pkts invalid len (rcv) 0

#pkts replay rollover (send): 0, #pkts replay rollover (rcv) 0

##pkts replay failed (rcv): 0

#pkts internal err (send): 0, #pkts internal err (recv) 0

local crypto endpt.: 172.16.10.1, remote crypto endpt.: 172.16.1.1

path mtu 1500, ip mtu 1500, ip mtu idb Ethernet0/0

current outbound spi: 0x8D538D11(2371063057)

PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0xA259D71(170237297)

transform: esp-3des esp-sha-hmac ,

in use settings ={Transport, }

conn id: 1, flow_id: SW:1, sibling_flags 80000006,

crypto map: Tunnel0-head-0

sa timing: remaining key lifetime (k/sec): (4576682/3497)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0x8D538D11(2371063057)

transform: esp-3des esp-sha-hmac ,

in use settings ={Transport, }

conn id: 2, flow_id: SW:2, sibling_flags 80000006,

crypto map: Tunnel0-head-0

sa timing: remaining key lifetime (k/sec): (4576682/3497)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE

outbound ah sas:

outbound pcp sas:

show ip nhrp

Spoke1#show ip nhrp

10.1.1.254/32 via 10.1.1.254

Tunnel0 created 00:00:55, never expire

Type: static, Flags:

NBMA address: 172.16.10.1

Hub#show ip nhrp

10.1.1.1/32 via 10.1.1.1

Tunnel0 created 00:01:26, expire 01:58:33

Type: dynamic, Flags: unique registered

NBMA address: 172.16.1.1

عرض ip nhs

Spoke1#show ip nhrp nhs

Legend: E=Expecting replies, R=Responding, W=Waiting

Tunnel0:

10.1.1.254  RE priority = 0 cluster = 0

Hub#show ip nhrp nhs (As the hub is the only NHS for this DMVPN cloud,

it does not have any servers configured)

عرض dmvpn [تفصيل]

"show dmvpn detail" returns the output of show ip nhrp nhs, show dmvpn,

and show crypto session detail

Spoke1#show dmvpn

Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete

N - NATed, L - Local, X - No Socket

# Ent --> Number of NHRP entries with same NBMA peer

NHS Status: E --> Expecting Replies, R --> Responding, W --> Waiting

UpDn Time --> Up or Down Time for a Tunnel

==========================================================================

Interface: Tunnel0, IPv4 NHRP Details

Type:Spoke, NHRP Peers:1,

# Ent  Peer NBMA Addr Peer Tunnel Add State  UpDn Tm Attrb

----- --------------- --------------- ----- -------- -----

1     172.16.10.1      10.1.1.254    UP 00:00:39     S

Spoke1#show dmvpn detail

Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete

N - NATed, L - Local, X - No Socket

# Ent --> Number of NHRP entries with same NBMA peer

NHS Status: E --> Expecting Replies, R --> Responding, W --> Waiting

UpDn Time --> Up or Down Time for a Tunnel

==========================================================================

Interface Tunnel0 is up/up, Addr. is 10.1.1.1, VRF ""

Tunnel Src./Dest. addr: 172.16.1.1/172.16.10.1, Tunnel VRF ""

Protocol/Transport: "GRE/IP", Protect "DMVPN-IPSEC"

Interface State Control: Disabled

IPv4 NHS:

10.1.1.254  RE priority = 0 cluster = 0

Type:Spoke, Total NBMA Peers (v4/v6): 1

# Ent  Peer NBMA Addr Peer Tunnel Add State  UpDn Tm Attrb    Target Network

----- --------------- --------------- ----- -------- ----- -----------------

1    172.16.10.1      10.1.1.254    UP 00:00:41    S      10.1.1.254/32

Crypto Session Details:

--------------------------------------------------------------------------------

Interface: Tunnel0

Session: [0x08D513D0]

IKEv1 SA: local 172.16.1.1/500 remote 172.16.10.1/500 Active

Capabilities:(none) connid:1001 lifetime:23:59:18

Crypto Session Status: UP-ACTIVE

fvrf: (none), Phase1_id: 172.16.10.1

IPSEC FLOW: permit 47 host 172.16.1.1 host 172.16.10.1

Active SAs: 2, origin: crypto map

Inbound:  #pkts dec'ed 21 drop 0 life (KB/Sec) 4596088/3558

Outbound: #pkts enc'ed 21 drop 3 life (KB/Sec) 4596088/3558

Outbound SPI : 0x A259D71, transform : esp-3des esp-sha-hmac

Socket State: Open

Pending DMVPN Sessions:

Hub#show dmvpn

Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete

N - NATed, L - Local, X - No Socket

# Ent --> Number of NHRP entries with same NBMA peer

NHS Status: E --> Expecting Replies, R --> Responding, W --> Waiting

UpDn Time --> Up or Down Time for a Tunnel

==========================================================================

Interface: Tunnel0, IPv4 NHRP Details

Type:Hub, NHRP Peers:1,

# Ent  Peer NBMA Addr Peer Tunnel Add State  UpDn Tm Attrb

----- --------------- --------------- ----- -------- -----

1      172.16.1.1        10.1.1.1    UP 00:01:30     D

Hub#show dmvpn detail

Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete

N - NATed, L - Local, X - No Socket

# Ent --> Number of NHRP entries with same NBMA peer

NHS Status: E --> Expecting Replies, R --> Responding, W --> Waiting

UpDn Time --> Up or Down Time for a Tunnel

==========================================================================

Interface Tunnel0 is up/up, Addr. is 10.1.1.254, VRF ""

Tunnel Src./Dest. addr: 172.16.10.1/MGRE, Tunnel VRF ""

Protocol/Transport: "multi-GRE/IP", Protect "DMVPN-IPSEC"

Interface State Control: Disabled

Type:Hub, Total NBMA Peers (v4/v6): 1

# Ent  Peer NBMA Addr Peer Tunnel Add State  UpDn Tm Attrb    Target Network

----- --------------- --------------- ----- -------- ----- -----------------

1     172.16.1.1        10.1.1.1    UP 00:01:32    D        10.1.1.1/32

Crypto Session Details:

--------------------------------------------------------------------------------

Interface: Tunnel0

Session: [0x08A27858]

IKEv1 SA: local 172.16.10.1/500 remote 172.16.1.1/500 Active

Capabilities:(none) connid:1001 lifetime:23:58:26

Crypto Session Status: UP-ACTIVE

fvrf: (none), Phase1_id: 172.16.1.1

IPSEC FLOW: permit 47 host 172.16.10.1 host 172.16.1.1

Active SAs: 2, origin: crypto map

Inbound:  #pkts dec'ed 32 drop 0 life (KB/Sec) 4576682/3507

Outbound: #pkts enc'ed 32 drop 0 life (KB/Sec) 4576682/3507

Outbound SPI : 0x8D538D11, transform : esp-3des esp-sha-hmac

Socket State: Open

Pending DMVPN Sessions:

معلومات ذات صلة

- أستكشاف أخطاء IPsec وإصلاحها: فهم أوامر تصحيح الأخطاء واستخدامها

- تشفير الجيل التالي

- RFC3706: اكتشاف النظير الميت ل IKE

- المعيار RFC3947: إجتياز IKE NAT

- الدعم التقني والمستندات - Cisco Systems