تصحيح أخطاء ASA IPsec و IKE (الوضع الرئيسي IKEv1) أستكشاف أخطاء TechNote وإصلاحها

خيارات التنزيل

  • PDF     (385.9 KB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (95.7 KB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (102.9 KB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:١٤ مارس ٢٠١٦
معرّف المستند:113574

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يصف هذا المستند تصحيح الأخطاء على جهاز الأمان القابل للتكيف (ASA) عند إستخدام كل من الوضع الرئيسي والمفتاح المشترك مسبقا (PSK). تتم أيضا مناقشة ترجمة بعض سطور تصحيح الأخطاء إلى التكوين.

تتضمن المواضيع التي لم تتم مناقشتها في هذا المستند حركة مرور البيانات بعد إنشاء النفق والمفاهيم الأساسية لتبادل مفتاح الإنترنت (IKE) أو IPsec.

المتطلبات الأساسية

المتطلبات

يجب أن يكون لدى قراء هذا المستند معرفة بالمواضيع التالية.

  • PSK

  • آيك

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات المكونات المادية والبرامج التالية:

  • Cisco ASA 9.3.2

  • الموجهات التي تعمل بنظام التشغيل Cisco IOS®، الإصدار 12.4T

مسألة أساسية

تكون عمليات تصحيح أخطاء IKE و IPsec مشفرة في بعض الأحيان، ولكن يمكنك إستخدامها لفهم موقع مشكلة إنشاء نفق VPN IPsec.

سيناريو

عادة ما يتم إستخدام الوضع الرئيسي بين أنفاق الشبكة المحلية (LAN) إلى الشبكة المحلية (LAN) أو، في حالة الوصول عن بعد (EzVPN)، عند إستخدام الشهادات للمصادقة.

يأتي تصحيح الأخطاء من نقطتي ASAs اللتين تشغلان الإصدار 9.3.2 من البرنامج. سيشكل الجهازان نفق من شبكة LAN إلى شبكة LAN.

ويصف سيناريوهان رئيسيان:

  • ASA كبادئ ل IKE
  • ASA كمستجيب ل IKE

أوامر التصحيح المستخدمة

debug crypto ikev1 127

debug crypto ipSec 127

تكوين ASA

تكوين IPsec:

crypto ipsec transform-set TRANSFORM esp-aes esp-sha-hmac
crypto map MAP 10 match address VPN
crypto map MAP 10 set peer 10.0.0.2
crypto map MAP 10 set transform-set TRANSFORM
crypto map MAP 10 set reverse-route
crypto map MAP interface outside
crypto isakmp enable outside
crypto isakmp policy 10
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 86400
tunnel-group 10.0.0.2 type ipsec-l2l
tunnel-group 10.0.0.2 ipsec-attributes 
 pre-shared-key cisco
access-list VPN extended permit tcp 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
access-list VPN extended permit icmp 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
[an error occurred while processing this directive]

تكوين IP:

ciscoasa# 
show ip
 

System IP Addresses:

Interface                   Name     IP address       Subnet mask     Method

GigabitEthernet0/0       inside     192.168.1.1     255.255.255.0   manual
GigabitEthernet0/1       outside   10.0.0.1          255.255.255.0   manual

Current IP Addresses:

Interface                   Name      IP address     Subnet mask     Method

GigabitEthernet0/0       inside     192.168.1.1    255.255.255.0   manual
GigabitEthernet0/1       outside   10.0.0.1         255.255.255.0   manual
[an error occurred while processing this directive]

تشكيل nat:

object network INSIDE-RANGE
 subnet 192.168.1.0 255.255.255.0
object network FOREIGN_NETWORK
 subnet 192.168.2.0 255.255.255
nat (inside,outside) source static INSIDE-RANGE INSIDE-RANGE destination static 
 FOREIGN_NETWORK FOREIGN_NETWORK no-proxy-arp route-lookup
[an error occurred while processing this directive]

تصحيح الأخطاء

وصف رسالة البادئ

تصحيح الأخطاء

وصف رسالة المستجيب

يبدأ تبادل الوضع الرئيسي؛ لم يتم مشاركة أي سياسات، ولا يزال الأقران في MM_NO_STATE.

كبادئ، يبدأ ASA في بناء الحمولة.

[تصحيح أخطاء IKEv1]: Pitcher: تم تلقي رسالة اكتساب مفتاح، spi 0x0
IPSec(crypto_map_check)-3: البحث عن تطابق خريطة التشفير مع 5 مجموعات: prot=1، saddr=192.168.1.2، sport=2816، daddr=192.168.2.1، dport=2816
IPSec(crypto_map_check)-3: التحقق من خريطة التشفير 10: المتطابق.
[IKEv1]: IP = 10.0.0.2، بادئ IKE: المرحلة الجديدة 1، Intf داخلي، عنوان الوكيل المحلي ل IKE Peer 10.0.0.2، عنوان الوكيل البعيد 192.168.1.0، خريطة التشفير (MAP)

التركيب MM1

هذه العمليةنكلودز الأولالمقترح القومي لمعهد الطاقة الدولية ونظام الطاقةبائعو NAT-T مدعومون.

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة ISAKMP SA [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة NAT-Traversal VID ver 02
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة NAT-Traversal VID الإصدار 03
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة NAT-Traversal vid ver RFC
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء VID التجزئة + حمولة القدرات الموسعة 

إرسال MM1.

[IKEv1]: IP = 10.0.0.2، IKE_Decode Send Message (msgid=0) مع الحمولات : HDR + SA (1) + المورد (13) + المورد (13) + المورد (13) + المورد (13) + لا شيء (0) الطول الإجمالي : 168

=================================================================>

[IKEv1]: IP = 10.0.0.2، IKE_Decode Receive Message (msgid=0) with payload: HDR + SA (1) + Vendor (13) + Vendor (13) + Vendor (13) + Vendor (13) + None (0) الطول الإجمالي : 164

تم تلقي MM1 من البادئ.

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة SA

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، مقترح Oakley مقبول
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تم تلقي NAT-Traversal RFC VID

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تم تلقي NAT-Traversal ver 03 VID
  [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تم تلقي NAT-Traversal ver 02 VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة IKE SA

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، مقترح IKE SA # 1، تحويل # 1 تطابق مقبول لإدخال IKE العالمي # 2

معالجة MM1.

تبدأ مقارنة سياسات ISAKMP/IKE.

يعلن النظير البعيد أنه يمكنه إستخدام NAT-T.

التكوين ذي الصلة:
سياسة ISAKMP 10 للتشفير

مشاركة مسبقة للمصادقة

تشفير 3des

حاش شعبان

المجموعة الثانية

مدى الحياة 86400

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة ISAKMP SA
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة NAT-Traversal VID الإصدار 02
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء VID التجزئة + حمولة القدرات الموسعة

بناء MM2.

في هذه الرسالة، يحدد المستجيب أي إعدادات نهج ISAKMP سيتم إستخدامها.  كما تعلن عن إصدارات NAT-T التي يمكنها إستخدامها.

  [IKEv1]: IP = 10.0.0.2، IKE_Decode Send Message (msgid=0) مع الحمولات : HDR + SA (1) + المورد (13) + المورد (13) + لا شيء (0) الطول الإجمالي : 128

إرسال MM2.

<=========================================================================

تم تلقي MM2 من المستجيب.

[IKEv1]: IP = 10.0.0.2، IKE_Decode Receive Message (msgid=0) مع الحمولات: HDR + SA (1) + Vendor (13) + None (0) الطول الإجمالي : 104

معالجة MM2.

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة SA
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، مقترح Oakley مقبول
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تم تلقي NAT-Traversal RFC VID

التركيب MM3.

هذه العمليةنكلودزحمولات اكتشاف NAT،  Diffie-حمولة تبادل مفتاح Hellman (DH) (KE) (iوحدة التحكم التي تتضمن g و p و a إلى وحدة الاستجابة)، و دعم DPD.

نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة ke
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة nonce
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة Cisco Unity VID
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة VID في الإصدار السادس من بروتوكول الإنترنت (UVID)
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إرسال IOS VID
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة معرف مورد ASA المنتحال IOS (الإصدار 1.0.0، القدرات: 2000001)
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة VID
نوفمبر 30:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إرسال Altiga/Cisco VPN3000/Cisco ASA GW VID
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة NAT-Discovery
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تجزئة اكتشاف NAT للحوسبة
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة NAT-Discovery
نوفمبر 30 10:38:29 [تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تجزئة اكتشاف NAT للحوسبة

إرسال MM3.

[IKEv1]: IP = 10.0.0.2، IKE_Decode Send Message (msgid=0) مع الحمولات : HDR + KE (4) + NONCE (10) + المورد (13) + المورد (13) + المورد (13) + المورد (13) + NAT-D (20) + NAT-D (20) + NAT-D (20) + لا شيء (0) الطول الكلي : 304

===========================mm3==============================>

[IKEv1]: IP = 10.0.0.2، IKE_Decode تم إستلام الرسالة (msgid=0) مع الحمولات : HDR + KE (4) + NONCE (10) + المورد (13) + المورد (13) + NAT-D (130) + NAT-D (130) + NAT-D (130) + لا شيء (0) إجمالي الطول : 284 :

تم تلقي MM3 من البادئ.

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة ke
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة ISA_KE
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة الحمولة مرة واحدة
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، DPD مستلم VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة معرف المورد IOS/PIX (الإصدار: 1.0.0، القدرات: 0000f6f)
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، XAUTH V6 VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة NAT-Discovery
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تجزئة اكتشاف NAT للحوسبة
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة NAT-Discovery

معالجة MM3.

من المستجيب لحمولات NAT-D يكون قادرا على تحديد ما إذا كان فالداخل خلف NAT و إذا المستجيب وراء NAT.

من DH KE، يحصل المستجيب للحمولة على قيم p، g و a.

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تجزئة اكتشاف NAT للحوسبة
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة ke
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة nonce
[IKEv1 debug]: IP = 10.0.0.2، إنشاء حمولة Cisco Unity VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة XAUTH V6 VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، Send IOS VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة معرف مورد ASA المنتحلة IOS (الإصدار: 1.0.0، القدرات: 2000001)
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إرسال Altiga/Cisco VPN3000/Cisco ASA GW VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة NAT-Discovery
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تجزئة اكتشاف NAT للحوسبة
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، إنشاء حمولة NAT-Discovery
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تجزئة اكتشاف NAT للحوسبة

التركيب MM4.

هذه العمليةنكلودز حمولة اكتشاف NAT، DH KE rESPONDER يلد "B" و"s" (يرسل "B" إلى InAtor)، و DPD VID.

[IKEv1]: IP = 10.0.0.2، تم تنزيل الاتصال على tunnel_group 10.0.0.2
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، يتم الآن إنشاء مفاتيح للمستجيب...

يقترن النظير بمجموعة نفق 10.0.0.2 L2L، ويتم إنشاء مفاتيح التشفير والتجزئة من "s" أعلاه والمفتاح المشترك مسبقا.

[IKEv1]: IP = 10.0.0.2، IKE_Decode Send Message (msgid=0) مع الحمولات : HDR + KE (4) + NONCE (10) + المورد (13) + المورد (13) + المورد (13) + NAT-D (130) + NAT-D (130) + NAT-D (130) + لا شيء (0) إجمالي الطول : 304

إرسال MM4.

<========================mm4============================

تم تلقي MM4 من المستجيب.

[IKEv1]: IP = 10.0.0.2، IKE_Decode Receive Message (msgid=0) مع الحمولات : HDR + KE (4) + NONCE (10) + المورد (13) + المورد (13) + المورد (13) + NAT-D (20) + NAT-D (20) + NAT-D (20) + لا شيء (0) إجمالي الطول : 304

معالجة MM4.

من حمولات NAT-D، يمكن الآن للمصدر تحديد ما إذا اللا هو ورا نت وازا الل المستجيب وراء NAT.


من DH KE، iيتلقى البرنامج "B" ويمكنه الآن توليد "S".

[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة IKE
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة ISA_KE
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة الحمولة مرة واحدة
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[IKEv1 debug]: IP = 10.0.0.2، تم إستلام Cisco Unity Client VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، DPD مستلم VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة معرف المورد IOS/PIX (الإصدار: 1.0.0، القدرات: 0000f7f)
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، XAUTH V6 VID
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة NAT-Discovery
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تجزئة اكتشاف NAT للحوسبة
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، معالجة حمولة NAT-Discovery
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، تجزئة اكتشاف NAT للحوسبة

يقترن النظير بمجموعة النفق 10.0.0.2 L2L، ويقوم المسؤول بإنشاء التشفير ومفاتيح التجزئة باستخدام "S" أعلاه والمفتاح المشترك مسبقا.

[IKEv1]: IP = 10.0.0.2، تم تنزيل الاتصال على tunnel_group 10.0.0.2

[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء مفاتيح للبادئ..

التركيب MM5.

التكوين ذي الصلة:

 هوية ISAKMP المشفرة

[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة المعرف
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة التجزئة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، تجزئة الحوسبة ل ISAKMP
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، يتم الآن إنشاء IOS الاحتفاظ بالحمولة على قيد الحياة: المقترح=32767/32767 sec.
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة DPD vid

إرسال MM5.

[IKEv1]: IP = 10.0.0.2، IKE_Decode Send Message (msgid=0) مع الحمولات : HDR + ID (5) + HASH (8) + IOS Keepalive (128) + المورد (13) + لا شيء (0) الطول الإجمالي : 96

=======================mm5=================================>

المستجيب ليس وراء أي nat. لا يتطلب NAT-T.

[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حالة الكشف التلقائي عن nat: الطرف البعيد ليس خلف جهاز nat هذا الطرف ليس خلف جهاز nat

[IKEv1]: IP = 10.0.0.2، IKE_Decode Receive Message (msgid=0) مع الحمولات : HDR + ID (5) + HASH (8) + NONE (0) الطول الإجمالي : 64

تم تلقي MM5 من البادئ.

هذه العمليةنكلودز rمعرف النظير (ID) و Cالهبوط الاضطراري في مجموعه نفق معينه.

[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حمولة معرف المعالجة
[IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، ID_IPv4_ADDR ID الذي تم إستلامه
10.0.0.2
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة التجزئة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، تجزئة الحوسبة ل ISAKMP
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة الإعلام
[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، NAT تلقائي

[IKEv1]: IP = 10.0.0.2، تم تنزيل الاتصال على tunnel_group 10.0.0.2 

معالجة MM5.

تبدأ المصادقة بالمفاتيح المشتركة مسبقا الآن.

تحدث المصادقة على كلا النظرين؛ وبالتالي، سترى مجموعتين من عمليات المصادقة المطابقة.

التكوين ذي الصلة:
نوع مجموعة النفق 10.0.0.2 ipSEC-l2l

 حالة الكشف: الطرف البعيد ليس خلف جهاز nat هذه النهاية ليست خلف جهاز nat

لا NAT-T مطلوب في هذه الحالة.

[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة المعرف
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة التجزئة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، تجزئة الحوسبة ل ISAKMP
[تصحيح أخطاء IKEv1]: IP = 10.0.0.2، يتم الآن إنشاء IOS الاحتفاظ بالحمولة على قيد الحياة: المقترح=32767/32767 sec.
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة DPD vid

التركيب MM6.

إرسال الهوية

تتضمن وقت بدء تشغيل المفتاح و الهوية المرسلة إلى النظير البعيد.

 [IKEv1]: IP = 10.0.0.2، IKE_Decode Send Message (msgid=0) مع الحمولات : HDR + ID (5) + HASH (8) + IOS Keepalive (128) + المورد (13) + لا شيء (0) الطول الإجمالي : 96

إرسال MM6.

<===========================================================================

MM6 تم إستلامه من المستجيب. 

[IKEv1]: IP = 10.0.0.2، IKE_Decode Receive Message (msgid=0) مع الحمولات : HDR + ID (5) + HASH (8) + NONE (0) الطول الإجمالي : 64

[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، اكتملت المرحلة الأولى
[IKEv1]: IP = 10.0.0.2، النوع "الاحتفاظ بالحياة" لهذا الاتصال: DPD
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بدء مؤقت rekey ل P1: 64800 ثانية.

اكتملت المرحلة الأولى.

بدء مؤقت إعادة توجيه ISAKMP.

التكوين ذي الصلة:
سياسة ISAKMP 10 للتشفير
مشاركة مسبقة للمصادقة
تشفير 3des
حاش شعبان
المجموعة الثانية
مدى الحياة 86400
cisco# sh يركض كل التشفير isakmp
هوية ISAKMP المشفرة

معالجة MM6.

هذه العمليةنكلودز rتم إرسال الهوية الصوتية من النظير و fقرار أخير بشأن إختيار مجموعة الأنفاق.

[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حمولة معرف المعالجة
[IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، ID_IPv4_ADDR ID الذي تم إستلامه
10.0.0.2
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة التجزئة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، تجزئة الحوسبة ل ISAKMP
[IKEv1]: IP = 10.0.0.2، تم تنزيل الاتصال على tunnel_group 10.0.0.2
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بدء تشغيل Oakley الوضع السريع
[IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بادئ IKE بدء QM: معرف msg = 7b80c2b0

اكتملت المرحلة الأولى.

بدء مؤقت مفتاح ISAKMP.

جيم ذات الصلةالتكوين:

نوع مجموعة النفق 10.0.0.2 ipSEC-l2l

سمات مجموعة النفق 10.0.0.2 IPsec

مفتاح مشترك مسبقا Cisco

[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، اكتملت المرحلة 1
[IKEv1]: IP = 10.0.0.2، النوع "الاحتفاظ بالحياة" لهذا الاتصال: DPD
وقد تم التفاوض على إدارة السياسات واكتملت المرحلة الأولى.
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بدء مؤقت إعادة المفتاح P1: 82080 ثانية.

تبدأ المرحلة الثانية (الوضع السريع).

IPSec: تم إنشاء SA جنيني جديد عند 0x53FC3C00،
  SCB: 0x53f90a00،
  الإتجاه: داخل
  SPI: 0xFD2D851F
  معرف جلسة العمل: 0x00006000
  num ل VPIF: 0x000003
  نوع النفق: l2l
  البروتوكول : esp
  العمر : 240 ثانية

التركيب QM1.

وتتضمن هذه العملية ما يلي معرفات الوكيل و IPثانية السياسات.

التكوين ذي الصلة:
تحويل IPSec مجموعة تشفير ESP-aes esp-sha-hmac

الوصول-list VPN Extended Permit ICMP 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0

[IKEv1 debug]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حصلت IKE على SPI من المحرك الرئيسي: SPI = 0xfd2d851f
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، الوضع السريع للأوكلي المتزامن
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة تجزئة فارغة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة IPSec SA
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة الشبكة IPSec
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء معرف الوكيل
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معرف وكيل الإرسال:
الشبكة الفرعية المحلية: قناع 192.168.1.0 255.255.255.0 بروتوكول 1 منفذ 0
الشبكة الفرعية البعيدة: 192.168.2.0 القناع 255.255.255.0 البروتوكول 1 المنفذ 0
يتم إرسال الشبكة الفرعية المحلية (192.168.1.0/24) والشبكة الفرعية البعيدة المتوقعة (192.168.2.0/24)

[IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بادئ IKE يرسل جهة الاتصال الأولية
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة تجزئة QM
[IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بادئ IKE يرسل أول QM pkt: معرف msg = 7b80c2b0

إرسال الطراز QM1.

[IKEv1]: IP = 10.0.0.2، IKE_Decode Send Message (msgid=7b80c2b0) مع الحمولات : HDR + HASH (8) + SA (1) + NONCE (10) + ID (5) + ID (5) + NOTIFY (11) + NONE (0) الطول الكلي : 200

===========================qm1==============================>

[فك ترميز IKEv1]: IP = 10.0.0.2، المستجيب ل IKE الذي يقوم بتشغيل QM: msg id = 52481cf5

 [IKEv1]: IP = 10.0.0.2، IKE_Decode Receive Message (msgid=52481cf5) مع الحمولات : HDR + HASH (8) + SA (1) + NONCE (10) + ID (5) + ID (5) + NONE (0) الطول الإجمالي : 172

تم تلقي QM1 من البادئ.

المستجيب يبدأ المرحلة 2 (QM).

 [تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة التجزئة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة SA
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة الحمولة مرة واحدة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حمولة معرف المعالجة

معالجة QM1.

هذه العملية مقارنة الوكلاء عن بعد بالمقارنات المحلية و يحدد IP مقبولثانية السياسة.

التكوين ذي الصلة: تحويل IPsec مجموعة تحويل ESP-AES esp-sha-hmac

الوصول-list VPN Extended Permit ICMP 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0

عنوان مطابقة خريطة التشفير 10 لشبكة VPN

 [IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، ID_IPv4_ADDR_SUBNET ID الذي تم إستلامه—192.168.2.0—255.255.255.0[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، تم إستلام بيانات الشبكة الفرعية لوكيل IP عن بعد في حمولة المعرف: العنوان 192.6 8.2.0، القناع 255.255.255.0، البروتوكول 1، المنفذ 0

[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حمولة معرف المعالجة
[IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، ID_IPv4_ADDR_Subnet ID الذي تم إستلامه—192.168.1.0-255.255.255.0
[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بيانات الشبكة الفرعية لوكيل IP المحلي المستلمة في حمولة المعرف: العنوان 192.168.1.0، القناع 255.255.255.0، البروتوكول 1، المنفذ 0

يتم تلقي الشبكات الفرعية البعيدة والمحلية (192.168.2.0/24 و 192.168.1.0/24).

 [IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، QM IsReated قديم لم يتم العثور عليه بواسطة ADDR
[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، التحقق من خريطة التشفير الثابتة، التحقق من الخريطة = MAP، seq = 10...
[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، التحقق من خريطة التشفير الثابتة، خريطة الخريطة، seq = 10 هي تطابق ناجح
[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، نظير IKE البعيد الذي تم تكوينه لخريطة التشفير: الخريطة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة IPSec SA
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، مقترح IPSec SA # 1، التحويل # 1 تطابق مقبول لإدخال IPSec SA # 10

تم البحث عن إدخال تشفير ثابت مطابق وتم العثور عليه.

 [IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، IKE: طلب SPI!
IPSec: تم إنشاء SA جنيني جديد بسرعة 0x53FC3698،
SCB: 0x53FC2998،
الإتجاه: داخل
SPI: 0x1698CAC7
معرف جلسة العمل: 0x00004000
num ل VPIF: 0x000003
نوع النفق: l2l
البروتوكول : esp
العمر : 240 ثانية
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حصلت IKE على SPI من المحرك الرئيسي: SPI = 0x1698cac7
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، تكوين الوضع السريع
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة تجزئة فارغة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة IPSec SA
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة الشبكة IPSec
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء معرف الوكيل
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معرف وكيل الإرسال:
الشبكة الفرعية البعيدة: 192.168.2.0 القناع 255.255.255.0 البروتوكول 1 المنفذ 0
الشبكة الفرعية المحلية: قناع 192.168.1.0 255.255.255.0 بروتوكول 1 منفذ 0
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء حمولة تجزئة QM
[IKEv1 decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، Ike Responder الذي يرسل PKT الثاني ل QM: معرف msg = 52481cf5

التركيب QM2.

هذه العمليةنكلودز سيتأكيد هويات الوكيل، ونوع النفق، و يتم إجراء التحقق من قوائم التحكم في الوصول (ACL) المشفرة المنعكسة.

 [IKEv1]: IP = 10.0.0.2، IKE_Decode Send Message (msgid=52481cf5) مع الحمولات: HDR + HASH (8) + SA (1) + NONCE (10) + ID (5) + ID (5) + NONE (0) الطول الإجمالي: 172

إرسال QM2.

<========================qm2=========================================

تم تلقي الطراز QM2 من المستجيب.

[IKEv1]: IP = 10.0.0.2، IKE_Decode Receive Message (msgid=7b80c2b0) مع الحمولات : HDR + HASH (8) + SA (1) + NONCE (10) + ID (5) + ID (5) + NOTIFY (11) + NONE (0) الطول الكلي : 200

معالجة QM2.

في هذه العملية، Rيرسل إنهاء التعبير معلمات و 

يتم انتقاء أقصر فترة حياة مقترحة للمرحلة الثانية.

[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة التجزئة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة SA
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة الحمولة مرة واحدة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حمولة معرف المعالجة
[IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، ID_IPv4_ADDR_Subnet ID الذي تم إستلامه—192.168.1.0-255.255.255.0
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حمولة معرف المعالجة
[IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، ID_IPv4_ADDR_Subnet ID الذي تم إستلامه—192.168.2.0—255.255.255.0
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة الإعلام
[فك ترميز IKEv1]: يتبع فك ترميز عمر المستجيب (SPI[4]|السمات):
[فك ترميز IKEv1]: 0000: DDE50931 80010001 00020004 00000E10 ...1............
[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، المستجيب الذي يفرض التغيير في مدة إعادة حساب IPSec من 28800 إلى 3600 ثانية
استنادا إلى الاستجابة من النظير، يقوم ASA بتغيير سمات IPSec معينة. في هذه الحالة ال rekey فاصل
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، تحميل جميع موجهات الخدمات (SAs) ل IPSec
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء مفتاح الوضع السريع!

تم العثور على خريطة تشفير مطابقة "MAP" والمدخل 10 ومطابقتها مقابل قائمة الوصول "VPN."

[IKEv1 debug]: المجموعة = 10.0.0.2، IP = 10.0.0.2، قاعدة تشفير NP البحث عن خريطة التشفير MAP 10 المطابقة لقائمة التحكم بالوصول (ACL) VPN: المرتجعة cs_id=53f11198؛ القاعدة=53f11a90

قام الجهاز بإنشاء SPIs 0xfd2d851f و 0xdde50931لحركة المرور الواردة والصادرة على التوالي.

[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء مفتاح الوضع السريع!
IPSec: تم إنشاء SA جنيني جديد بسرعة 0x53FC3698،
SCB: 0x53F910F0،
الإتجاه: الصادر
SPI: 0xDDE50931
معرف جلسة العمل: 0x00006000
num ل VPIF: 0x000003
نوع النفق: l2l
البروتوكول : esp
العمر : 240 ثانية
IPSec: اكتمل تحديث OBSA للمضيف، SPI 0xDDE50931
IPSec: إنشاء سياق VPN الصادر، SPI 0xDDE50931
العلامات: 0x000005
الفئة SA: 0x53FC3698
SPI: 0xDDE50931
وحدة الحد الأقصى للنقل (MTU): 1500 بايت
VCID: 0x000000
النظير: 0x000000
SCB: 0x01CF218F
القناة: 0x4C69CB80
IPSec: سياق VPN الصادر المكتمل، SPI 0xDDE50931
مقبض VPN: 0x000161a4
IPSec: قاعدة تشفير صادرة جديدة، SPI 0xDDE50931
عنوان SRC: 192.168.1.0
قناع SRC: 255.255.255.0
DST addr: 192.168.2.0
قناع DST: 255.255.255.0
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 1
إستخدام البروتوكول: صحيح
SPI: 0x000000
إستخدام SPI: خطأ
IPSec: قاعدة التشفير الصادر المكتملة، SPI 0xDDE50931
معرف القاعدة: 0x53fc3ad8
IPSec: قاعدة السماح الصادرة الجديدة، SPI 0xDDE50931
عنوان SRC: 10.0.0.1
قناع SRC: 255.255.255.255
DST Addr: 10.0.0.2
قناع DST: 255.255.255.255
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 50
إستخدام البروتوكول: صحيح
SPI: 0xDDE50931
إستخدام SPI: صحيح
IPSec: قاعدة السماح الصادرة المكتملة، SPI 0xDDE50931
معرف القاعدة: 0x53F91538
[IKEv1 debug]: المجموعة = 10.0.0.2، IP = 10.0.0.2، قاعدة تشفير NP البحث عن خريطة التشفير MAP 10 المطابقة لقائمة التحكم بالوصول (ACL) VPN: المرتجعة cs_id=53f11198؛ القاعدة=53f11a90
[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، اكتمال تفاوض الأمان لمجموعة الاتصال من الشبكة المحلية (LAN) (10.0.0.2) البادئ، SPI الوارد = 0xfd2d851f، SPI الصادر = 0xdde50931

التركيب QM3.

تأكيد تم إنشاء جميع SPIs للنظير البعيد.

IPSec: اكتمل تحديث IBSA المضيف، SPI 0xFD2D851F
IPSec: إنشاء سياق VPN الوارد، SPI 0xFD2D851F
العلامات: 0x000006
SA: 0x53FC3C00
SPI: 0xFD2D851F
وحدة الحد الأقصى للنقل (MTU): 0 بايت
VCID: 0x000000
النظير: 0x000161a4
SCB: 0x01CEA8EF
القناة: 0x4C69CB80
IPSec: سياق VPN الوارد المكتمل، SPI 0xFD2D851F
مؤشر الشبكة الخاصة الظاهرية (VPN): 0x00018BBC
IPSec: تحديث سياق VPN الصادر 0x000161A4، SPI 0xDDE50931
العلامات: 0x000005
الفئة SA: 0x53FC3698
SPI: 0xDDE50931
وحدة الحد الأقصى للنقل (MTU): 1500 بايت
VCID: 0x000000
النظير: 0x00018BBC
SCB: 0x01CF218F
القناة: 0x4C69CB80
IPSec: سياق VPN الصادر المكتمل، SPI 0xDDE50931
مقبض VPN: 0x000161a4
IPSec: قاعدة داخلية صادرة مكتملة، SPI 0xDDE50931
معرف القاعدة: 0x53fc3ad8
IPSec: قاعدة SPD الخارجية المكتملة، SPI 0xDDE50931
معرف القاعدة: 0x53F91538
IPSec: قاعدة تدفق النفق الوارد الجديدة، SPI 0xFD2D851F
عنوان SRC: 192.168.2.0
قناع SRC: 255.255.255.0
DST addr: 192.168.1.0
قناع DST: 255.255.255.0
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 1
إستخدام البروتوكول: صحيح
SPI: 0x000000
إستخدام SPI: خطأ
IPSec: قاعدة تدفق النفق الوارد المكتملة، SPI 0xFD2D851F
معرف القاعدة: 0x53F91970
IPSec: قاعدة فك تشفير واردة جديدة، SPI 0xFD2D851F
عنوان SRC: 10.0.0.2
قناع SRC: 255.255.255.255
DST Addr: 10.0.0.1
قناع DST: 255.255.255.255
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 50
إستخدام البروتوكول: صحيح
SPI: 0xFD2D851F
إستخدام SPI: صحيح
IPSec: قاعدة فك الترميز الواردة المكتملة، SPI 0xFD2D851F
معرف القاعدة: 0x53F91A08
IPSec: قاعدة السماح الواردة الجديدة، SPI 0xFD2D851F
عنوان SRC: 10.0.0.2
قناع SRC: 255.255.255.255
DST Addr: 10.0.0.1
قناع DST: 255.255.255.255
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 50
إستخدام البروتوكول: صحيح
SPI: 0xFD2D851F
إستخدام SPI: صحيح
IPSec: قاعدة السماح الواردة المكتملة، SPI 0xFD2D851F
معرف القاعدة: 0x53F91A0

إرسال QM3.

[IKEv1 Decode]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بادئ IKE يرسل ثالث QM pkt: msg id = 7b80c2b0

  ==========================qm3====================================>

اكتملت المرحلة الثانية.

البادئ جاهز الآن لتشفير الحزم وفك تشفيرها باستخدام قيم SPI هذه.

[IKEv1]: IP = 10.0.0.2، IKE_Decode Send Message (msgid=7b80c2b0) مع الحمولات : HDR + HASH (8) + NONE (0) الطول الإجمالي: 76
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حصلت IKE على KEY_ADD msg ل SA: SPI = 0xdde50931
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، Pitcher: تم تلقي KEY_UPDATE، spi 0xfd2d851f
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بدء مؤقت إعادة مفتاح P2: 3060 ثانية.
[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، المرحلة 2 المكتملة (msgid=7b80c2b0)

[IKEv1]: IP = 10.0.0.2، IKE_Decode Receive Message (msgid=52481cf5) مع الحمولات : HDR + التجزئة (8) + لا شيء (0) الطول الإجمالي : 52

جهاز إستقبال QM3 من البادئ.

[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، معالجة حمولة التجزئة
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، تحميل جميع موجهات الخدمات (SAs) ل IPSec
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء مفتاح الوضع السريع!
[IKEv1 debug]: المجموعة = 10.0.0.2، IP = 10.0.0.2، قاعدة تشفير NP البحث عن خريطة التشفير MAP 10 المطابقة لقائمة التحكم بالوصول (ACL) VPN: المرتجعة cs_id=53f11198؛ القاعدة=53f11a90
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، إنشاء مفتاح الوضع السريع!
IPSec: تم إنشاء SA جنيني جديد بسرعة 0x53f18b00،
SCB: 0x53F8A1C0،
الإتجاه: الصادر
SPI: 0xDB680406
معرف جلسة العمل: 0x00004000
num ل VPIF: 0x000003
نوع النفق: l2l
البروتوكول : esp
العمر : 240 ثانية
IPSec: استكمال تحديث OBSA الخاص بالمضيف، SPI 0xDB680406
IPSec: إنشاء سياق VPN الصادر، SPI 0xDB680406
العلامات: 0x000005
SA: 0x53F18B00
SPI: 0xDB680406
وحدة الحد الأقصى للنقل (MTU): 1500 بايت
VCID: 0x000000
النظير: 0x000000
SCB: 0x005E4849
القناة: 0x4C69CB80
IPSec: سياق VPN الصادر المكتمل، SPI 0xDB680406
معالج VPN: 0x0000E9B4
IPSec: قاعدة تشفير صادرة جديدة، SPI 0xDB680406
عنوان SRC: 192.168.1.0
قناع SRC: 255.255.255.0
DST addr: 192.168.2.0
قناع DST: 255.255.255.0
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 1
إستخدام البروتوكول: صحيح
SPI: 0x000000
إستخدام SPI: خطأ
IPSec: قاعدة التشفير الصادر المكتملة، SPI 0xDB680406
معرف القاعدة: 0x53f89160
IPSec: قاعدة السماح الصادرة الجديدة، SPI 0xDB680406
عنوان SRC: 10.0.0.1
قناع SRC: 255.255.255.255
DST Addr: 10.0.0.2
قناع DST: 255.255.255.255
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 50
إستخدام البروتوكول: صحيح
SPI: 0xDB680406
إستخدام SPI: صحيح
IPSec: قاعدة السماح الصادرة المكتملة، SPI 0xDB680406
معرف القاعدة: 0x53E47E88
[IKEv1 debug]: المجموعة = 10.0.0.2، IP = 10.0.0.2، قاعدة تشفير NP البحث عن خريطة التشفير MAP 10 المطابقة لقائمة التحكم بالوصول (ACL) VPN: المرتجعة cs_id=53f11198؛ القاعدة=53f11a90

معالجة QM3.

يتم إنشاء مفاتيح التشفير لمزودي الخدمات (SAs) للبيانات.

خلال هذه العملية،

تم تعيين SPIs لتمرير حركة المرور.

[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، اكتمال تفاوض الأمان لمجموعة الاتصال من الشبكة المحلية (LAN) (10.0.0.2) المستجيب، SPI الوارد = 0x1698cac7، SPI الصادر = 0xdb680406
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، حصلت IKE على KEY_ADD msg ل SA: SPI = 0xdb680406

IPSec: اكتمل تحديث IBSA المضيف، SPI 0x1698CAC7
IPSec: إنشاء سياق VPN الوارد، SPI 0x1698CAC7
العلامات: 0x000006
الفئة SA: 0x53FC3698
SPI: 0x1698CAC7
وحدة الحد الأقصى للنقل (MTU): 0 بايت
VCID: 0x000000
النظير: 0x0000E9B4
SCB: 0x005DAE51
القناة: 0x4C69CB80
IPSec: سياق VPN الوارد المكتمل، SPI 0x1698CAC7
مقبض VPN: 0x00011A8C
IPSec: تحديث سياق VPN الصادر 0x0000E9B4، SPI 0xDB680406
العلامات: 0x000005
SA: 0x53F18B00
SPI: 0xDB680406
وحدة الحد الأقصى للنقل (MTU): 1500 بايت
VCID: 0x000000
النظير: 0x00011a8c
SCB: 0x005E4849
القناة: 0x4C69CB80
IPSec: سياق VPN الصادر المكتمل، SPI 0xDB680406
معالج VPN: 0x0000E9B4
IPSec: قاعدة داخلية صادرة مكتملة، SPI 0xDB680406
معرف القاعدة: 0x53f89160
IPSec: قاعدة SPD الخارجية المكتملة، SPI 0xDB680406
معرف القاعدة: 0x53E47E88
IPSec: قاعدة تدفق النفق الوارد الجديدة، SPI 0x1698CAC7
عنوان SRC: 192.168.2.0
قناع SRC: 255.255.255.0
DST addr: 192.168.1.0
قناع DST: 255.255.255.0
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 1
إستخدام البروتوكول: صحيح
SPI: 0x000000
إستخدام SPI: خطأ
IPSec: قاعدة تدفق النفق الوارد المكتملة، SPI 0x1698CAC7
معرف القاعدة: 0x53FC3E80
IPSec: قاعدة فك تشفير واردة جديدة، SPI 0x1698CAC7
عنوان SRC: 10.0.0.2
قناع SRC: 255.255.255.255
DST Addr: 10.0.0.1
قناع DST: 255.255.255.255
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 50
إستخدام البروتوكول: صحيح
SPI: 0x1698CAC7
إستخدام SPI: صحيح
IPSec: قاعدة فك الترميز الواردة المكتملة، SPI 0x1698CAC7
معرف القاعدة: 0x53FC3F18
IPSec: قاعدة السماح الواردة الجديدة، SPI 0x1698CAC7
عنوان SRC: 10.0.0.2
قناع SRC: 255.255.255.255
DST Addr: 10.0.0.1
قناع DST: 255.255.255.255
منافذ SRC
أعلى: 0
أقل: صفر
تجاهل
منافذ DST
أعلى: 0
أقل: صفر
تجاهل
البروتوكول: 50
إستخدام البروتوكول: صحيح
SPI: 0x1698CAC7
إستخدام SPI: صحيح
IPSec: قاعدة السماح الواردة المكتملة، SPI 0x1698CAC7
معرف القاعدة: 0x53F8AEA8
[تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، Pitcher: تم تلقي KEY_UPDATE، SPI 0x1698cac7

يتم تعيين SPIs إلى وحدات SAs للبيانات.

  [تصحيح أخطاء IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، بدء مؤقت إعادة مفتاح P2: 3060 ثانية.

بدء وقت إعادة مفاتيح IPsec.

[IKEv1]: المجموعة = 10.0.0.2، IP = 10.0.0.2، المرحلة 2 المكتملة (msgid=52481cf5)

اكتملت المرحلة الثانية. يمكن لكل من المستجيب والبادئ تشفير حركة المرور/فك تشفيرها.

التحقق من النفق


ملاحظة: نظرا لاستخدام بروتوكول ICMP لتشغيل النفق، فلم يتم تشغيل سوى منفذ IPSec واحد فقط. البروتوكول 1 = ICMP.

show crypto ipsec sa
 

interface: outside
   Crypto map tag: MAP, seq num: 10, local addr: 10.0.0.1
    access-list VPN extended permit icmp 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
    local ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/
1
 
/0)
    remote ident (addr/mask/prot/port): (192.168.2.0/255.255.255.0/
1
 
/0)
    current_peer: 10.0.0.2
    #pkts encaps: 4, #pkts encrypt: 4, #pkts digest: 4
    #pkts decaps: 4, #pkts decrypt: 4, #pkts verify: 4
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 4, #pkts comp failed: 0, #pkts decomp failed: 0
    #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
    #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
    #send errors: 0, #recv errors: 0
    local crypto endpt.: 10.0.0.1/0, remote crypto endpt.: 10.0.0.2/0
    path mtu 1500, ipsec overhead 74, media mtu 1500
    current outbound spi: DB680406
    current inbound spi : 1698CAC7

  inbound esp sas:
    spi: 0x
1698CAC7
 
 (379112135)
       transform: esp-aes esp-sha-hmac no compression
       in use settings ={L2L, Tunnel, }
       slot: 0, conn_id: 16384, crypto-map: MAP
       sa timing: remaining key lifetime (kB/sec): (3914999/3326)
       IV size: 16 bytes
       replay detection support: Y
       Anti replay bitmap:
        0x00000000 0x0000001F
  outbound esp sas:
    spi: 0xDB680406 (3681027078)
       transform: esp-aes esp-sha-hmac no compression
       in use settings ={L2L, Tunnel, }
       slot: 0, conn_id: 16384, crypto-map: MAP
       sa timing: remaining key lifetime (kB/sec): (3914999/3326)
       IV size: 16 bytes
       replay detection support: Y
       Anti replay bitmap:
       0x00000000 0x00000001
[an error occurred while processing this directive] 
show crypto isakmp sa
 


   Active SA: 1
   Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)
   Total IKE SA: 1

1   IKE Peer: 10.0.0.2
    Type    : 
L2L
 
             Role    : 
responder
 

    Rekey   : no              State   : 
MM_ACTIVE
 [an error occurred while processing this directive]

معلومات ذات صلة

TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Atri Basu, Marcin Latosiewicz, and Jay Young Taylor
    Cisco TAC Engineers.

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات