Fehlerbehebung beim PIX zur Weiterleitung des Datenverkehrs auf einem etablierten IPSec-Tunnel

Einführung

Dieses Dokument behandelt und bietet eine Lösung für das Problem, warum ein erfolgreich eingerichteter IPsec-Tunnel von einem Cisco VPN-Client zu einem PIX keine Daten übergeben kann.

Die Unfähigkeit, Daten in einem etablierten IPsec-Tunnel zwischen einem VPN-Client und einem PIX zu übertragen, tritt häufig auf, wenn Sie von einem VPN-Client aus keine Ping- oder Telnet-Daten an Hosts im LAN hinter dem PIX senden können. Anders ausgedrückt: Der VPN-Client und PIX können keine verschlüsselten Daten zwischen ihnen weitergeben. Dies liegt daran, dass der PIX über einen LAN-zu-LAN-IPsec-Tunnel zu einem Router und auch einen VPN-Client verfügt. Die Unfähigkeit, Daten zu übergeben, ist das Ergebnis einer Konfiguration mit derselben Zugriffskontrollliste (ACL) für die nat 0 und die statische Crypto Map für den LAN-to-LAN IPsec-Peer.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

• Cisco Secure PIX Firewall 6.0.1

• Cisco 1720 Router mit Cisco IOS® Softwareversion 12.2(6)

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).

Fehlerbehebung für PIX

Netzwerkdiagramm

Problematische Beispielkonfiguration

pix520-1#write terminal
Building configuration...
: Saved
:
PIX Version 6.0(1)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password 2KFQnbNIdI.2KYOU encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pix520-1
domain-name vpn.com
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names

!--- Access-List “140” defines interesting traffic to bypass NAT for VPN !--- and defines VPN interesting traffic. This is incorrect.

access-list 140 permit ip 192.168.4.0 255.255.255.0 10.10.10.0 255.255.255.0
access-list 140 permit ip 192.168.4.0 255.255.255.0 10.1.2.0 255.255.255.0
no pager
logging on
logging console debugging
logging monitor debugging
logging buffered debugging
logging trap debugging
logging history debugging
logging host outside 192.168.2.6
interface ethernet0 auto
interface ethernet1 auto
mtu outside 1500
mtu inside 1500

!--- IP addresses on the outside and inside interfaces.

ip address outside 172.16.172.34 255.255.255.240
ip address inside 192.168.4.50 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool ippool 10.1.2.1-10.1.2.254
no failover
failover timeout 0:00:00
failover poll 15
failover ip address outside 0.0.0.0
failover ip address inside 0.0.0.0
pdm history enable
arp timeout 14400
global (outside) 1 172.16.172.57 netmask 255.255.255.255

!--- The nat 0 command bypasses NAT for the packets destined over the IPsec tunnel.

Nat (inside) 0 access-list 140
Nat (inside) 1 0.0.0.0 0.0.0.0 0 0
route outside 0.0.0.0 0.0.0.0 172.16.172.33 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323
0:05:00 sip
0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
AAA-server RADIUS protocol radius
AAA-server mytest protocol tacacs+
AAA-server nasir protocol radius
snmp-server host outside 192.168.2.6
no snmp-server location
no snmp-server contact
snmp-server community public
snmp-server enable traps
floodguard enable

!--- The sysopt command bypasses conduits or ACLs that check to be applied !--- on the inbound VPN packets after decryption.

sysopt connection permit-ipsec
no sysopt route dnat

!--- The crypto ipsec command defines IPsec encryption and authen algo.

crypto ipsec transform-set myset esp-des esp-md5-hmac
crypto dynamic-map dynmap 10 set transform-set myset

!--- The crypto map commands define the IPsec !--- Security Assocation (SA) (Phase II SA) parameters.

crypto map mymap 5 ipsec-isakmp
crypto map mymap 5 match address 140
crypto map mymap 5 set peer 172.16.172.39
crypto map mymap 5 set transform-set myset
crypto map mymap 10 ipsec-isakmp dynamic dynmap
crypto map mymap interface outside
isakmp enable outside

!--- The isakmp key command defines the pre-shared key for the peer address.

isakmp key ******** address 172.16.172.39 netmask 255.255.255.255 no-xauth
no-config-mode
isakmp identity address

!--- The isakmp policy defines the Phase 1 SA parameters.

isakmp policy 10 authentication pre-share
isakmp policy 10 encryption des
isakmp policy 10 hash sha
isakmp policy 10 group 2
isakmp policy 10 lifetime 86400
isakmp policy 20 authentication pre-share
isakmp policy 20 encryption Des
isakmp policy 20 hash sha
isakmp policy 20 group 1
isakmp policy 20 lifetime 86400
vpngroup vpn3000 address-pool ippool
vpngroup vpn3000 idle-time 1800
vpngroup vpn3000 password ********
telnet 192.168.4.0 255.255.255.0 inside
telnet 171.69.89.82 255.255.255.255 inside
telnet timeout 5
ssh 172.0.0.0 255.0.0.0 outside
ssh 171.0.0.0 255.255.255.0 outside
ssh 171.0.0.0 255.0.0.0 outside
ssh timeout 60
terminal width 80
Cryptochecksum:55948dc706cc700e9c10e1d24a8b125c

In der problematischen Konfiguration wird der interessante Datenverkehr bzw. der für den LAN-zu-LAN-Tunnel zu verschlüsselnde Datenverkehr durch die ACL 140 definiert. Die Konfiguration verwendet dieselbe ACL wie die nat 0-ACL.

Allgemeine Ereignisreihenfolge

Wenn ein IP-Paket an der internen Schnittstelle des PIX ankommt, wird die Network Address Translation (NAT) überprüft. Danach werden die Zugriffskontrolllisten für die Crypto-Maps überprüft.

• Wie wird nat 0 angewendet?

  Die ACL Nat 0 definiert, was nicht in NAT enthalten sein sollte. Die ACL im Befehl nat 0 definiert die Quell- und Zieladresse, für die die NAT-Regeln auf dem PIX deaktiviert sind. Aus diesem Grund umgeht ein IP-Paket mit einer Quell- und Zieladresse, die der im Befehl nat 0 definierten ACL entspricht, alle NAT-Regeln auf dem PIX.

  Um LAN-zu-LAN-Tunnel zwischen einem PIX und einem anderen VPN-Gerät mithilfe der privaten Adressen zu implementieren, verwenden Sie den Befehl nat 0, um NAT zu umgehen. Die Regeln der PIX-Firewall verhindern, dass private Adressen in NAT enthalten sind, während diese Regeln über den IPsec-Tunnel zum Remote-LAN gelangen.

• Verwendung der Krypto-ACL

  Nach den NAT-Inspektionen überprüft das PIX die Quelle und das Ziel jedes IP-Pakets, das an seiner internen Schnittstelle eingeht, auf die in den statischen und dynamischen Crypto Maps definierten ACLs. Wenn das PIX eine Übereinstimmung mit der ACL findet, führt das PIX einen der folgenden Schritte aus:

  • Wenn keine aktuelle IPsec Security Association (SA) vorhanden ist, die bereits mit dem Peer-IPsec-Gerät für den Datenverkehr erstellt wurde, initiiert das PIX die IPsec-Aushandlungen. Nachdem die SAs erstellt wurden, verschlüsselt sie das Paket und sendet es über den IPsec-Tunnel an den IPsec-Peer.

  • Wenn bereits eine mit dem Peer erstellte IPsec-SA vorhanden ist, verschlüsselt das PIX das IP-Paket und sendet das verschlüsselte Paket an das Peer-IPsec-Gerät.

• Dynamische ACL.

  Sobald ein VPN-Client mithilfe von IPsec eine Verbindung mit dem PIX herstellt, erstellt das PIX eine dynamische ACL, die die Quell- und Zieladresse angibt, die zum Definieren des interessanten Datenverkehrs für diese IPsec-Verbindung verwendet werden soll.

Kennenlernen der problematischen Ereignisserie auf dem PIX

Ein häufiger Konfigurationsfehler besteht darin, dieselbe ACL für Nat 0 und die statischen Crypto Maps zu verwenden. In diesen Abschnitten wird erläutert, warum dies zu einem Fehler führt und wie das Problem behoben werden kann.

Die PIX-Konfiguration zeigt, dass die NAT von der nat 0 ACL 140 umgangen wird, wenn IP-Pakete von Netzwerk 192.168.4.0/24 zu den Netzwerken 10.10.10.0/24 und 10.1.2.0/24 (Netzwerkadresse definiert im IP Local Pool) gehen. Darüber hinaus definiert die ACL 140 den interessanten Datenverkehr für die statische Crypto Map für Peer 172.16.172.39.

Wenn ein IP-Paket an die PIX-interne Schnittstelle gesendet wird, wird die NAT-Prüfung abgeschlossen, und anschließend überprüft das PIX die ACLs in den Crypto Maps. Der PIX beginnt mit der Crypto Map mit der niedrigsten Instanznummer. Der Grund hierfür ist, dass die statische Crypto Map im vorherigen Beispiel die niedrigste Instanznummer hat, die ACL 140 aktiviert ist. Als Nächstes wird die dynamische ACL für die dynamische Crypto Map überprüft. In dieser Konfiguration ist die ACL 140 definiert, um Datenverkehr zu verschlüsseln, der vom Netzwerk 192.168.4.0/24 zu den Netzwerken 10.10.10.0/24 0 und 10.1.2.0 /24 geleitet wird. Für den LAN-to-LAN-Tunnel sollten Sie jedoch nur den Datenverkehr zwischen den Netzwerken 192.168.4.0 /24 und 10.10.10.0 /24 verschlüsseln. So definiert der IPsec-Peer-Router seine Krypto-ACL.

Kennenlernen der problematischen Ereignisserie auf dem PIX

Wenn ein Client eine IPsec-Verbindung mit dem PIX herstellt, wird ihm eine IP-Adresse aus dem lokalen IP-Pool zugewiesen. In diesem Fall wird dem Client 10.1.2.1 zugewiesen. Das PIX generiert auch eine dynamische Zugriffskontrollliste, wie die Ausgabe des Befehls crypto map zeigt:

Crypto Map "mymap" 20 ipsec-isakmp
Peer = 171.69.89.120
access-list dynacl2 permit ip host 172.16.172.34 host 10.1.2.1 (hitcnt=0)
dynamic (created from dynamic map dynmap/10)
Current peer: 171.69.89.120
Security association lifetime: 4608000 kilobytes/28800 seconds
PFS (Y/N): N
Transform sets={ myset, }
Crypto Map "mymap" 30 ipsec-isakmp
Peer = 171.69.89.120
access-list dynacl3 permit ip any host 10.1.2.1 (hitcnt=0)
dynamic (created from dynamic map dynmap/10)
Current peer: 171.69.89.120
Security association lifetime: 4608000 kilobytes/28800 seconds
PFS (Y/N): N
Transform sets={ myset, }
pix520-1(config)#

Der Befehl show crypto map zeigt auch die statische Crypto Map an:

Crypto Map: "mymap" interfaces: { outside }
Crypto Map "mymap" 5 ipsec-isakmp
Peer = 172.16.172.39
access-list 140 permit ip 192.168.4.0 255.255.255.0 10.10.10.0255.255.255.0 
   (hitcnt=45)
access-list 140 permit ip 192.168.4.0 255.255.255.0 10.1.2.0 255.255.255.0
   (hitcnt=84)
Current peer: 172.16.172.39
Security association lifetime: 4608000 kilobytes/28800 seconds
PFS (Y/N): N
Transform sets={ myset,}

Sobald der IPsec-Tunnel zwischen dem Client und dem PIX erstellt wurde, initiiert der Client einen Ping an den Host 192.168.4.3. Wenn der Host die Echo-Anforderung empfängt, antwortet der Host 192.168.4.3 mit einer Echo-Antwort, da diese Ausgabe des Befehls debug icmp trace angezeigt wird.

27: Inbound ICMP echo request (len 32 id 2 seq 7680) 
   10.1.2.1 > 192.168.4.3> 192.168.4.3
28: Outbound ICMP echo reply (Len 32 id 2 seq 7680) 
   192.168.4.3 >192.168.4.3 > 10.1.2.1
29: Inbound ICMP echo request (Len 32 id 2 seq 7936) 
   10.1.2.1 > 192.168.4.3> 192.168.4.3
30: Outbound ICMP echo reply (Len 32 id 2 seq 7936) 
   192.168.4.3 >192.168.4.3 > 10.1.2.1

Die Echoantwort erreicht jedoch nicht den VPN-Client (Host 10.1.2.1), und der Ping schlägt fehl. Sie können dies mithilfe des Befehls show crypto ipsec sa auf dem PIX sehen. Diese Ausgabe zeigt, dass das PIX 120 vom VPN-Client stammende Pakete entschlüsselt, jedoch keine Pakete verschlüsselt oder verschlüsselte Pakete an den Client sendet. Aus diesem Grund ist die Anzahl der gekapselten Pakete Null.

pix520-1(config)#show crypto ipsec sa
interface: outside
Crypto map tag: mymap, local addr. 172.16.172.34
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.1.2.1/255.255.255.255/0/0)
current_peer: 171.69.89.120
dynamic allocated peer ip: 10.1.2.1
PERMIT, flags={}
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0 

!--- No packets encrypted and sent to client.

#pkts decaps: 120, #pkts decrypt: 120, #pkts verify 120 

!--- 120 packets received from client.

#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 172.16.172.34, remote crypto endpt.: 171.69.89.120
path mtu 1500, ipsec overhead 56, media mtu 1500
current outbound spi: 33a45029
inbound esp sas:
spi: 0x279fc5e9(664782313)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 5, crypto map: mymap
sa timing: remaining key lifetime (k/sec): (4607985/27809)
IV size: 8 bytes
replay detection support: Y
inbound ah sas:
inbound pcp sas:
outbound ESP sas:
spi: 0x33a45029(866406441)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 6, crypto map: mymap
sa timing: remaining key lifetime (k/sec): (4608000/27809)
IV size: 8 bytes
replay detection support: Y
outbound ah sas:
outbound PCP sas:
local ident (addr/mask/prot/port): (192.168.4.0/255.255.255.0/0/0)
remote ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)
current_peer: 172.16.172.39
PERMIT, flags={origin_is_acl,}
#pkts encaps: 10, #pkts encrypt: 10, #pkts digest 10
#pkts decaps: 23, #pkts decrypt: 23, #pkts verify 23
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 172.16.172.34, remote crypto endpt.: 172.16.172.39
path mtu 1500, ipsec overhead 56, media mtu 1500
current outbound spi: f264e92c
inbound ESP sas:
spi: 0x2772b869(661829737)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 1, crypto map: mymap
sa timing: remaining key lifetime (k/sec): (4607997/2420)
IV size: 8 bytes
replay detection support: Y
inbound ah sas:
inbound PCP sas:
outbound ESP sas:
spi: 0xf264e92c(4066699564)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 2, crypto map: mymap
sa timing: remaining key lifetime (k/sec): (4607999/2420)
IV size: 8 bytes
replay detection support: Y
outbound ah sas:
outbound PCP sas:

Hinweis: Wenn der Host 192.168.4.3 auf die Echoanforderung antwortet, gelangt das IP-Paket zur internen Schnittstelle des PIX.

38: Outbound ICMP echo reply (Len 32 id 2 seq 8960) 
   192.168.4.3 >192.168.4.3 > 10.1.2.1

Sobald das IP-Paket an der internen Schnittstelle ankommt, überprüft das PIX die nat 0 ACL 140 und bestimmt, dass die Quell- und Zieladresse des IP-Pakets mit der ACL übereinstimmt. Daher umgeht dieses IP-Paket alle NAT-Regeln auf dem PIX. Als Nächstes werden die Krypto-ACLs überprüft. Da die statische Crypto Map die niedrigste Instanznummer hat, wird die zugehörige ACL zuerst überprüft. Da in diesem Beispiel ACL 140 für die statische Crypto Map verwendet wird, überprüft das PIX diese ACL. Das IP-Paket hat nun die Quelladresse 192.168.4.3 und das Ziel 10.1.2.1. Da dies mit der ACL 140 übereinstimmt, geht das PIX davon aus, dass dieses IP-Paket für den LAN-zu-LAN IPsec-Tunnel mit Peer 172.16.172.39 vorgesehen ist (im Gegensatz zu unseren Zielen). Daher überprüft sie die SA-Datenbank, um festzustellen, ob für diesen Datenverkehr bereits ein aktuelles SA mit Peer 172.16.72.39 vorhanden ist. Wie die Ausgabe des Befehls show crypto ipsec sa zeigt, existiert für diesen Datenverkehr kein SA. Das PIX verschlüsselt das Paket nicht und sendet es nicht an den VPN-Client. Stattdessen wird eine weitere IPsec-Aushandlung mit Peer 172.16.172.39 initiiert, wie in dieser Ausgabe Folgendes angezeigt wird:

crypto_isakmp_process_block: src 172.16.172.39, dest 172.16.172.34
return status is IKMP_NO_ERR_NO_TRANS02303: sa_request, (key eng. msg.)
src= 172.16.172.34, dest= 172.16.172.39,
src_proxy= 192.168.4.0/255.255.255.0/0/0 (type=4),
dest_proxy= 10.1.2.0/255.255.255.0/0/0 (type=4), protocol= ESP, transform=
ESP-Des esp-md5-hmac , lifedur= 28800s and 4608000kb,
spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4004
702303: sa_request, (key Eng. msg.) src= 172.16.172.34, dest=
172.16.172.39, src_proxy= 192.168.4.0/255.255.255.0/0/0 (type=4),
dest_proxy= 10.1.2.0/255.255.255.0/0/0 (type=4), protocol= ESP, transform=
ESP-Des esp-md5-hmac , lifedur= 28800s and 4608000kb,
spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4004
ISAKMP (0): sending NOTIFY message 36137 protocol 1
return status is IKMP_NO_ERR_NO_TRANSIPSEC(key_engine): request timer
fired: count = 2,
(identity) local= 172.16.172.34, remote= 172.16.172.39,
local_proxy= 192.168.4.0/255.255.255.0/0/0 (type=4),
remote_proxy= 10.1.2.0/255.255.255.0/0/0 (type=4)

Die IPsec-Aushandlung schlägt aus folgenden Gründen fehl:

• Der Peer 172.16.172.39 definiert nur die Netzwerke 10.10.10.0/24 und 192.168.4.0/24 als den interessanten Datenverkehr in seiner ACL für die Crypto Map Peer 172.16.172.34.

• Die Proxy-Identitäten stimmen bei der IPsec-Aushandlung zwischen den beiden Peers nicht überein.

• Wenn der Peer die Aushandlung initiiert und die lokale Konfiguration PFS (Perfect Forward Secrecy) angibt, muss der Peer einen PFS-Austausch durchführen, oder die Aushandlung schlägt fehl. Wenn in der lokalen Konfiguration keine Gruppe angegeben ist, wird von der Standardeinstellung für group1 ausgegangen, und es wird ein Angebot von group1 oder group2 akzeptiert. Wenn die lokale Konfiguration die Gruppe2 angibt, muss diese Gruppe Teil des Angebots des Peers sein, oder die Aushandlung schlägt fehl. Wenn die lokale Konfiguration kein PFS angibt, akzeptiert sie jedes PFS-Angebot vom Peer. Die 1024-Bit-Diffie-Hellman-Primmodulusgruppe group2 bietet mehr Sicherheit als group1, erfordert jedoch mehr Verarbeitungszeit als group1.

  Hinweis: Der Befehl crypto map set pfs gibt IPsec so ein, dass er PFS anfordert, wenn er neue SAs für diesen Crypto Map-Eintrag anfordert. Verwenden Sie den Befehl no crypto map set pfs, um anzugeben, dass IPsec kein PFS anfordert. Dieser Befehl ist nur für Krypto-Map-Einträge in IPsec-ISAKMP und dynamische Einträge in der Crypto Map verfügbar. PFS wird standardmäßig nicht angefordert. Bei PFS findet jedes Mal, wenn eine neue SA ausgehandelt wird, ein neuer Diffie-Hellman-Austausch statt. Dies erfordert zusätzliche Verarbeitungszeit. PFS bietet eine weitere Sicherheitsstufe, da nur die mit diesem Schlüssel gesendeten Daten kompromittiert werden, wenn ein Schlüssel jemals von einem Angreifer geknackt wird. Während der Aushandlung veranlasst dieser Befehl IPsec, PFS anzufordern, wenn er neue SAs für den Crypto Map-Eintrag anfordert. Der Standardwert (group1) wird gesendet, wenn die set pfs-Anweisung keine Gruppe angibt.

  Hinweis: IKE-Verhandlungen mit einem Remote-Peer können hängen, wenn eine PIX-Firewall über zahlreiche Tunnel verfügt, die von der PIX-Firewall stammen und auf einem einzigen Remote-Peer enden. Dieses Problem tritt auf, wenn PFS nicht aktiviert ist und der lokale Peer viele gleichzeitige rekey-Anfragen anfordert. Wenn dieses Problem auftritt, wird die IKE SA erst nach einer Zeitüberschreitung wiederhergestellt oder manuell mit dem Befehl clear [crypto] isakmp sa. PIX-Firewall-Einheiten, die mit vielen Tunneln zu vielen Peers konfiguriert sind, oder viele Clients, die denselben Tunnel gemeinsam nutzen, sind von diesem Problem nicht betroffen. Wenn Ihre Konfiguration betroffen ist, aktivieren Sie PFS mit dem Befehl crypto map mapname seqnum set pfs.

Die IP-Pakete auf dem PIX werden letztendlich verworfen.

Verständnis der Lösung

Die richtige Methode zur Behebung dieses Fehlers besteht in der Definition zweier separater ACLs für Nat 0 und der statischen Crypto Maps. Dazu wird im Beispiel die ACL 190 für den Befehl nat 0 definiert und die geänderte ACL 140 für die statische Crypto Map verwendet, wie diese Ausgabe zeigt.

pix520-1(config)#
pix520-1(config)#write terminal
Building configuration...
: Saved
:
PIX Version 6.0(1)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password 2KFQnbNIdI.2KYOU encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pix520-1
domain-name vpn.com
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names

!--- Access list 140 defines interesting traffic in order to bypass NAT for VPN.

access-list 140 permit ip 192.168.4.0 255.255.255.0 10.10.10.0255.255.255.0

!--- Defines VPN interesting traffic.

access-list 190 permit ip 192.168.4.0 255.255.255.0 10.10.10.0255.255.255.0
access-list 190 permit ip 192.168.4.0 255.255.255.0 10.1.2.0 255.255.255.0
no pager
logging on
logging console debugging
logging monitor debugging
logging buffered debugging
logging trap debugging

logging history debugging
logging host outside 192.168.2.6
interface ethernet0 auto
interface ethernet1 auto
mtu outside 1500
mtu inside 1500
ip address outside 172.16.172.34 255.255.255.240
ip address inside 192.168.4.50 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool ippool 10.1.2.1-10.1.2.254
no failover
failover timeout 0:00:00
failover poll 15
failover ip address outside 0.0.0.0
failover ip address inside 0.0.0.0
pdm history enable
arp timeout 14400
global (outside) 1 172.16.172.57 netmask 255.255.255.255

!--- The nat 0 command bypasses NAT for the packets destined over the IPsec tunnel..

Nat (inside) 0 access-list 190
Nat (inside) 1 0.0.0.0 0.0.0.0 0 0
route outside 0.0.0.0 0.0.0.0 172.16.172.33 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323
0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
AAA-server TACACS+ protocol tacacs+
AAA-server RADIUS protocol radius
AAA-server mytest protocol tacacs+
AAA-server nasir protocol radius
snmp-server host outside 192.168.2.6
no snmp-server location
no snmp-server contact
snmp-server community public
snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
no sysopt route dnat
crypto ipsec transform-set myset ESP-Des esp-md5-hmac
crypto dynamic-map dynmap 10 set transform-set myset

!--- The crypto map commands define the IPsec SA (Phase II SA) parameters.

crypto map mymap 5 ipsec-isakmp
crypto map mymap 5 match address 140
crypto map mymap 5 set peer 172.16.172.39
crypto map mymap 5 set transform-set myset
crypto map mymap 10 ipsec-isakmp dynamic dynmap
crypto map mymap interface outside
isakmp enable outside
isakmp key ******** address 172.16.172.39 netmask 255.255.255.255 no-xauth
no-config-mode
isakmp identity address
isakmp policy 10 authentication pre-share
isakmp policy 10 encryption Des
isakmp policy 10 hash sha
isakmp policy 10 group 2
isakmp policy 10 lifetime 86400
isakmp policy 20 authentication pre-share
isakmp policy 20 encryption Des
isakmp policy 20 hash sha
isakmp policy 20 group 1
isakmp policy 20 lifetime 86400
vpngroup vpn3000 address-pool ippool
vpngroup vpn3000 idle-time 1800
vpngroup vpn3000 password ********
telnet 192.168.4.0 255.255.255.0 inside
telnet 171.69.89.82 255.255.255.255 inside
telnet timeout 5
ssh 172.0.0.0 255.0.0.0 outside
ssh 171.0.0.0 255.255.255.0 outside
ssh 171.0.0.0 255.0.0.0 outside
ssh timeout 60
terminal width 80
Cryptochecksum:e2cb98b30d3899597b3af484fae4f9ae
: end
[OK]
pix520-1(config)# pix520-1(config)#show crypto map

Nachdem die Änderungen vorgenommen wurden und der Client einen IPsec-Tunnel mit dem PIX erstellt hat, geben Sie den Befehl show crypto map ein. Dieser Befehl zeigt, dass für die statische Crypto Map der durch die ACL 140 definierte interessante Datenverkehr nur 192.168.4.0/24 und 10.10.10.0/24 ist, was das ursprüngliche Ziel war. Darüber hinaus zeigt die dynamische Zugriffsliste den als Client (10.1.2.1) und PIX (172.16.172.34) definierten interessanten Datenverkehr an.

pix520-1(config)#show crypto map
Crypto Map: "mymap" interfaces: { outside }
Crypto Map "mymap" 5 ipsec-isakmp
Peer = 172.16.172.39
access-list 140 permit ip 192.168.4.0 255.255.255.0 10.10.10.0255.255.255.0 
   (hitcnt=57)
Current peer: 172.16.172.39
Security association lifetime: 4608000 kilobytes/28800 seconds
PFS (Y/N): N
Transform sets={ myset, }
Crypto Map "mymap" 10 ipsec-isakmp
Dynamic map template tag: dynmap
Crypto Map "mymap" 20 ipsec-isakmp
Peer = 171.69.89.120
access-list dynacl4 permit ip host 172.16.172.34 host 10.1.2.1 (hitcnt=0)
dynamic (created from dynamic map dynmap/10)
Current peer: 171.69.89.120
Security association lifetime: 4608000 kilobytes/28800 seconds
PFS (Y/N): N
Transform sets={ myset, }
Crypto Map "mymap" 30 ipsec-isakmp
Peer = 171.69.89.120
access-list dynacl5 permit ip any host 10.1.2.1 (hitcnt=13)
dynamic (created from dynamic map dynmap/10)
Current peer: 171.69.89.120
Security association lifetime: 4608000 kilobytes/28800 seconds
PFS (Y/N): N
Transform sets={ myset, }

Wenn der VPN-Client 10.1.2.1 einen Ping an den Host 192.168.4.3 sendet, wird die Echoantwort an die interne Schnittstelle des PIX gesendet. Das PIX überprüft die nat 0 ACL 190 und stellt fest, dass das IP-Paket mit der ACL übereinstimmt. Daher umgeht das Paket die NAT-Regeln auf dem PIX. Anschließend überprüft das PIX die statische Crypto Map ACL 140, um eine Übereinstimmung zu finden. Diesmal stimmen Quelle und Ziel des IP-Pakets nicht mit der ACL 140 überein. Daher überprüft das PIX die dynamische ACL und findet eine Übereinstimmung. Das PIX überprüft dann seine SA-Datenbank, um festzustellen, ob bereits eine IPsec-SA mit dem Client erstellt wurde. Da der Client bereits eine IPsec-Verbindung mit dem PIX aufgebaut hat, existiert eine IPsec-SA. Das PIX verschlüsselt die Pakete anschließend und sendet sie an den VPN-Client. Verwenden Sie den Befehl show crypto ipsec als Ausgabe des PIX, um zu überprüfen, ob Pakete verschlüsselt und entschlüsselt sind. In diesem Fall verschlüsselte das PIX sechzehn Pakete und schickte sie an den Client. Die PIX empfing außerdem verschlüsselte Pakete vom VPN-Client und entschlüsselte sechzehn Pakete.

pix520-1(config)#show crypto ipsec sa
interface: outside
Crypto map tag: mymap, local addr. 172.16.172.34
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.1.2.1/255.255.255.255/0/0)
current_peer: 171.69.89.120
dynamic allocated peer ip: 10.1.2.1
PERMIT, flags={}
#pkts encaps: 16, #pkts encrypt: 16,#pkts digest 16
#pkts decaps: 16, #pkts decrypt: 16, #pkts verify 16
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 172.16.172.34, remote crypto endpt.: 171.69.89.120
path mtu 1500, ipsec overhead 56, media mtu 1500
current outbound spi: 613d083d
inbound ESP sas:
spi: 0x6adf97df(1793038303)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 4, crypto map: mymap
sa timing: remaining key lifetime (k/sec): (4607998/27420)
IV size: 8 bytes
replay detection support: Y
inbound ah sas:
inbound PCP sas:
outbound ESP sas:
spi: 0x613d083d(1631389757)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 3, crypto map: mymap
sa timing: remaining key lifetime (k/sec): (4607999/27420)
IV size: 8 bytes
replay detection support: Y
outbound ah sas:
outbound PCP sas:
local ident (addr/mask/prot/port): (192.168.4.0/255.255.255.0/0/0)
remote ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)
current_peer: 172.16.172.39
PERMIT, flags={origin_is_acl,}
#pkts encaps: 9, #pkts encrypt: 9, #pkts digest 9
#pkts decaps: 9, #pkts decrypt: 9, #pkts verify 9
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0
#send errors 1, #recv errors 0
local crypto endpt.: 172.16.172.34, remote crypto endpt.: 172.16.172.39
path mtu 1500, ipsec overhead 56, media mtu 1500
current outbound spi: 58009c01
inbound ESP sas:
spi: 0x2d408709(759203593)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 2, crypto map: mymap
sa timing: remaining key lifetime (k/sec): (4607998/3319)
IV size: 8 bytes
replay detection support: Y
inbound ah sas:
inbound PCP sas: outbound ESP sas:
spi: 0x58009c01(1476434945)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 1, crypto map: mymap
sa timing: remaining key lifetime (k/sec): (4607999/3319)
IV size: 8 bytes
replay detection support: Y
outbound ah sas:
outbound PCP sas:
pix520-1(config)# sh cr isa sa
Total : 2
Embryonic : 0
dst src state pending created
172.16.172.39 172.16.172.34 QM_IDLE 0 1
172.16.172.34 171.69.89.120 QM_IDLE 0 2
pix520-1(config)# sh cr ipsec sa

Routerkonfiguration und Ausgabe von Befehlen

1720-1#show run
Building configuration...
Current configuration : 1592 bytes
!
! Last configuration change at 21:08:49 PST Mon Jan 7 2002
! NVRAM config last updated at 18:18:17 PST Mon Jan 7 2002
!
version 12.2
no parser cache
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname 1720-1
!
no logging buffered
enable secret 5 $1$6jAs$tNxI1a/2DYFAtPLyCDXjo/
enable password ww
!
username cisco password 0 cisco
memory-size iomem 15
clock timezone PST -8
ip subnet-zero
no ip domain-lookup
ip domain-name cisco.com
!
ip ssh time-out 120
ip ssh authentication-retries 3
!
!

!--- The crypto isakmp policy command defines the Phase 1 SA parameters.

crypto isakmp policy 15
authentication pre-share
crypto isakmp key cisco123 address 172.16.172.34
!
!

!--- The crypto ipsec transform-set command defines IPsec encryption !--- and authentication algorithims.

crypto ipsec transform-set myset ESP-Des esp-md5-hmac
!
!

!--- The crypto map command defines the IPsec SA (Phase II SA) parameters..

crypto map vpn 10 ipsec-isakmp
set peer 172.16.172.34
set transform-set myset
match address 150
!
!
!
!
!
interface FastEthernet0
ip address 172.16.172.39 255.255.255.240
speed auto

!--- The crypto map applied to the outbound interface.

crypto map vpn
interface Ethernet0
ip address 10.10.10.1 255.255.255.240
speed auto
no ip route-cache
no ip mroute-cache
!
!
ip classless
ip route 0.0.0.0 0.0.0.0 172.16.172.33
no ip http server
ip pim bidir-enable
!

!--- Access-list defines interesting VPN traffic.

access-list 150 permit ip 10.10.10.0 0.0.0.255 192.168.4.0 0.0.0.255
!
line con 0
line aux 0
line vty 0 4
exec-timeout 0 0
password cisco
no login
line vty 5 15
login
!
no scheduler allocate
end
1720-1#

1720-1#show crypto isa sa
DST src state conn-id slot
172.16.172.39 172.16.172.34 QM_IDLE 132 0
1720-1#show crypto ipsec sa
interface: FastEthernet0
Crypto map tag: vpn, local addr. 172.16.172.39
local ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)
remote ident (addr/mask/prot/port): (192.168.4.0/255.255.255.0/0/0)
current_peer: 172.16.172.34
PERMIT, flags={origin_is_acl,}
#pkts encaps: 9 #pkts encrypt: 9 #pkts digest 9
#pkts decaps: 9, #pkts decrypt: 9, #pkts verify 9
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0
#send errors 7, #recv errors 0
local crypto endpt.: 172.16.172.39, remote crypto endpt.: 172.16.172.34
path mtu 1500, media mtu 1500
current outbound spi: 2D408709
inbound ESP sas:
spi: 0x58009C01(1476434945)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }

!--- IPsec SA 200 as seen in the show crypto engine connection active command.

slot: 0, conn id: 200, flow_id: 1, crypto map: vpn
sa timing: remaining key lifetime (k/sec): (4607998/3144)
IV size: 8 bytes
replay detection support: Y
inbound ah sas:
inbound PCP sas:
outbound ESP sas:
spi: 0x2D408709(759203593)
transform: ESP-Des esp-md5-hmac ,
in use settings ={Tunnel, }

!--- IPsec SA 201 as seen in the show crypto engine connection active command.

slot: 0, conn id: 201, flow_id: 2, crypto map: vpn
sa timing: remaining key lifetime (k/sec): (4607998/3144)
IV size: 8 bytes
replay detection support: Y
outbound ah sas:
outbound PCP sas:
1720-1#

1720-1#show crypto map
Interfaces using crypto map mymap:
Crypto Map "vpn" 10 ipsec-isakmp
Peer = 172.16.172.34
Extended IP access list 150
access-list 150 permit ip 10.10.10.0 0.0.0.255 192.168.4.0 0.0.0.255
Current peer: 172.16.172.34
Security association lifetime: 4608000 kilobytes/3600 seconds
PFS (Y/N): N
Transform sets={ myset, }
Interfaces using crypto map vpn: FastEthernet0 

Zugehörige Informationen

• Cisco PIX Firewall-Software
• Cisco Secure PIX Firewall - Befehlsreferenzen
• Problemhinweise zu Sicherheitsprodukten (einschließlich PIX)
• Anforderungen für Kommentare (RFCs)
• IPsec-Aushandlung/IKE-Protokolle
• Technischer Support und Dokumentation - Cisco Systems