Konfigurieren von Cisco PIX für Cisco Secure VPN Client Wild-Card, vorinstallierte Modus-Konfiguration

Download-Optionen

  • PDF     (215.7 KB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (101.3 KB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (96.7 KB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:15. März 2005
Dokument-ID:14089

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Einführung

Diese Konfiguration veranschaulicht, wie ein VPN-Client mithilfe von Platzhaltern, Modus-Konfiguration und dem Befehl sysopt connection permit-ipsec mit einer PIX-Firewall verbunden wird. Der Befehl sysopt connection permit-ipsec erlaubt implizit jedes Paket, das von einem IPSec-Tunnel kommt. Mit diesem Befehl werden auch die Prüfungen einer zugeordneten Zugriffsliste, eines Kabelrohrs oder einer Zugriffsgruppen-Befehlsanweisung für IPSec-Verbindungen umgangen.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf diesen Software- und Hardwareversionen.

  • Cisco Secure PIX Software 6.3(3) mit Cisco Secure VPN Client 1.0 (im Menü Hilfe > Info als 2.0.7 angezeigt)

oder

  • Cisco Secure PIX Software 6.3(3) mit Cisco Secure VPN Client 1.1 (im Menü Hilfe > Info als 2.1.12 angezeigt)

Die in diesem Dokument enthaltenen Informationen wurden aus Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions.

Konfigurieren

In diesem Abschnitt finden Sie Informationen zum Konfigurieren der in diesem Dokument beschriebenen Funktionen.

Ein Benutzer mit einem VPN-Client stellt eine Verbindung her und erhält eine IP-Adresse vom Internet Service Provider (ISP). Diese wird durch eine IP-Adresse aus dem Modus-config-Pool auf dem PIX (172.16.1.1 - 172.16.1.255) ersetzt. Der Benutzer hat Zugriff auf alles innerhalb der Firewall, einschließlich der Netzwerke. Benutzer, die den VPN-Client nicht ausführen, können mithilfe der von der statischen Zuweisung angegebenen Adresse eine Verbindung zum Webserver herstellen. Der Datenverkehr interner Benutzer durchläuft nicht den IPSec-Tunnel, wenn der Benutzer eine Verbindung zum Internet herstellt.

Hinweis: Verschlüsselungstechnologie unterliegt Exportkontrollen. Es liegt in Ihrer Verantwortung, das Gesetz über den Export von Verschlüsselungstechnologien zu kennen. Wenn Sie Fragen zur Exportkontrolle haben, senden Sie eine E-Mail an export@cisco.com.

Hinweis: Weitere Informationen zu den in diesem Dokument verwendeten Befehlen finden Sie im Command Lookup Tool (nur registrierte Kunden).

Netzwerkdiagramm

In diesem Dokument wird diese Netzwerkeinrichtung verwendet.

A.gif

Konfigurationen

In diesem Dokument werden diese Konfigurationen verwendet.

PIX-Konfiguration 
sv2-5(config)#show run
: Saved
:
PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname sv2-5
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names

!--- Access-list defined for nat 0.

access-list 101 permit ip 192.168.10.0 255.255.255.0 172.16.1.0 255.255.255.0 

!--- Access-list applied on the outside interface.

access-list 102 permit tcp any host 209.168.201.9 eq www 
access-list 102 permit icmp any any 
pager lines 24
logging on
logging buffered debugging
mtu outside 1500
mtu inside 1500
ip address outside 209.168.201.70 255.255.255.0
ip address inside 192.168.10.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm

!--- Set up the mode-config pool.


ip local pool test 172.16.1.1-172.16.1.255
no failover
failover timeout 0:00:00
failover poll 15
no failover ip address outside
no failover ip address inside
pdm history enable
arp timeout 14400
global (outside) 1 interface

!--- Do not do Network Address Translation (NAT) for the VPN Client pool.


nat (inside) 0 access-list 101
nat (inside) 1 0.0.0.0 0.0.0.0 0 0

!--- Also allow *unencrypted* communication if desired.


static (inside,outside) 209.168.201.9 192.168.10.9 netmask 255.255.255.255 0 0 
access-group 102 in interface outside
route outside 0.0.0.0 0.0.0.0 209.168.201.1 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+ 
aaa-server RADIUS protocol radius 
aaa-server LOCAL protocol local 
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec

!--- These are IPSec parameters.


crypto ipsec transform-set myset esp-des esp-md5-hmac 
crypto dynamic-map dynmap 10 set transform-set myset
crypto map mymap 10 ipsec-isakmp dynamic dynmap
crypto map mymap client configuration address initiate
crypto map mymap client configuration address respond
crypto map mymap interface outside

!--- These are IKE parameters.


isakmp enable outside
isakmp key ******** address 0.0.0.0 netmask 0.0.0.0 
isakmp identity address
isakmp client configuration address-pool local test outside
isakmp policy 10 authentication pre-share
isakmp policy 10 encryption des
isakmp policy 10 hash md5
isakmp policy 10 group 1
isakmp policy 10 lifetime 86400
telnet timeout 5
ssh timeout 5
console timeout 0
vpdn username cisco password ********* store-local
terminal width 80
Cryptochecksum:4f21dc73759ffae29935430132e662ef
: end

VPN-Client-Konfiguration 
Network Security policy: 
  1- TACconn 
      My Identity 
           Connection security: Secure 
           Remote Party Identity and addressing 
           ID Type: IP subnet 
           192.168.10.0 
            255.255.255.0 
           Port all Protocol all 
  
      Connect using secure tunnel 
           ID Type: IP address 
           209.201.168.70 
  
      Pre-shared Key=cisco1234

      Authentication (Phase 1) 
      Proposal 1 
          Authentication method: pre-shared key 
          Encryp Alg: DES 
          Hash Alg: MD5 
          SA life: Unspecified 
          Key Group: DH 1 
  
      Key exchange (Phase 2) 
      Proposal 1 
          Encapsulation ESP 
          Encrypt Alg: DES 
          Hash Alg: MD5 
          Encap: tunnel 
          SA life: Unspecified 
          no AH 
  
  2- Other Connections 
         Connection security: Non-secure 
         Local Network Interface 
           Name: Any 
           IP Addr: Any 
           Port: All

Überprüfen

Für diese Konfiguration ist derzeit kein Überprüfungsverfahren verfügbar.

Fehlerbehebung

Dieser Abschnitt enthält Informationen zur Fehlerbehebung in Ihrer Konfiguration.

Fehlerbehebung bei Befehlen

Bestimmte show-Befehle werden vom Output Interpreter Tool unterstützt (nur registrierte Kunden), mit dem Sie eine Analyse der show-Befehlsausgabe anzeigen können.

Hinweis: Bevor Sie Debugbefehle ausgeben, lesen Sie die Informationen Wichtige Informationen über Debug-Befehle.

Aktivieren Sie den Cisco Secure Log Viewer, um die Debugging-Seite des VPN-Clients anzuzeigen.

  • debug crypto ipsec sa: Zeigt die IPSec-Verhandlungen für Phase 2 an.

  • debug crypto isakmp: Zeigt die Aushandlungen der Internet Security Association und des Key Management Protocol (ISAKMP) für Phase 1 an.

Siehe diese Debugausgabe: 

crypto_isakmp_process_block:src:209.168.202.229, 
dest:209.168.201.70 spt:500 dpt:500
OAK_MM exchange
ISAKMP (0): processing SA payload. message ID = 0

ISAKMP (0): Checking ISAKMP transform 1 against priority 10 policy
ISAKMP: encryption DES-CBC
ISAKMP: hash MD5
ISAKMP: default group 1
ISAKMP: auth pre-share
ISAKMP (0): atts are acceptable. Next payload is 0
ISAKMP (0): SA is doing pre-shared key authentication 
using id type ID_IPV4_ADDR
return status is IKMP_NO_ERROR
crypto_isakmp_process_block:src:209.168.202.229, 
dest:209.168.201.70 spt:500 dpt:500
OAK_MM exchange
ISAKMP (0): processing KE payload. message ID = 0

ISAKMP (0): processing NONCE payload. message ID = 0

ISAKMP (0): processing vendor id payload

ISAKMP (0): processing vendor id payload

ISAKMP (0): received xauth v6 vendor id

return status is IKMP_NO_ERROR
crypto_isakmp_process_block:src:209.168.202.229, 
dest:209.168.201.70 spt:500 dpt:500
OAK_MM exchange
ISAKMP (0): processing ID payload. message ID = 0
ISAKMP (0): processing HASH payload. message ID = 0
ISAKMP (0): processing NOTIFY payload 24578 protocol 1
spi 0, message ID = 0
ISAKMP (0): processing notify INITIAL_CONTACTIPSEC(key_engine): 
got a queue event...
IPSEC(key_engine_delete_sas): rec'd delete notify from ISAKMP
IPSEC(key_engine_delete_sas): delete all SAs shared with 209.168.202.229

ISAKMP (0): SA has been authenticated

!--- Phase 1 is complete.

ISAKMP (0): ID payload
next-payload : 8
type : 1
protocol : 17
port : 500
length : 8
ISAKMP (0): Total payload length: 12
return status is IKMP_NO_ERROR
ISAKMP (0): sending phase 1 RESPONDER_LIFETIME notify
ISAKMP (0): sending NOTIFY message 24576 protocol 1
VPN Peer: ISAKMP: Added new peer: ip:209.168.202.229/500 Total VPN Peers:1
VPN Peer: ISAKMP: Peer ip:209.168.202.229/500 Ref cnt 
incremented to:1 Total VPN Peers:1
crypto_isakmp_process_block:src:209.168.202.229, 
dest:209.168.201.70 spt:500 dpt:500
OAK_QM exchange
ISAKMP (0:0): Need config/address

!--- Mode configuration.

ISAKMP (0:0): initiating peer config to 209.168.202.229. 
ID = 2521514930 (0x964b43b2)
return status is IKMP_NO_ERROR
crypto_isakmp_process_block:src:209.168.202.229, 
dest:209.168.201.70 spt:500 dpt:500
ISAKMP_TRANSACTION exchange
ISAKMP (0:0): processing transaction payload from 
209.168.202.229. message ID = 16133588
ISAKMP: Config payload CFG_ACK
ISAKMP (0:0): peer accepted the address!
return status is IKMP_NO_ERROR
crypto_isakmp_process_block:src:209.168.202.229, 
dest:209.168.201.70 spt:500 dpt:500
OAK_QM exchange
oakley_process_quick_mode:
OAK_QM_IDLE
ISAKMP (0): processing SA payload. message ID = 1524017329

ISAKMP : Checking IPSec proposal 1

ISAKMP: transform 1, ESP_DES
ISAKMP: attributes in transform:
ISAKMP: authenticator is HMAC-MD5
ISAKMP: encaps is 1

!--- Phase 2 starts.

ISAKMP (0): atts are acceptable.IPSEC(validate_proposal_request): 
proposal part #1,
(key eng. msg.) dest= 209.168.201.70, src= 209.168.202.229, 
dest_proxy= 192.168.10.0/255.255.255.0/0/0 (type=4), 
src_proxy= 172.16.1.1/255.255.255.255/0/0 (type=1),
protocol= ESP, transform= esp-des esp-md5-hmac , 
lifedur= 0s and 0kb, 
spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4

ISAKMP (0): processing NONCE payload. message ID = 1524017329

ISAKMP (0): processing ID payload. message ID = 1524017329
ISAKMP (0): ID_IPV4_ADDR src 172.16.1.1 prot 0 port 0
ISAKMP (0): processing ID payload. message ID = 1524017329
ISAKMP (0): ID_IPV4_ADDR_SUBNET dst 192.168.10.0/255.255.255.0 prot 0 port 
0IPSEC(key_engine): got a queue event...
IPSEC(spi_response): getting spi 0x9f068383(2668004227) for SA 
from 209.168.202.229 to 209.168.201.70 for prot 3

return status is IKMP_NO_ERROR
crypto_isakmp_process_block:src:209.168.202.229, 
dest:209.168.201.70 spt:500 dpt:500
OAK_QM exchange
oakley_process_quick_mode:
OAK_QM_AUTH_AWAIT

!--- Phase 2 complete IPSec SAs are created.

ISAKMP (0): Creating IPSec SAs
inbound SA from 209.168.202.229 to 209.168.201.70 
(proxy 172.16.1.1 to 192.168.10.0)
has spi 2668004227 and conn_id 2 and flags 4
outbound SA from 209.168.201.70 to 209.168.202.229 
(proxy 192.168.10.0 to 172.16.1.1)
has spi 3326135849 and conn_id 1 and flags 4IPSEC
(key_engine): got a queue event...
IPSEC(initialize_sas): ,
(key eng. msg.) dest= 209.168.201.70, src= 209.168.202.229, 
dest_proxy= 192.168.10.0/255.255.255.0/0/0 (type=4), 
src_proxy= 172.16.1.1/0.0.0.0/0/0 (type=1),
protocol= ESP, transform= esp-des esp-md5-hmac , 
lifedur= 0s and 0kb, 
spi= 0x9f068383(2668004227), conn_id= 2, keysize= 0, flags= 0x4
IPSEC(initialize_sas): ,
(key eng. msg.) src= 209.168.201.70, dest= 209.168.202.229, 
src_proxy= 192.168.10.0/255.255.255.0/0/0 (type=4), 
dest_proxy= 172.16.1.1/0.0.0.0/0/0 (type=1),
protocol= ESP, transform= esp-des esp-md5-hmac , 
lifedur= 0s and 0kb, 
spi= 0xc640ce29(3326135849), conn_id= 1, keysize= 0, flags= 0x4

VPN Peer: IPSEC: Peer ip:209.168.202.229/500 Ref cnt 
incremented to:2 Total VPN Peers:1
VPN Peer: IPSEC: Peer ip:209.168.202.229/500 Ref cnt 
incremented to:3 Total VPN Peers:1
return status is IKMP_NO_ERROR
sv2-5#

Zugehörige Informationen

Revisionsverlauf

Überarbeitung Veröffentlichungsdatum Kommentare
1.0
15-Mar-2005
Erstveröffentlichung

War dieses Dokument hilfreich?

FeedbackFeedback

Cisco kontaktieren