Débogages ASA IKEv2 pour le dépannage VPN d'accès à distance

Description du message du serveur

Déboguages

Description du message client

Date : 23/04/13
Heure : 16:24:55
Type : Information
Source : acvpnui

Description : Fonction : ClientIfcBase::connect
Fichier : .\ClientIfcBase.cpp
Ligne : 964
Une connexion VPN à Anu-IKEV2 a été demandée par l'utilisateur.

****************************************
Date : 23/04/13
Heure : 16:24:55
Type : Information
Source : acvpnui

Description : informations de type de message envoyées à l'utilisateur :
Contact d'Anu-IKEV2.
****************************************
Date : 23/04/13
Heure : 16:24:55
Type : Information
Source : acvpnui

Description : Fonction : ApiCert::getCertList
Fichier : .\ApiCert.cpp
Ligne : 259
Nombre de certificats trouvés : 0
****************************************
Date : 23/04/13
Heure : 16:25:00
Type : Information
Source : acvpnui

Description : Initialisation de la connexion VPN à la passerelle sécurisée https://10.0.0.1/ASA-IKEV2
****************************************
Date : 23/04/13
Heure : 16:25:00
Type : Information
Source : acvpnagent

Description : Tunnel initié par le client GUI.

****************************************

Date : 23/04/13
Heure : 16:25:02
Type : Information
Source : acvpnagent

Description : Fonction : CIPsecProtocol::connectTransport
Fichier : .\IPsecProtocol.cpp
Ligne : 1629
Socket IKE ouvert de 192.168.1.1:25170 à 10.0.0.1:500
****************************************

L'ASA reçoit le message IKE_SA_INIT du client.

IKEv2-PLAT-4 : RECV PKT [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000

IKEv2-PROTO-3 : Rx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] id_m : 0x0

La première paire de messages est l'échange IKE_SA_INIT. Ces messages négocient des algorithmes cryptographiques, échangent des nonces et effectuent un échange Diffie-Hellman (DH).

Le message IKE_SA_INIT reçu du client contient les champs suivants :

1. En-tête ISAKMP - SPI/version/flags.
2. SAi1 : algorithme cryptographique pris en charge par l'initiateur IKE.
3. KEi : valeur de clé publique DH de l'initiateur.
4. N - Initiator Nonce.

L'ASA vérifie et traite les
Message IKE_INIT. L'ASA :

1. Choisit la suite de chiffrement dans
   ceux offerts par l'initiateur.
2. Calcule sa propre clé secrète DH.
3. Calcule une valeur SKEYID à partir
   pour lesquelles toutes les clés peuvent être dérivées
   cette IKE_SA. Les en-têtes de tous les
   les messages suivants sont
   chiffrés et authentifiés. Les
   clés utilisées pour le cryptage et
   protection d'intégrité sont dérivées
   de SKEYID et sont connus sous le nom de :
   
   
   1. SK_e - Chiffrement.
   2. SK_a : authentification.
   3. SK_d - Provient et utilisé
      pour le calcul de
      support de détrompage
      SA_ENFANTS.
   Un SK_e et un SK_a distincts sont
   calculé pour chaque direction.

Configuration appropriée :

crypto ikev2 policy 10
 encryption aes-192 integrity 
 sha group 2  prf sha lifetime 
 seconds 86400
crypto ikev2 enable outside

L'ASA construit le message de réponse pour l'échange IKE_SA_INIT.

Ce paquet contient :

1. En-tête ISAKMP - SPI/version/flags.
2. SAr1 : algorithme cryptographique choisi par le répondeur IKE.
3. KEr - Valeur de clé publique DH du répondeur.
4. N - Nonce du répondeur.

Le client indique que le tunnel IPSec est « en cours d'initialisation ».

Date : 23/04/13
Heure : 16:25:02
Type : Information
Source : acvpnagent

Description : Fonction : ikev2_log
Fichier : .\ikev2_anyconnect_osal.cpp
Ligne : 2730
Requête reçue pour établir un tunnel IPsec ; sélecteur de trafic local = Plage d'adresses : 0.0.0.0-255.255.255.255 Protocole : 0 Plage de ports : 0-65535 ; sélecteur de trafic distant = Plage d'adresses : 0.0.0.0-255.255.255.255 Protocole : 0 Plage de ports : 0-65535
****************************************
Date : 23/04/13
Heure : 16:25:02
Type : Information
Source : acvpnagent

Description : Fonction : CIPsecProtocol::connectTransport
Fichier : .\IPsecProtocol.cpp
Ligne : 1629
Socket IKE ouvert de 192.168.1.1:25171 à 10.0.0.1:4500
****************************************

L'authentification est effectuée avec EAP. Une seule méthode d'authentification EAP est autorisée dans une conversation EAP. L'ASA reçoit le message IKE_AUTH du client.

IKEv2-PLAT-4 : RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001

IKEv2-PROTO-3 : Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] id_m : 0x1

Lorsque le client inclut une charge utile IDi
mais pas une charge utile AUTH, cela indique
le client a déclaré une identité mais a
pas prouvé. Dans les débogages, l'AUTH
la charge utile n'est pas présente dans IKE_AUTH
paquet envoyé par le client. Le client
envoie la charge utile AUTH uniquement après
L'échange EAP a réussi. Si l'ASA
est disposé à utiliser un
méthode d'authentification, il place un EAP
charge utile dans le message 4 et différer l'envoi
SAr2, TSi et TSr jusqu'à l'initiateur
l'authentification est terminée dans un
échange IKE_AUTH suivant.

Le paquet de l'initiateur IKE_AUTH contient :

1. En-tête ISAKMP -
   SPI/version/indicateurs.
2. IDi : nom du groupe de tunnels qui
   le client souhaite se connecter à
   peut être livré par l'IDi
   charge utile de type ID_KEY_ID dans
   le message initial du
   Échange IKE_AUTH. Ceci
   se produit lorsque le profil client* est
   préconfiguré avec un nom de groupe
   ou, après un succès précédent
   authentification, le client a
   mis en cache le nom du groupe dans son
   fichier de préférences. L'ASA
   tente d'établir une correspondance avec un groupe de tunnels
   nom avec le contenu de l'IKE
   Charge utile IDi. Après le premier
   VPN IPSec réussi est
   établi, le client met en cache
   nom du groupe (alias du groupe) auquel
   l'utilisateur est authentifié. Ce groupe
   nom est fourni dans l'ID
   charge utile de la connexion suivante
   afin d'indiquer la
   groupe probable souhaité par le
   utilisateur. Lorsque l'authentification EAP est
   spécifié ou implicite par le client
   profil et le profil ne
   contiennent l'<IKEIdentity>
   , le client envoie un
   ID_GROUP, type de données utiles IDi
   avec la chaîne fixe
   *$AnyConnectClient$*.
   
3. CERTREQ - Le client est
   demande à l'ASA d'un
   certificat privilégié. Certificat
   les données utiles de demande peuvent être incluses
   dans un échange lorsque l'expéditeur
   doit obtenir le certificat de la
   récepteur. La demande de certificat
   la charge utile est traitée par
   inspection du 'codage Cert'
   afin de déterminer
   si le processeur dispose de
   certificats de ce type. Dans l'affirmative,
   Le champ « Autorité de certification » est
   inspecté afin de déterminer si
   le processeur possède des certificats
   pouvant être validés jusqu'à l'un des
   la certification spécifiée
   les autorités. Il peut s'agir d'une chaîne
   certificats.
   
4. CFG - CFG_REQUEST/
   CFG_REPLY autorise un IKE
   point d'extrémité demandant des informations
   de son homologue. Si un attribut de la
   Configuration CFG_REQUEST
   n'est pas de longueur nulle, il est
   prise comme une suggestion à cet effet
   attribute.The CFG_REPLY
   retour possible de la charge utile de configuration
   cette valeur ou une nouvelle valeur. Il peut
   ajouter également de nouveaux attributs et non
   inclure certains demandés.
   Demandeurs ignorés renvoyés
   attributs qu'ils n'ont pas
   reconnaître. Dans ces débogages, le
   Le client demande le tunnel.
   configuration dans le
   CFG_REQUEST L'ASA
   répond à ce message et envoie le tunnel
   attributs de configuration uniquement après
   l'échange EAP a réussi.
   
5. SAi2 - SAi2 lance la SA,
   similaire à la phase 2
   transform set exchange dans IKEv1.
   
6. TSi et TSr - Initiateur et
   dispositifs de sélection du trafic répondeur
   contiennent respectivement la source
   et l'adresse de destination du
   initiateur et répondeur afin de
   transfert et réception chiffrés
   trafic. Plage d'adresses
   spécifie que tout le trafic en provenance et à destination
   cette plage est tunnellisée. Si la
   la proposition est acceptable pour le
   répondeur, il envoie un TS identique
   les charges utiles.

Attributs que le client doit fournir pour
l'authentification de groupe sont stockées dans un
Fichier de profil AnyConnect.

*Configuration de profil appropriée :

<ServerList>
<HostEntry>
  <HostName>Anu-IKEV2
  </HostName>
  <HostAddress>10.0.0.1
  </HostAddress>
  
         
         
           ASA-IKEV2 
          
 
         
<PrimaryProtocol>IPsec
</PrimaryProtocol>
</HostEntry>
</ServerList>

L'ASA génère une réponse au message IKE_AUTH et se prépare à s'authentifier auprès du client.

Paquet déchiffré :Données&deux-points ; 540 octets
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : arrêt du minuteur pour attendre le message d'authentification
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_CHK_NAT_T
IKEv2-PROTO-3 : (6) : vérification de la détection NAT
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_CHG_NAT_T_PORT
IKEv2-PROTO-2 : (6) : NAT a détecté un flottement vers le port d'initialisation 25171, resp port 4500
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_PROC_ID
IKEv2-PROTO-2 : (6) : ID de paramètres valides reçus dans le processus
IKEv2-PLAT-3 : (6) méthode d'authentification par homologue définie sur : 0
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_CHK_IF_PEER_CERT_NEEDS_TO_BE_FETCHED_FOR_PROF_SEL
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_GET_POLICY_BY_PEERID
IKEv2-PROTO-3 : (6) : obtention des stratégies configurées
IKEv2-PLAT-3 : nouvelle connexion client AnyConnect détectée en fonction de la charge utile de l'ID
IKEv2-PLAT-3 : my_auth_method = 1
IKEv2-PLAT-3 : (6) méthode d'authentification par homologue définie sur : 256
IKEv2-PLAT-3 : supported_peers_auth_method = 16
IKEv2-PLAT-3 : (6) tp_name défini sur : Anu-ikev2
IKEv2-PLAT-3 : point de confiance défini sur : Anu-ikev2
IKEv2-PLAT-3 : ID P1 = 0
IKEv2-PLAT-3 : conversion de IKE_ID_AUTO en = 9
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_SET_POLICY
IKEv2-PROTO-3 : (6) : définition des stratégies configurées
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_VERIFY_POLICY_BY_PEERID
IKEv2-PROTO-3 : (6) : vérification de la stratégie de l'homologue
IKEv2-PROTO-3 : (6) : certificat correspondant trouvé
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_CHK_CONFIG_MODE
IKEv2-PROTO-3 : (6) : réception de données de mode de configuration valides
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_SET_RECD_CONFIG_MODE
IKEv2-PLAT-3 : (6) le nom d'hôte DHCP pour DDNS est défini sur : winxp64template
IKEv2-PROTO-3 : (6) : définition des données du mode de configuration reçues
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_CHK_AUTH4EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_WAIT_AUTH Événement : EV_CHK_EAP
IKEv2-PROTO-3 : (6) : rechercher l'échange EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_BLD_AUTH Événement : EV_GEN_AUTH
IKEv2-PROTO-3 : (6) : générer mes données d'authentification
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_BLD_AUTH Événement : EV_CHK4_SIGN
IKEv2-PROTO-3 : (6) : obtenir ma méthode d'authentification
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_BLD_AUTH Événement : EV_SIGN
IKEv2-PROTO-3 : (6) : données d'authentification de la signature
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_BLD_AUTH Événement : EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_BLD_EAP_AUTH_REQ Événement : EV_AUTHEN_REQ
IKEv2-PROTO-2 : (6) : demande à l'authentificateur d'envoyer une requête EAP

Nom d'élément créé valeur config-auth
Ajout de vpn de valeur client de nom d'attribut à l'élément config-auth
Valeur de type de nom d'attribut ajoutée Hello à l'élément config-auth
Nom de l'élément créé version 9.0(2)8
Ajout de la valeur de version 9.0(2)8 du nom de l'élément à l'élément config-auth
Nom de l'attribut ajouté valeur sg à la version de l'élément
Message XML généré ci-dessous
< ? xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="hello">
<version who="sg">9.0(2)8</version>
</config-auth>

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_BLD_EAP_AUTH_REQ Événement : EV_RECV_EAP_AUTH
IKEv2-PROTO-5 : (6) : Action : Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_BLD_EAP_AUTH_REQ Événement : EV_CHK_REDIRECT
IKEv2-PROTO-3 : (6) : contrôle de redirection avec la plate-forme pour l'équilibrage de charge
IKEv2-PLAT-3 : contrôle de redirection sur la plate-forme
IKEv2-PLAT-3 : ikev2_osal_redirect : session acceptée par 10.0.0.1
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState : R_BLD_EAP_AUTH_REQ Événement : EV_SEND_EAP_AUTH_REQ
IKEv2-PROTO-2 : (6) : envoi d'une demande EAP
IKEv2-PROTO-5 : charge utile spécifique au constructeur de la construction : CISCO-GRANITEIKEv2-PROTO-3 : (6) : construction

L'ASA envoie la charge utile AUTH afin de demander des informations d'identification d'utilisateur au client. L'ASA envoie la méthode AUTH en tant que « RSA », de sorte qu'il envoie son propre certificat au client, afin que le client puisse authentifier le serveur ASA.

Comme l'ASA est prêt à utiliser une méthode d'authentification extensible, il place une charge utile EAP dans le message 4 et reporte l'envoi de SAr2, TSi et TSr jusqu'à ce que l'authentification de l'initiateur soit terminée dans un échange IKE_AUTH suivant. Ainsi, ces trois charges utiles ne sont pas présentes dans les débogages.

Le paquet EAP contient :

1. Code : request - Ce code est envoyé par l'authentificateur à l'homologue.
2. id : 1 - L'id permet de faire correspondre les réponses EAP avec les requêtes. Ici, la valeur est 1, ce qui indique qu'il s'agit du premier paquet dans l'échange EAP. Cette requête EAP a le type 'config-auth' de 'hello ; ' elle est envoyée de l'ASA au client afin de lancer l'échange EAP.
3. Longueur : 150 - La longueur du paquet EAP inclut le code, l'ID, la longueur et les données EAP.
4. Données EAP.

La fragmentation peut se produire si les certificats sont volumineux ou si des chaînes de certificats sont incluses. Les charges utiles KE initiateur et répondeur peuvent également inclure des clés volumineuses, ce qui peut également contribuer à la fragmentation.

****************************************
Date : 23/04/13
Heure : 16:25:02
Type : Information
Source : acvpnagent

Description : Fonction : ikev2_verify_X509_SIG_certs
Fichier : .\ikev2_anyconnect_osal.cpp
Ligne : 2077
Demande d'acceptation de certificat de l'utilisateur
****************************************
Date : 23/04/13
Heure : 16:25:02
Type : Erreur
Source : acvpnui

Description : Fonction : CapiCertificate::verifyChainPolicy
Fichier : .\Certificates\CapiCertificate.cpp
Ligne : 2032
Fonction appelée : CertVerifyCertificateChainPolicy
Code de retour : -2146762487 (0x800B0109)
Description : chaîne de certificats traitée, mais terminée par un certificat racine qui n'est pas approuvé par le fournisseur d'approbation.
****************************************
Date : 23/04/13
Heure : 16:25:04
Type : Information
Source : acvpnagent

Description : Fonction : CEAPMgr::dataRequestCB
Fichier : .\EAPMgr.cpp
Ligne : 400
Type proposé par EAP : EAP-ANYCONNECT
****************************************

Le client répond à la requête EAP par une réponse.

Le paquet EAP contient :

1. Code : response - Ce code est envoyé par l'homologue à l'authentificateur en réponse à la demande EAP.
2. id : 1 - L'id permet de faire correspondre les réponses EAP avec les requêtes. Ici, la valeur est 1, ce qui indique qu'il s'agit d'une réponse à la requête précédemment envoyée par l'ASA (authentificateur). Cette réponse EAP a le type 'config-auth' de 'init' ; le client initialise l'échange EAP et attend que l'ASA génère la demande d'authentification.
3. Longueur : 252 - La longueur du paquet EAP inclut le code, l'ID, la longueur et les données EAP.
4. Données EAP.

L'ASA déchiffre cette réponse et le client indique qu'il a reçu la charge utile AUTH dans le paquet précédent (avec le certificat) et a reçu le premier paquet de requête EAP de l'ASA. C'est ce que contient le paquet de réponse EAP « init ».

IKEv2-PLAT-4 : RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-3 : Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4 : IKEV2 HDR ispi : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : charge utile suivante : ENCR, version : 2.0
IKEv2-PROTO-4 : type d'échange : IKE_AUTH, indicateurs : INITIATOR
IKEv2-PROTO-4 : ID de message : 0x2, longueur : 332
IKEv2-PROTO-5 : (6) : la demande a mess_id 2 ; attendu de 2 à 2
VRAI Paquet déchiffré :Données : 256 octets
 EAP Charge utile suivante : AUCUNE, réservée : 0x0, longueur : 256
    Code : réponse : id : 1, longueur : 252
    Type : Inconnu - 254
données EAP:247 octets

Paquet déchiffré:Données&deux-points ; 332 octets
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState : R_WAIT_EAP_RESP Événement : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : arrêt du minuteur pour attendre le message d'authentification
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState : R_WAIT_EAP_RESP Événement : EV_RECV_EAP_RESP

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState : R_PROC_EAP_RESP Événement : EV_PROC_MSG
IKEv2-PROTO-2 : (6) : traitement de la réponse EAP

Message XML reçu ci-dessous du client
< ? xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="init">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<group-select>ASA-IKEV2</group-select>
<group-access>ASA-IKEV2</group-access>
</config-auth>
IKEv2-PROTO-5 : (6) : SM Trace-> SA : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState : R_PROC_EAP_RESP Événement : EV_RECV_EAP_AUTH

IKEv2-PROTO-5 : (6) : Action : Action_Null
IKEv2-PROTO-5 : (6) : SM Trace-> SA : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState : R_BLD_EAP_REQ Événement : EV_RECV_EAP_REQ

Il s'agit de la deuxième requête envoyée par l'ASA au client.

Le paquet EAP contient :

1. Code : request - Ce code est envoyé par l'authentificateur à l'homologue.
2. id : 2 - L'id permet de faire correspondre les réponses EAP avec les requêtes. Ici, la valeur est 2, ce qui indique qu'il s'agit du deuxième paquet dans l'échange. Cette demande a le type 'config-auth' de 'auth-request'; l'ASA demande que le client envoie les informations d'identification d'authentification de l'utilisateur.
3. Longueur : 457 - La longueur du paquet EAP inclut le code, l'ID, la longueur et les données EAP.
4. Données EAP.

Charge utile ENCR :

Cette charge utile est déchiffrée et son contenu est analysé en tant que charge utile supplémentaire.

IKEv2-PROTO-2 : (6) : envoi d'une demande EAP

Message XML généré ci-dessous
< ? xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-request">
<version who="sg">9.0(2)8</version>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash>
</opaque>
<csport>443</csport>
<auth id="main">
<formulaire>
<input type="text" name="username" label="Username:"></input>
<input type="password" name="password" label="Password:"></input>
</form>
</auth>
</config-auth>
IKEv2-PROTO-3 : (6) : création d'un paquet pour le cryptage ; le contenu est le suivant :
 EAP Charge utile suivante : AUCUNE, réservée : 0x0, longueur : 461
    Code : requête : id : 2, longueur : 457
    Type : Inconnu - 254
Données EAP : 452 octets

IKEv2-PROTO-3 : Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4 : IKEV2 HDR ispi : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : charge utile suivante : ENCR, version : 2.0
IKEv2-PROTO-4 : type d'échange : IKE_AUTH, indicateurs : RESPONDER MSG-RESPONSE
IKEv2-PROTO-4 : ID de message : 0x2, longueur : 524
 ENCR Charge utile suivante : EAP, réservé : 0x0, longueur : 496
Données codées&deux-points ; 492 octets

IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState : R_BLD_EAP_REQ Événement : EV_START_TMR.
IKEv2-PROTO-3 : (6) : minuteur de démarrage pour attendre le message d'authentification de l'utilisateur (120 s)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState : R_WAIT_EAP_RESP Événement : EV_NO_EVENT   

Le client demande l'authentification de l'utilisateur et l'envoie à l'ASA en tant que réponse EAP dans le paquet suivant (« auth-reply »).

Le client envoie un autre message d'initiateur IKE_AUTH avec la charge utile EAP.

Le paquet EAP contient :

1. Code : response - Ce code est envoyé par l'homologue à l'authentificateur en réponse à la demande EAP.
2. id : 2 - L'id permet de faire correspondre les réponses EAP avec les requêtes. Ici, la valeur est 2, ce qui indique qu'il s'agit d'une réponse à la requête précédemment envoyée par l'ASA (authentificateur).
3. Longueur : 420 - La longueur du paquet EAP inclut le code, l'ID, la longueur et les données EAP.
4. Données EAP.

L'ASA traite cette réponse. Le client a demandé à l'utilisateur d'entrer ses informations d'identification. Cette réponse EAP a le type 'config-auth' de 'auth-reply'. Ce paquet contient les informations d'identification saisies par l'utilisateur.

paquet déchiffré:données: 492 octets
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState : R_WAIT_EAP_RESP Événement : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : arrêt du minuteur pour attendre le message d'authentification
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState : R_WAIT_EAP_RESP Événement : EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState : R_PROC_EAP_RESP Événement : EV_PROC_MSG
IKEv2-PROTO-2 : (6) : traitement de la réponse EAP

Message XML reçu ci-dessous du client
< ? xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-reply">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<jeton_session></jeton_session>
<id_session></id_session>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash></opaque>
<auth>
<password>cisco123</password>
<username>Anu</username></auth>
</config-auth>
IKEv2-PLAT-1 : EAP : authentification de l'utilisateur initiée
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState : R_PROC_EAP_RESP Événement : EV_NO_EVENT
IKEv2-PLAT-5 : EAP : rappel AAA
Récupération du résumé du certificat de serveur : DACE1C274785F28BA11D64453096BAE294A3172E
IKEv2-PLAT-5: EAP:succès du rappel AAA
IKEv2-PROTO-3 : réponse reçue de l'authentificateur
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState : R_PROC_EAP_RESP Événement : EV_RECV_EAP_AUTH
IKEv2-PROTO-5 : (6) : Action : Action_Null

L'ASA crée une troisième requête EAP dans l'échange.

Le paquet EAP contient :

1. Code : request - Ce code est envoyé par l'authentificateur à l'homologue.
2. id : 3 - L'id permet de faire correspondre les réponses EAP avec les requêtes. Ici, la valeur est 3, ce qui indique qu'il s'agit du troisième paquet dans l'échange. Ce paquet a le type 'config-auth' de 'complete'; l'ASA a reçu une réponse et l'échange EAP est terminé.
3. Longueur : 4235 - La longueur du paquet EAP inclut le code, l'ID, la longueur et les données EAP.
4. Données EAP.

Charge utile ENCR :

Cette charge utile est déchiffrée et son contenu est analysé en tant que charge utile supplémentaire.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState : R_BLD_EAP_REQ Événement : EV_RECV_EAP_REQ
IKEv2-PROTO-2 : (6) : envoi d'une demande EAP

Message XML généré ci-dessous
< ? xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="complete">
<version who="sg">9.0(2)8</version>
<session-id>32768</session-id>
<session-token>18wA0TtGmDxPKPQCJywC7fB7EWLCEgz-ZtjYpAyXx2yJH0H3H8t5xpBOx3Ixag</session-token>
<auth id="success">
<message id="0" param1="" param2=""></message>
</auth>

IKEv2-PROTO-3 : (6) : création d'un paquet pour le cryptage ; le contenu est le suivant :
 EAP Charge utile suivante : AUCUNE, réservée : 0x0, longueur : 4239
    Code : demande : id : 3, longueur : 4235
    Type : Inconnu - 254
Données EAP : 4 230 octets

IKEv2-PROTO-3 : Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x3
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4 : IKEV2 HDR ispi : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : charge utile suivante : ENCR, version : 2.0
IKEv2-PROTO-4 : type d'échange : IKE_AUTH, indicateurs : RESPONDER MSG-RESPONSE
IKEv2-PROTO-4 : ID de message : 0x3, longueur : 4300
 ENCR Charge utile suivante : EAP, réservé : 0x0, longueur : 4272
Données chiffrées&deux-points;4268 octets

IKEv2-PROTO-5 : (6) : paquet de fragmentation, MTU de fragment : 544, nombre de fragments : 9, ID de fragment : 2
IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState : R_BLD_EAP_REQ Événement : EV_START_TMR.
IKEv2-PROTO-3 : (6) : minuteur de démarrage pour attendre le message d'authentification de l'utilisateur (120 secondes)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState : R_WAIT_EAP_RESP Événement : EV_NO_EVENT

Le client envoie le paquet initiateur avec la charge utile EAP.

Le paquet EAP contient :

1. Code : response - Ce code est envoyé par l'homologue à l'authentificateur en réponse à la demande EAP.
2. id : 3 - L'id permet de faire correspondre les réponses EAP avec les requêtes. Ici, la valeur est 3, ce qui indique qu'il s'agit d'une réponse à la requête précédemment envoyée par l'ASA (authentificateur). L'ASA reçoit maintenant le paquet de réponse du client, qui a le type 'config-auth' de 'ack'; cette réponse accuse réception du message EAP 'complete' envoyé précédemment par l'ASA .
3. Longueur : 173 - La longueur du paquet EAP inclut le code, l'ID, la longueur et les données EAP.
4. Données EAP.

L'ASA traite ce paquet. Les
L'échange EAP a réussi. L'ASA
prépare l'envoi du tunnel-group
configuration dans le paquet suivant, qui
a déjà été demandé par le client dans
la charge utile IDi. L'ASA reçoit le
paquet de réponse du client, qui
a le type « config-auth » « ack ». Ceci
La réponse accuse réception du PAE
message 'complete' envoyé par le
ASA précédemment.

Configuration appropriée :

tunnel-group ASA-IKEV2 
 type remote-access
tunnel-group ASA-IKEV2 
 general-attributes
 address-pool webvpn1
 authorization-server-group 
 LOCAL default-group-policy 
  ASA-IKEV2
tunnel-group ASA-IKEV2
 webvpn-attributes
 group-alias ASA-IKEV2 
 enable

L'échange EAP est maintenant réussi.

Le paquet EAP contient :

1. Code : success - Ce code est
   envoyé par l'authentificateur au
   homologue après l'achèvement d'un EAP
   méthode d'authentification. Ceci
   indique que l'homologue a
   authentifié avec succès auprès du
   authentificateur.
2. id : 3 - L'id permet de faire correspondre
   Réponses EAP avec les requêtes.
   Ici, la valeur est 3, ce qui
   indique qu'il s'agit d'une réponse à
   la demande précédemment envoyée par le
   ASA (authentificateur). La troisième série
   de paquets dans l'échange était
   réussi, et l'échange EAP
   a réussi.
3. Longueur : 4 - Longueur du PAE
   Le paquet inclut le code, l'id,
   et les données EAP.
4. Données EAP.

paquet déchiffré:données:252 octets
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState : R_WAIT_EAP_RESP Événement : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : arrêt du minuteur pour attendre le message d'authentification
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState : R_WAIT_EAP_RESP Événement : EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState : R_PROC_EAP_RESP Événement : EV_PROC_MSG
IKEv2-PROTO-2 : (6) : traitement de la réponse EAP

Message XML reçu ci-dessous du client
< ? xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="ack">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
</config-auth>

IKEv2-PLAT-3 : (6) aggrAuthHdl défini sur 0x2000
IKEv2-PLAT-3 : (6) tg_name défini sur : ASA-IKEV2
IKEv2-PLAT-3 : (6) tunn grp type défini sur : RA
IKEv2-PLAT-1 : EAP : authentification réussie
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState : R_PROC_EAP_RESP Événement : EV_RECV_EAP_SUCCESS
IKEv2-PROTO-2 : (6) : envoi d'un message d'état EAP
IKEv2-PROTO-3 : (6) : création d'un paquet pour le cryptage ; le contenu est le suivant :
 EAP Charge utile suivante : AUCUNE, réservée : 0x0, longueur : 8
    Code : succès : id : 3, longueur : 4

IKEv2-PROTO-3 : Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x4
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4 : IKEV2 HDR ispi : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : charge utile suivante : ENCR, version : 2.0
IKEv2-PROTO-4 : type d'échange : IKE_AUTH, indicateurs : RESPONDER MSG-RESPONSE
IKEv2-PROTO-4 : ID de message : 0x4, longueur : 76
 ENCR Charge utile suivante : EAP, réservé : 0x0, longueur : 48
Données chiffrées&deux-points;44 octets

IKEv2-PLAT-4 : SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000004

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState : R_PROC_EAP_RESP Événement : EV_START_TMR.
IKEv2-PROTO-3 : (6) : minuteur de démarrage pour attendre le message d'authentification (30 secondes)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState : R_WAIT_EAP_AUTH_VERIFY Événement : EV_NO_EVENT

Lorsque l'authentification EAP est spécifiée ou
sous-entendu par le profil client et le
le profil ne contient pas la
<IKEIdentity>, le client envoie
un ID_GROUP de type IDi avec
la chaîne fixe *$AnyConnectClient$*.

ASA traite ce message.

Configuration appropriée :

crypto dynamic-map dynmap 1000 
 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 
 ipsec-isakmp dynamic dynmap
crypto map crymap interface 
 outside

Paquet déchiffré : données : 92 octets
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_WAIT_EAP_AUTH_VERIFY Événement : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : arrêt du minuteur pour attendre le message d'authentification
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_GET_EAP_KEY
IKEv2-PROTO-2 : (6) : envoyer AUTH pour vérifier l'homologue après l'échange EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_VERIFY_AUTH
IKEv2-PROTO-3 : (6) : vérification des données d'authentification
IKEv2-PROTO-3 : (6) : Utiliser la clé pré-partagée pour id *$AnyConnectClient$*, key len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_GET_CONFIG_MODE
IKEv2-PLAT-3 : réponse du mode de configuration mise en file d'attente
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_NO_EVENT
IKEv2-PLAT-3 : PSH : client=AnyConnect client-version=3.0.1047 client-os=Windows client-os-version=
IKEv2-PLAT-3 : réponse du mode de configuration terminée
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_OK_GET_CONFIG
IKEv2-PROTO-3 : (6) : disposer des données du mode de configuration à envoyer
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_CHK4_IC
IKEv2-PROTO-3 : (6) : traitement du contact initial
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_CHK_REDIRECT
IKEv2-PROTO-5: (6) : la vérification de redirection est déjà effectuée pour cette session, elle est ignorée
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_PROC_SA_TS
IKEv2-PROTO-2 : (6) : traitement du message d'authentification
IKEv2-PLAT-1 : Crypto-carte : carte dynamique seq 1000. Sélecteur ajusté utilisant l'adresse IP attribuée
IKEv2-PLAT-3 : Crypto-carte : correspondance sur la carte dynamique séquence 1000
IKEv2-PLAT-3 : PFS désactivé pour la connexion RA
IKEv2-PROTO-3 : (6) :
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_NO_EVENT
IKEv2-PLAT-2 : rappel SPI PFKEY reçu pour SPI 0x30B848A4, erreur FALSE
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_VERIFY_AUTH Événement : EV_OK_RECD_IPSEC_RESP

IKEv2-PROTO-2 : (6) : traitement du message d'authentification

L'ASA crée le message de réponse IKE_AUTH avec les charges utiles SA, TSi et TSr.

Le paquet du répondeur IKE_AUTH contient :

1. En-tête ISAKMP - SPI/version/flags.
2. AUTH payload - Avec la méthode d'authentification choisie.
3. CFG - CFG_REQUEST/ CFG_REPLY permet à un terminal IKE de demander des informations à son homologue. Si un attribut de la charge utile de configuration CFG_REQUEST n'est pas de longueur nulle, il est considéré comme une suggestion pour cet attribut. La charge utile de configuration CFG_REPLY peut renvoyer cette valeur ou une nouvelle valeur. Il peut également ajouter de nouveaux attributs et ne pas en inclure certains. Les demandeurs ignorent les attributs renvoyés qu'ils ne reconnaissent pas. L'ASA répond au client avec les attributs de configuration de tunnel dans le paquet CFG_REPLY.
4. SAr2 : SAr2 initie la SA, qui est similaire à l'échange d'ensembles de transformation de phase 2 dans IKEv1.
5. TSi et TSr - Les sélecteurs de trafic de l'initiateur et du répondeur contiennent respectivement les adresses source et de destination de l'initiateur et du répondeur afin de transmettre et de recevoir le trafic chiffré. La plage d’adresses indique que tout le trafic en provenance et à destination de cette plage est tunnellisé. Si la proposition est acceptable pour le répondeur, il renvoie des données utiles TS identiques.

Charge utile ENCR :

Cette charge utile est déchiffrée et son contenu est analysé en tant que charge utile supplémentaire.

IKEv2-PROTO-5 : (6) : SM Trace-> SA : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_BLD_AUTH Événement : EV_MY_AUTH_METHOD
IKEv2-PROTO-3 : (6) : Obtenir ma méthode d'authentification
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_BLD_AUTH Événement : EV_GET_PRESHR_KEY
IKEv2-PROTO-3 : (6) : Obtenir la clé prépartagée de l'homologue pour *$AnyConnectClient$*
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_BLD_AUTH Événement : EV_GEN_AUTH
IKEv2-PROTO-3 : (6) : générer mes données d'authentification
IKEv2-PROTO-3 : (6) : utilisez la clé pré-partagée pour id hostname=ASA-IKEV2, key len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_BLD_AUTH Événement : EV_CHK4_SIGN
IKEv2-PROTO-3 : (6) : obtenir ma méthode d'authentification
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_BLD_AUTH Événement : EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_BLD_EAP_AUTH_VERIFY Événement : EV_GEN_AUTH
IKEv2-PROTO-3 : (6) : générer mes données d'authentification
IKEv2-PROTO-3 : (6) : utilisez la clé pré-partagée pour id hostname=ASA-IKEV2, key len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState : R_BLD_EAP_AUTH_VERIFY Événement : EV_SEND_AUTH
IKEv2-PROTO-2 : (6) : Envoyer AUTH, pour vérifier l'homologue après l'échange EAP
IKEv2-PROTO-3 : proposition ESP : 1, taille SPI : 4 (négociation IPSec),
Nombre de transformations : 3
   AES-CBC SHA96   
IKEv2-PROTO-5 : Construct Notify Payload : ESP_TFC_NO_SUPPORTIKEv2-PROTO-5 : Construct Notify Payload : NON_FIRST_FRAGSIKEv2-PROTO-3 : (6) : création d'un paquet pour le cryptage ; le contenu est :
 AUTH Charge utile suivante : CFG, réservée : 0x0, longueur : 28
    Méthode d'authentification PSK, réservée : 0x0, réservée 0x0
Données d'authentification&deux-points ; 20 octets
 CFG Charge utile suivante : SA, réservée : 0x0, longueur : 4196
    cfg type : CFG_REPLY, réservé : 0x0, réservé : 0x0

   type d'attribut : adresse IP4 interne, longueur : 4

     01 01 01 01
   attrib type : masque de réseau IP4 interne, longueur : 4

     00 00 00 00
   type d'attrib : expiration de l'adresse interne, longueur : 4

     00 00 00 00
   type d'attrib : version de l'application, longueur : 16

     41 53 41 20 31 30 30 2e 37 28 36 29 31 31 36 00
   type d'attrib : inconnu - 28704, longueur : 4

     00 00 00 00
   type d'attrib : inconnu - 28705, longueur : 4

     00 00 07 08
   type d'attrib : inconnu - 28706, longueur : 4

     00 00 07 08
   type d'attrib : inconnu - 28707, longueur : 1

     01
   type d'attrib : inconnu - 28709, longueur : 4

     00 00 00 1e
   type d'attrib : inconnu - 28710, longueur : 4

     00 00 00 14
   type d'attrib : inconnu - 28684, longueur : 1

     01
   type d'attrib : inconnu - 28711, longueur : 2

     05 7e
   type d'attrib : inconnu - 28679, longueur : 1

     00
   type d'attrib : inconnu - 28683, longueur : 4

     80 0b 00 01
   type d'attrib : inconnu - 28725, longueur : 1

     00
   type d'attrib : inconnu - 28726, longueur : 1

     00
   type d'attrib : Inconnu - 28727, longueur : 4056

     3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 22 31
     2e 30 22 20 65 6e 63 6f 64 69 6e 67 3d 22 55 54
     46 2d 38 22 3f 3e 3c 63 6f 6e 66 69 67 2d 61 75
     74 68 20 63 6c 69 65 6e 74 3d 22 76 70 6e 22 20
     74 79 70 65 3d 22 63 6f 6d 70 6c 65 74 65 22 3e
     3c 76 65 72 73 69 6f 6e 20 77 68 6f 3d 22 73 67
     22 3e 31 30 30 2e 37 28 36 29 31 31 36 3c 2f 76
     65 72 73 69 6f 6e 3e 3c 73 65 73 73 69 6f 6e 2d
     69 64 3e 38 31 39 32 3c 2f 73 65 73 73 69 6f 6e
<snip>
     72 6f 66 69 6c 65 2d 6d 61 6e 69 66 65 73 74 3e
     3c 2f 63 6f 6e 66 69 67 3e 3c 2f 63 6f 6e 66 69
     67 2d 61 75 74 68 3e 00
   type d'attrib : inconnu - 28729, longueur : 1

     00
 SA Charge utile suivante : TSi, réservée : 0x0, longueur : 44
IKEv2-PROTO-4 : dernière proposition : 0x0, réservée : 0x0, longueur : 40
  Proposition : 1, ID de protocole : ESP, taille SPI : 4, #trans : 3
IKEv2-PROTO-4 : dernière transformation : 0x3, réservé : 0x0 : longueur : 12
    type : 1, réservé : 0x0, id : AES-CBC
IKEv2-PROTO-4 : dernière transformation : 0x3, réservé : 0x0 : longueur : 8
    type : 3, réservé : 0x0, id : SHA96
IKEv2-PROTO-4 : dernière transformation : 0x0, réservé : 0x0 : longueur : 8
    type : 5, réservé : 0x0, id :

 TSi Charge utile suivante : TSr, réservée : 0x0, longueur : 24
    Nombre de services techniques : 1, réservé 0x0, réservé 0x0
    Type TS : TS_IPV4_ADDR_RANGE, ID de protocole : 0, longueur : 16
    port de début : 0, port de fin : 65535
    adresse de début : 10.2.2.1, adresse de fin : 10.2.2.1
 TSr Charge utile suivante : NOTIFY, réservée : 0x0, longueur : 24
    Nombre de services techniques : 1, réservé 0x0, réservé 0x0
    Type TS : TS_IPV4_ADDR_RANGE, ID de protocole : 0, longueur : 16
    port de début : 0, port de fin : 65535
    adresse de début : 0.0.0.0, adresse de fin : 255.255.255.255

IKEv2-PROTO-3 : Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4 : IKEV2 HDR ispi : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : charge utile suivante : ENCR, version : 2.0
IKEv2-PROTO-4 : type d'échange : IKE_AUTH, indicateurs : RESPONDER MSG-RESPONSE
IKEv2-PROTO-4 : ID de message : 0x5, longueur : 4396
 ENCR Charge utile suivante : AUTH, réservée : 0x0, longueur : 4368
Données codées&deux-points ; 4364 octets

****************************************
Date : 23/04/13
Heure : 16:25:07
Type : Information
Source : acvpndownloader

Description : Fonction : ProfileMgr::loadProfiles
Fichier : ..\Api\ProfileMgr.cpp
Ligne : 148
Profils chargés :
C:\Documents and Settings\All Utilisateurs\Données d'application\Cisco\Client Cisco AnyConnect Secure Mobility\Profil\anyconnect-ikev2.xml
****************************************
****************************************
Date : 23/04/13
Heure : 16:25:07
Type : Information
Source : acvpndownloader

Description : Paramètres de préférences actuels :
ServiceDisable : false
CertificateStoreOverride : false
CertificateStore : Tous
ShowPreConnectMessage : false
AutoConnectOnStart : false
MinimizeOnConnect : true
LocalLanAccess : false
Reconnexion automatique : true
AutoReconnectBehavior : DisconnectOnSuspend
UseStartBeforeLogon : false
AutoUpdate : true
RSASecurIDIntégration : automatique
WindowsLogonEnforcement : SingleLocalLogon
WindowsVPNEstablishment : UtilisateursLocauxUniquement
ProxySettings : natif
AllowLocalProxyConnections : true
PPPExclusion : Désactiver
PPPExclusionServerIP :
AutomaticVPNPolicy : false
TrustedNetworkPolicy : déconnexion
StratégieRéseauNonFiable : Connexion
DomainesDNSDapprouvés :
Serveurs DNS approuvés :
AlwaysOn : false
ConnectFailurePolicy : Fermée
AllowCaptivePortalRemediation : false
CaptivePortalRemediationTimeout : 5
ApplyLastVPNLocalResourceRules : false
AllowVPNDisconnect : true
EnableScripting : false
TerminateScriptOnNextEvent : false
EnablePostSBLOnConnectScript : true
AutomaticCertSelection : true
RetainVpnOnLogoff : false
ApplicationUtilisateur : SameUserOnly
EnableAutomaticServerSelection : false
AméliorationSélectionAutoServeur : 20
AutoServerSelectionSuspendTime : 4
Délai d'authentification : 12
SafeWordSofTokenIntegration : false
AllowIPsecOverSSL : false
ClearSmartcardPin : true
****************************************
Date : 23/04/13
Heure : 16:25:07
Type : Information
Source : acvpnui

Description : informations de type de message envoyées à l'utilisateur :
Établissement du VPN - Examen du système...
****************************************
Date : 23/04/13
Heure : 16:25:07
Type : Information
Source : acvpnui

Description : informations de type de message envoyées à l'utilisateur :
Établissement du VPN - Activation de l'adaptateur VPN...
****************************************
Date : 23/04/13
Heure : 16:25:07
Type : Information
Source : acvpnagent

Description : Fonction : CVirtualAdapter::DoRegistryRepair
Fichier : .\WindowsVirtualAdapter.cpp
Ligne : 1869
Clé de contrôle VA trouvée : SYSTEM\CurrentControlSet\ENUM\ROOT\NET\0000\Control

****************************************
Date : 23/04/13
Heure : 16:25:07
Type : Information
Source : acvpnagent

Description : Une nouvelle interface réseau a été détectée.
****************************************
Date : 23/04/13
Heure : 16:25:07
Type : Information
Source : acvpnagent

Description : Fonction : CRouteMgr::logInterfaces
Fichier : .\RouteMgr.cpp
Ligne : 2076
Fonction appelée : logInterfaces
Code de retour : 0 (0x00000000)
Description : Liste d'interfaces d'adresses IP :
10.2.2.1
192.168.1.1
****************************************
Date : 23/04/13
Heure : 16:25:08
Type : Information
Source : acvpnagent

Description : Configuration de l'hôte :
 Adresse publique : 192.168.1.1
 Masque public : 255.255.255.0
 Adresse privée : 10.2.2.1
 Masque privé : 255.0.0.0
 Adresse IPv6 privée : N/A
 Masque IPv6 privé : N/A
 Homologues distants : 10.0.0.1 (port TCP 443, port UDP 500), 10.0.0.1 (port UDP 4500)
 Réseaux privés : aucun
 Réseaux publics : aucun
 Mode tunnel : oui
****************************************

La connexion est entrée dans la base de données de l'association de sécurité (SA) et l'état est REGISTERED. L'ASA effectue également certaines vérifications comme les statistiques de la carte d'accès commune (CAC), la présence de SA dupliquées et définit des valeurs comme la détection d'homologue mort (DPD) et ainsi de suite.