IPSec - PIX إلى بطاقة برية لعميل Cisco VPN، تكوين وضع مشترك مسبقا مع مصادقة موسعة

خيارات التنزيل

PDF (647.9 KB)
عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
ePub (468.2 KB)
العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
Mobi (Kindle) (482.9 KB)
عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة

تم التحديث:٢٦ سبتمبر ٢٠٠٨

معرّف المستند:10967

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

الاصطلاحات

معلومات أساسية

التكوين

الرسم التخطيطي للشبكة

التكوينات

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

أوامر استكشاف الأخطاء وإصلاحها

نموذج تصحيح أخطاء PIX

تصحيح الأخطاء مع عميل VPN 4.x

تصحيح الأخطاء مع عميل VPN 1.1

معلومات ذات صلة

المقدمة

يوضح مثال التكوين هذا كيفية توصيل عميل VPN بجدار حماية PIX باستخدام بطاقات البدل، و mode-config، والأمر sysopt connection allowed-ipSec، والمصادقة الموسعة (Xauth).

للاطلاع على تكوين TACACS+ و RADIUS ل PIX 6.3 والإصدارات الأحدث، ارجع إلى TACACS+ و RADIUS لمثال تكوين PIX 6.3 و PIX/ASA 7.x.

يدعم عميل شبكة VPN معيار التشفير المتقدم (AES) كخوارزمية تشفير في الإصدار 3.6.1 من عميل Cisco VPN والإصدارات الأحدث ومع جدار حماية PIX 6.3. يدعم عميل الشبكة الخاصة الظاهرية (VPN) أحجام المفاتيح التي تبلغ 128 بت و 256 بت فقط. لمزيد من المعلومات حول كيفية تكوين AES، ارجع إلى كيفية تكوين عميل Cisco VPN إلى PIX باستخدام AES.

ارجع إلى PIX/ASA 7.x و Cisco VPN Client 4.x ل Windows مع مثال تكوين مصادقة Microsoft Windows 2003 IAS RADIUS لإعداد اتصال VPN للوصول عن بعد بين عميل Cisco VPN (4.x ل Windows) وجهاز الأمان PIX 500 Series 7.x باستخدام خادم RADIUS لخدمة مصادقة الإنترنت (IAS) ل Microsoft Windows 2003.

ارجع إلى IPsec بين مركز VPN 3000 وزبون VPN 4.x ل Windows باستخدام RADIUS لمصادقة المستخدم ومثال تكوين المحاسبة لإنشاء نفق IPsec بين مركز Cisco VPN 3000 وزبون Cisco VPN 4.x ل Windows باستخدام RADIUS لمصادقة المستخدم ومحاسبته.

ارجع إلى تكوين IPsec بين موجه Cisco IOS وعميل Cisco VPN 4.x ل Windows الذي يستخدم RADIUS لمصادقة المستخدم لتكوين اتصال بين موجه وعميل VPN 4.x من Cisco باستخدام RADIUS لمصادقة المستخدم.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

عميل شبكة VPN 4.x من Cisco. يحتوي هذا المنتج على ميزات VPN المتقدمة، بخلاف عميل VPN الآمن 1.x من Cisco.
PIX Firewall 515E، الإصدار 6.3(3).

ملاحظة: تخضع تكنولوجيا التشفير لضوابط التصدير. من مسؤوليتك معرفة القانون المتعلق بتصدير تقنية التشفير. لمزيد من المعلومات، ارجع إلى موقع ويب مكتب إدارة التصدير . إذا كانت لديك أية أسئلة تتعلق بالتحكم في التصدير، فيرجى إرسال بريد إلكتروني إلى موقع export@cisco.com.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

معلومات أساسية

يسمح الأمر sysopt connection allowed-ips ضمنيا لأي حزمة تأتي من نفق IPsec لتخطي التحقق من أمر access-list أو route أو access-group لاتصالات IPsec. يصادق Xauth مستخدم IPsec إلى خادم TACACS+ أو RADIUS خارجي. بالإضافة إلى المفتاح البري المشترك مسبقا، يجب على المستخدم توفير اسم مستخدم/كلمة مرور.

يستلم مستخدم لديه عميل VPN عنوان IP من ISP الخاص به. يتم إستبدال هذا بعنوان IP من تجمع عناوين IP على PIX. يمكن للمستخدم الوصول إلى كل شيء موجود بداخل جدار الحماية، بما في ذلك الشبكات. يمكن للمستخدمين الذين لا يشغلون عميل VPN الاتصال بخادم الويب فقط باستخدام العنوان الخارجي الذي يقدمه التعيين الثابت.

التكوين

في هذا القسم، تُقدّم لك معلومات تكوين الميزات الموضحة في هذا المستند.

ملاحظة: أستخدم أداة بحث الأوامر (للعملاء المسجلين فقط) للعثور على مزيد من المعلومات حول الأوامر المستخدمة في هذا المستند.

الرسم التخطيطي للشبكة

يستخدم هذا المستند إعداد الشبكة التالي:

ملاحظات الرسم التخطيطي للشبكة

تتم مصادقة مضيفي الإنترنت الذين يصلون إلى خادم الويب باستخدام عنوان IP العالمي 192.168.1.1 حتى في حالة عدم إنشاء اتصال VPN. لا يتم تشفير حركة المرور هذه.
يمكن لعملاء شبكة VPN الوصول إلى جميع الأجهزة المضيفة على الشبكة الداخلية (10.89.129.128 /25) بمجرد إنشاء نفق IPsec الخاص بهم. يتم تشفير جميع حركات المرور من عميل VPN إلى جدار حماية PIX. بدون نفق IPsec، لن يكون بإمكانهم الوصول إلى خادم الويب إلا من خلال عنوان IP العالمي الخاص به ولكن ما يزال مطلوبا للمصادقة.
يأتي عملاء VPN من الإنترنت ولا تعرف عناوين IP الخاصة بهم مسبقا.

التكوينات

يستخدم هذا المستند هذه التكوينات.

تكوين PIX 6.3(3)
تكوين عميل VPN 4.0.5
تكوين VPN Client 3.5
تكوين عميل VPN 1.1

تكوين PIX 6.3(3)
pixfirewall#show run : Saved : PIX Version 6.3(3) interface ethernet0 100full interface ethernet1 100full nameif ethernet0 outside security0 nameif ethernet1 inside security100 enable password 8Ry2YjIyt7RRXU24 encrypted passwd 2KFQnbNIdI.2KYOU encrypted hostname pixfirewall fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol tftp 69 names !--- Do not use Network Address Translation (NAT) for inside-to-pool !--- traffic. This should not go through NAT. access-list 101 permit ip 10.89.129.128 255.255.255.240 10.89.129.192 255.255.255.240 !--- Permits Internet Control Message Protocol (ICMP) !--- Transmission Control Protocol (TCP) and User Datagram Protocol (UDP) !--- traffic from any host on the Internet (non-VPN) to the web server. access-list 120 permit icmp any host 10.89.129.131 access-list 120 permit tcp any host 10.89.129.131 access-list 120 permit udp any host 10.89.129.131 pager lines 24 mtu outside 1500 mtu inside 1500 ip address outside 192.168.1.1 255.255.255.0 ip address inside 10.89.129.194 255.255.255.240 ip audit info action alarm ip audit attack action alarm !--- Specifies the inside IP address range to be assigned !--- to the VPN Clients. ip local pool VPNpool 10.89.129.200-10.89.129.204 no failover failover timeout 0:00:00 failover poll 15 no failover ip address outside no failover ip address inside pdm history enable arp timeout 14400 !--- Defines a pool of global addresses to be used by NAT. global (outside) 1 192.168.1.6-192.168.1.10 nat (inside) 0 access-list 101 nat (inside) 1 0.0.0.0 0.0.0.0 0 0 !--- Specifies which outside IP address to apply to the web server. static (inside,outside) 192.168.1.11 10.89.129.131 netmask 255.255.255.255 0 0 !--- Apply ACL 120 to the outside interface in the inbound direction. access-group 120 in interface outside !--- Defines a default route for the PIX. route outside 0.0.0.0 0.0.0.0 192.168.1.3 1 !--- Defines a route for traffic within the PIX's !--- subnet to reach other inside hosts. route inside 10.89.129.128 255.255.255.128 10.89.129.193 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server RADIUS protocol radius aaa-server LOCAL protocol local !--- Authentication, authorization, and accounting (AAA) statements !--- for authentication. !--- Use either of these statements to define the protocol of the group AuthInbound. !--- You cannot use both. aaa-server AuthInbound protocol tacacs+ !--- OR aaa-server AuthInbound protocol radius !--- After you define the protocol of the group AuthInbound, define !--- a server of the same type. !--- In this case we specify the TACACS+ server and key of "secretkey". aaa-server AuthInbound (inside) host 10.89.129.134 secretkey timeout 10 !--- Authenticate HTTP, FTP, and Telnet traffic to the web server. aaa authentication include http outside 10.89.129.131 255.255.255.255 0.0.0.0 0.0.0.0 AuthInbound aaa authentication include ftp outside 10.89.129.131 255.255.255.255 0.0.0.0 0.0.0.0 AuthInbound aaa authentication include telnet outside 10.89.129.131 255.255.255.255 0.0.0.0 0.0.0.0 AuthInbound no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable !--- Trust IPsec traffic and avoid going through ACLs/NAT. sysopt connection permit-ipsec !--- IPsec and dynamic map configuration. crypto ipsec transform-set myset esp-des esp-md5-hmac crypto dynamic-map dynmap 10 set transform-set myset crypto map mymap 10 ipsec-isakmp dynamic dynmap !--- Assign IP address for VPN 1.1 Clients. crypto map mymap client configuration address initiate crypto map mymap client configuration address respond !--- Use the AAA server for authentication (AuthInbound). crypto map mymap client authentication AuthInbound !--- Apply the IPsec/AAA/ISAKMP configuration to the outside interface. crypto map mymap interface outside isakmp enable outside !--- Pre-shared key for VPN 1.1 Clients. isakmp key ******** address 0.0.0.0 netmask 0.0.0.0 isakmp identity address !--- Assign address from "VPNpool" pool for VPN 1.1 Clients. isakmp client configuration address-pool local VPNpool outside !--- ISAKMP configuration for VPN Client 3.x/4.x. isakmp policy 10 authentication pre-share isakmp policy 10 encryption des isakmp policy 10 hash md5 isakmp policy 10 group 2 isakmp policy 10 lifetime 86400 !--- ISAKMP configuration for VPN Client 1.x. isakmp policy 20 authentication pre-share isakmp policy 20 encryption des isakmp policy 20 hash md5 isakmp policy 20 group 1 isakmp policy 20 lifetime 86400 !--- Assign addresses from "VPNpool" for VPN Client 3.x/4.x. vpngroup vpn3000 address-pool VPNpool vpngroup vpn3000 idle-time 1800 !--- Group password for VPN Client 3.x/4.x (not shown in configuration). vpngroup vpn3000 password ******** telnet timeout 5 ssh timeout 5 console timeout 0 terminal width 80 Cryptochecksum:ba54c063d94989cbd79076955dbfeefc : end pixfirewall#

تكوين PIX 6.3(3)

pixfirewall#show run
: Saved
:
PIX Version 6.3(3)
interface ethernet0 100full
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names

!--- Do not use Network Address Translation (NAT) for inside-to-pool !--- traffic. This should not go through NAT.

access-list 101 permit ip 10.89.129.128 255.255.255.240 10.89.129.192 255.255.255.240

!--- Permits Internet Control Message Protocol (ICMP) !--- Transmission Control Protocol (TCP) and User Datagram Protocol (UDP) !--- traffic from any host on the Internet (non-VPN) to the web server.

access-list 120 permit icmp any host 10.89.129.131
access-list 120 permit tcp any host 10.89.129.131
access-list 120 permit udp any host 10.89.129.131

pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside 192.168.1.1 255.255.255.0
ip address inside 10.89.129.194 255.255.255.240
ip audit info action alarm
ip audit attack action alarm

!--- Specifies the inside IP address range to be assigned !--- to the VPN Clients.

ip local pool VPNpool 10.89.129.200-10.89.129.204
no failover
failover timeout 0:00:00
failover poll 15
no failover ip address outside
no failover ip address inside
pdm history enable
arp timeout 14400

!--- Defines a pool of global addresses to be used by NAT.

global (outside) 1 192.168.1.6-192.168.1.10

nat (inside) 0 access-list 101
nat (inside) 1 0.0.0.0 0.0.0.0 0 0

!--- Specifies which outside IP address to apply to the web server.

static (inside,outside) 192.168.1.11 10.89.129.131 netmask 255.255.255.255 0 0

!--- Apply ACL 120 to the outside interface in the inbound direction.

access-group 120 in interface outside

!--- Defines a default route for the PIX.

route outside 0.0.0.0 0.0.0.0 192.168.1.3 1

!--- Defines a route for traffic within the PIX's !--- subnet to reach other inside hosts.

route inside 10.89.129.128 255.255.255.128 10.89.129.193 1

timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local


!--- Authentication, authorization, and accounting (AAA) statements !--- for authentication. !--- Use either of these statements to define the protocol of the group AuthInbound. !--- You cannot use both. 
aaa-server AuthInbound protocol tacacs+


!--- OR

aaa-server AuthInbound protocol radius


!--- After you define the protocol of the group AuthInbound, define !--- a server of the same type. !--- In this case we specify the TACACS+ server and key of "secretkey".

aaa-server AuthInbound (inside) host 10.89.129.134 secretkey timeout 10


!--- Authenticate HTTP, FTP, and Telnet traffic to the web server.

aaa authentication include http outside 
10.89.129.131 255.255.255.255 0.0.0.0 0.0.0.0 AuthInbound

aaa authentication include ftp outside
 10.89.129.131 255.255.255.255 0.0.0.0 0.0.0.0 AuthInbound

aaa authentication include telnet outside 
10.89.129.131 255.255.255.255 0.0.0.0 0.0.0.0 AuthInbound

no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable

!--- Trust IPsec traffic and avoid going through ACLs/NAT.

sysopt connection permit-ipsec

!--- IPsec and dynamic map configuration.

crypto ipsec transform-set myset esp-des esp-md5-hmac
crypto dynamic-map dynmap 10 set transform-set myset
crypto map mymap 10 ipsec-isakmp dynamic dynmap

!--- Assign IP address for VPN 1.1 Clients.

crypto map mymap client configuration address initiate
crypto map mymap client configuration address respond

!--- Use the AAA server for authentication (AuthInbound).

crypto map mymap client authentication AuthInbound

!--- Apply the IPsec/AAA/ISAKMP configuration to the outside interface.

crypto map mymap interface outside
isakmp enable outside

!--- Pre-shared key for VPN 1.1 Clients.

isakmp key ******** address 0.0.0.0 netmask 0.0.0.0
isakmp identity address

!--- Assign address from "VPNpool" pool for VPN 1.1 Clients.

isakmp client configuration address-pool local VPNpool outside

!--- ISAKMP configuration for VPN Client 3.x/4.x.

isakmp policy 10 authentication pre-share
isakmp policy 10 encryption des
isakmp policy 10 hash md5
isakmp policy 10 group 2
isakmp policy 10 lifetime 86400

!--- ISAKMP configuration for VPN Client 1.x.

isakmp policy 20 authentication pre-share
isakmp policy 20 encryption des
isakmp policy 20 hash md5
isakmp policy 20 group 1
isakmp policy 20 lifetime 86400

!--- Assign addresses from "VPNpool" for VPN Client 3.x/4.x.

vpngroup vpn3000 address-pool VPNpool

vpngroup vpn3000 idle-time 1800


!--- Group password for VPN Client 3.x/4.x (not shown in configuration).

vpngroup vpn3000 password ********
telnet timeout 5
ssh timeout 5
console timeout 0
terminal width 80
Cryptochecksum:ba54c063d94989cbd79076955dbfeefc
: end
pixfirewall#

تكوين عميل VPN 4.0.5

أكمل هذه الخطوات لتكوين عميل VPN 4.0.5.

حدد Start (البدء) > Programs (البرامج) > Cisco Systems VPN Client (عميل الشبكة الخاصة الظاهرية (VPN) من Cisco.
انقر على جديد لتشغيل الإطار "إنشاء اتصال VPN جديد".
أدخل اسم "إدخال الاتصال" مع وصف. أدخل عنوان IP الخارجي لجدار حماية PIX في مربع المضيف. ثم أدخل اسم مجموعة VPN وكلمة المرور وانقر على حفظ.
من الإطار الرئيسي لعميل شبكة VPN، انقر على الاتصال الذي تريد إستخدامه وانقر فوق زر الاتصال.
عندما يطلب منك، أدخل معلومات اسم المستخدم وكلمة المرور ل Xauth وانقر موافق للاتصال بالشبكة البعيدة.

تكوين VPN Client 3.5

أتمت هذا steps أن يشكل ال VPN زبون 3،5 تشكيل.

حدد Start (ابدأ) > Programs (برامج) > Cisco Systems VPN Client (عميل الشبكة الخاصة الظاهرية (VPN) من Cisco>طالب الشبكة الخاصة الظاهرية (VPN).
انقر على جديد لتشغيل معالج "إدخال اتصال جديد".
أدخل اسم إدخال الاتصال الجديد وانقر فوق التالي.
أدخل اسم المضيف أو عنوان IP الخاص بالخادم الذي يتم إستخدامه للاتصال بالخادم البعيد وانقر فوق التالي.
حدد معلومات الوصول إلى المجموعة وأدخل الاسم وكلمة المرور المستخدمين لمصادقة الوصول إلى الخادم البعيد. انقر فوق Next (التالي).
انقر فوق إنهاء لحفظ الإدخال الجديد.
حدد "إدخال الاتصال" في المتصل وانقر فوق توصيل.
عندما يطلب منك، أدخل معلومات اسم المستخدم وكلمة المرور ل Xauth وانقر موافق للاتصال بالشبكة البعيدة.

تكوين عميل VPN 1.1
Network Security policy: 1- TACconn My Identity Connection security: Secure Remote Party Identity and addressing ID Type: IP subnet 10.89.129.128 255.255.255.128 Port all Protocol all Connect using secure tunnel ID Type: IP address 192.168.1.1 Pre-shared Key=cisco1234 Authentication (Phase 1) Proposal 1 Authentication method: pre-shared key Encryp Alg: DES Hash Alg: MD5 SA life: Unspecified Key Group: DH 1 Key exchange (Phase 2) Proposal 1 Encapsulation ESP Encrypt Alg: DES Hash Alg: MD5 Encap: tunnel SA life: Unspecified no AH 2- Other Connections Connection security: Non-secure Local Network Interface Name: Any IP Addr: Any Port: All

تكوين عميل VPN 1.1

Network Security policy: 
 1- TACconn
     My Identity
          Connection security: Secure
          Remote Party Identity and addressing
          ID Type: IP subnet
          10.89.129.128
          255.255.255.128
          Port all Protocol all


     Connect using secure tunnel

          ID Type: IP address
          192.168.1.1


     Pre-shared Key=cisco1234


     Authentication (Phase 1)

     Proposal 1
         Authentication method: pre-shared key
         Encryp Alg: DES
         Hash Alg: MD5
         SA life: Unspecified
         Key Group: DH 1

     Key exchange (Phase 2)

     Proposal 1
         Encapsulation ESP
         Encrypt Alg: DES
         Hash Alg: MD5
         Encap: tunnel
         SA life: Unspecified
         no AH

 2- Other Connections
        Connection security: Non-secure
        Local Network Interface
          Name: Any
          IP Addr: Any
          Port: All

إضافة محاسبة

صياغة الأمر لإضافة عملية محاسبة هي:

aaa accounting include acctg_service
   inbound|outbound l_ip l_mask [f_ip f_mask] server_tag

على سبيل المثال، في تكوين PIX، تتم إضافة هذا الأمر:

aaa accounting include any inbound 
0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 AuthInbound

ملاحظة: يعد الأمر sysopt connection permit-ipPSec، وليس الأمر sysopt ips pl المتوافق، ضروريا لكي تعمل محاسبة Xauth. لا تعمل محاسبة Xauth مع الأمر sysopt ipSec المتوافق مع pl فقط. تعتبر محاسبة Xauth صالحة لاتصالات TCP، وليس ICMP أو UDP.

هذا الإخراج هو مثال لسجلات محاسبة TACACS+:

07/27/2004 15:17:54 cisco_customer Default Group 10.89.129.200 stop 15 .. 99 1879 .. .. 
   0x5 .. PIX 10.89.129.194 telnet 
07/27/2004 15:17:39 cisco_customer Default Group 10.89.129.200 start .. .. .. .. .. .. 
   0x5 .. PIX 10.89.129.194 telnet

التحقق من الصحة

استخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

تدعم أداة مترجم الإخراج (للعملاءالمسجلين فقط) بعض أوامر show. استخدم أداة مترجم الإخراج (OIT) لعرض تحليل مُخرَج الأمر show .

ملاحظة: ارجع إلى معلومات مهمة حول أوامر التصحيح قبل إستخدام أوامر debug.

قم بتمكين عارض السجل الآمن من Cisco لعرض تصحيح أخطاء جانب العميل.

debug crypto ipSec—يستخدم لعرض مفاوضات IPsec الخاصة بالمرحلة 2.
debug crypto isakmp—يستخدم للاطلاع على مفاوضات ISAKMP الخاصة بالمرحلة 1.