Debugs ASA IKEv2 pour le dépannage VPN d'Accès à distance

Description de messages serveur

Debugs

Description de message de client

Date : 04/23/2013
Temps : 16:24:55
Type : Les informations
Source : acvpnui

Description : Fonction : ClientIfcBase : : connectez
Fichier : . \ ClientIfcBase.cpp
Ligne : 964
Une connexion VPN à Anu-IKEV2 a été demandée par l'utilisateur.

****************************************
Date : 04/23/2013
Temps : 16:24:55
Type : Les informations
Source : acvpnui

Description : Type de message les informations envoyées à l'utilisateur :
Contacter Anu-IKEV2.
****************************************
Date : 04/23/2013
Temps : 16:24:55
Type : Les informations
Source : acvpnui

Description : Fonction : ApiCert : : getCertList
Fichier : . \ ApiCert.cpp
Ligne : 259
Nombre de Certificats trouvés : 0
****************************************
Date : 04/23/2013
Temps : 16:25:00
Type : Les informations
Source : acvpnui

Description : Initier la connexion VPN à la passerelle sécurisée https://10.0.0.1/ASA-IKEV2
****************************************
Date : 04/23/2013
Temps : 16:25:00
Type : Les informations
Source : acvpnagent

Description : Tunnel initié par le client GUI.

****************************************

Date : 04/23/2013
Temps : 16:25:02
Type : Les informations
Source : acvpnagent

Description : Fonction : CIPsecProtocol : : connectTransport
Fichier : . \ IPsecProtocol.cpp
Ligne : 1629
Socket ouvert d'IKE de 192.168.1.1:25170 à 10.0.0.1:500
****************************************

L'ASA reçoit le message IKE_SA_INIT du client.

IKEv2-PLAT-4 : PAQUET RECV [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000

IKEv2-PROTO-3 : Rx [L m_id 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] : 0x0

La première paire de messages est l'échange IKE_SA_INIT. Ces messages négocient des algorithmes de chiffrement, des nonces d'échange, et font un échange de Protocole DH (Diffie-Hellman).

Le message IKE_SA_INIT reçu du client contient ces champs :

1. En-tête d'ISAKMP - SPI/version/flags.
2. SAi1 - Algorithme de chiffrement que le demandeur d'IKE prend en charge.
3. KEi - Valeur principale publique CAD du demandeur.
4. N - Nonce de demandeur.

L'ASA vérifie et traite
Message IKE_INIT. L'ASA :

1. Choisit la crypto suite de
   ceux offerts par le demandeur.
2. Calcule sa propre clé de secret CAD.
3. Calcule une valeur SKEYID de
   pour ce que toutes les clés peuvent être dérivées
   cet IKE_SA. Les en-têtes de tous
   les messages ultérieurs sont
   chiffré et authentifié.
   clés utilisées pour le cryptage et
   la protection d'intégrité sont dérivées
   de SKEYID et sont connus en tant que :
   
   
   1. SK_e - Cryptage.
   2. SK_a - Authentification.
   3. SK_d - Dérivé et utilisé
      pour la dérivation d'autre
      matériel de base pour
      CHILD_SAs.
   Un SK_e et un SK_a distincts sont
   calculé pour chaque direction.

Configuration appropriée :

crypto ikev2 policy 10
 encryption aes-192 integrity 
 sha group 2  prf sha lifetime 
 seconds 86400
crypto ikev2 enable outside

L'ASA construit le message de réponse pour l'échange IKE_SA_INIT.

Ce paquet contient :

1. En-tête d'ISAKMP - SPI/version/flags.
2. SAr1 - Algorithme de chiffrement que le responder d'IKE choisit.
3. KEr - Valeur principale publique CAD du responder.
4. N - Nonce de responder.

Le client affiche le tunnel d'IPSec en tant que « initier. »

Date : 04/23/2013
Temps : 16:25:02
Type : Les informations
Source : acvpnagent

Description : Fonction : ikev2_log
Fichier : .\ikev2_anyconnect_osal.cpp
Ligne : 2730
Demande reçue d'établir un tunnel d'IPsec ; sélecteur du trafic local = plage d'adresses : 0.0.0.0-255.255.255.255 Protocol : 0 chaînes de port : 0-65535 ; sélecteur distant du trafic = plage d'adresses : 0.0.0.0-255.255.255.255 Protocol : 0 chaînes de port : 0-65535
****************************************
Date : 04/23/2013
Temps : 16:25:02
Type : Les informations
Source : acvpnagent

Description : Fonction : CIPsecProtocol : : connectTransport
Fichier : . \ IPsecProtocol.cpp
Ligne : 1629
Socket ouvert d'IKE de 192.168.1.1:25171 à 10.0.0.1:4500
****************************************

L'authentification est faite avec l'EAP. Seulement on permet une méthode d'authentification EAP simple dans une conversation d'EAP. L'ASA reçoit le message IKE_AUTH du client.

IKEv2-PLAT-4 : PAQUET RECV [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1] : 4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001

IKEv2-PROTO-3 : Rx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] : 0x1

Quand le client inclut une charge utile IDI
mais pas une charge utile AUTHENTIQUE, ceci indique
le client a déclaré une identité mais l'a
non avéré lui. Dans met au point, l'AUTHENTIQUE
la charge utile n'est pas présente dans l'IKE_AUTH
paquet envoyé par le client. Le client
envoie la charge utile AUTHENTIQUE seulement après
L'échange d'EAP est réussi. Si l'ASA
est disposé à utiliser un extensible
méthode d'authentification, il place un EAP
la charge utile dans le message 4 et reporte l'envoi
SAr2, TSi, et TSr jusqu'au demandeur
l'authentification est complète dans a
échange ultérieur IKE_AUTH.

Le paquet de demandeur IKE_AUTH contient :

1. En-tête d'ISAKMP -
   SPI/version/flags.
2. IDI - Le nom de groupe de tunnels cela
   les souhaits de client à connecter à
   peut être livré par l'IDI
   charge utile du type ID_KEY_ID dedans
   le message initial du
   Échange IKE_AUTH. Ceci
   se produit quand le profile* de client est
   préconfiguré avec un nom de groupe
   ou, après un réussi précédent
   l'authentification, le client a
   a caché le nom de groupe dans le son
   fichier de préférences. L'ASA
   tentatives de concurrencer un groupe de tunnels
   nom avec le contenu de l'IKE
   Charge utile IDI. Après le premier
   IPSec réussi VPN est
   établi, le client cache
   nom de groupe (groupe alias) auquel
   l'utilisateur authentifié. Ce groupe
   le nom est fourni dans l'IDI
   charge utile de la prochaine connexion
   tentative afin d'indiquer
   groupe probable désiré par
   utilisateur. Quand l'authentification EAP est
   spécifié ou implicite par le client
   le profil et le profil ne fait pas
   contenez le <IKEIdentity>
   l'élément, le client envoie
   Charge utile IDI de type ID_GROUP
   avec la chaîne fixe
   *$AnyConnectClient$*.
   
3. CERTREQ - Le client est
   demande de l'ASA pour a
   certificat préféré. Certificat
   des charges utiles de demande peuvent être incluses
   dans un échange quand l'expéditeur
   doit obtenir le certificat du
   récepteur. La demande de certificat
   la charge utile est traitée par
   inspection du « codage de CERT »
   champ afin de déterminer
   si le processeur en a
   Certificats de ceci type. Si oui,
   Le champ « d'autorité de certification » est
   examiné afin de déterminer si
   le processeur a tous les Certificats
   cela peut être validé jusqu'à un de
   la certification spécifiée
   autorités. Ceci peut être une chaîne de
   Certificats.
   
4. CFG - CFG_REQUEST/
   CFG_REPLY permet un IKE
   point final pour demander les informations
   de son pair. Si un attribut dans
   Configuration CFG_REQUEST
   la charge utile n'est pas zéro-longueur, il est
   pris comme suggestion pour cela
   attribut. Le CFG_REPLY
   la charge utile de configuration peut retourner
   cette valeur ou un neuf. Il peut
   ajoutez également les nouveaux attributs et pas
   en incluez a demandé ceux.
   Les demandeurs ignorent retourné
   attributs qu'ils ne font pas
   reconnaissez. Dans ces derniers met au point,
   le client demande le tunnel
   configuration dans
   CFG_REQUEST. L'ASA
   les réponses à ceci et envoie le tunnel
   attributs de configuration seulement après
   l'échange d'EAP est réussi.
   
5. SAi2 - SAi2 initie SA,
   ce qui est semblable à la phase 2
   échange de jeu de transformations dans IKEv1.
   
6. TSi et TSr - Le demandeur et
   sélecteurs du trafic de responder
   contenez, respectivement, la source
   et adresse de destination de
   demandeur et responder
   expédiez et recevez chiffré
   le trafic. La plage d'adresses
   spécifie que tous trafiquent à et de
   cette plage est percée un tunnel. Si la
   la proposition semble acceptable au
   responder, il envoie les SOLIDES TOTAUX identiques
   les charges utiles soutiennent.

Les attributs que le client doit fournir pour
l'authentification de groupe sont enregistrées dans
Fichier des profils d'AnyConnect.

Configuration *Relevant de profil :

<ServerList>
<HostEntry>
  <HostName>Anu-IKEV2
  </HostName>
  <HostAddress>10.0.0.1
  </HostAddress>
  <UserGroup>ASA-IKEV2
  </UserGroup>
<PrimaryProtocol>IPsec
</PrimaryProtocol>
</HostEntry>
</ServerList>

L'ASA génère une réponse au message IKE_AUTH et prépare pour s'authentifier au client.

Paquet déchiffré : Data&colon ; 540 octets
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : Arrêter le temporisateur pour attendre le message authentique
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_CHK_NAT_T
IKEv2-PROTO-3 : (6) : Détection NAT de contrôle
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_CHG_NAT_T_PORT
IKEv2-PROTO-2 : (6) : Flotteur détecté NAT au port 25171 d'init, port 4500 de resp
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_PROC_ID
IKEv2-PROTO-2 : (6) : Parameteres valides reçus dans l'identificateur de processus
IKEv2-PLAT-3 : (6) méthode authentique de pair réglée à : 0
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_CHK_IF_PEER_CERT_NEEDS_TO_BE_FETCHED_FOR_PROF_SEL
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_GET_POLICY_BY_PEERID
IKEv2-PROTO-3 : (6) : Obtenir des stratégies configurées
IKEv2-PLAT-3 : Nouvelle connexion client d'AnyConnect détectée basée sur la charge utile d'ID
IKEv2-PLAT-3 : my_auth_method = 1
IKEv2-PLAT-3 : (6) méthode authentique de pair réglée à : 256
IKEv2-PLAT-3 : supported_peers_auth_method = 16
IKEv2-PLAT-3 : (6) tp_name réglé à : Anu-ikev2
IKEv2-PLAT-3 : point de confiance réglé à : Anu-ikev2
IKEv2-PLAT-3 : ID P1 = 0
IKEv2-PLAT-3 : Traduire IKE_ID_AUTO = à 9
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_SET_POLICY
IKEv2-PROTO-3 : (6) : Établissement des stratégies configurées
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_VERIFY_POLICY_BY_PEERID
IKEv2-PROTO-3 : (6) : Vérifiez la stratégie du pair
IKEv2-PROTO-3 : (6) : Certificat assorti trouvé
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_CHK_CONFIG_MODE
IKEv2-PROTO-3 : (6) : Données valides reçues de mode de config
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_SET_RECD_CONFIG_MODE
IKEv2-PLAT-3 : (6) l'adresse Internet DHCP pour DDNS est placée à : winxp64template
IKEv2-PROTO-3 : (6) : Placez les données reçues de mode de config
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_CHK_AUTH4EAP
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_WAIT_AUTH : EV_CHK_EAP
IKEv2-PROTO-3 : (6) : Vérifiez l'échange d'EAP
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_BLD_AUTH : EV_GEN_AUTH
IKEv2-PROTO-3 : (6) : Générez mes données d'authentification
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_BLD_AUTH : EV_CHK4_SIGN
IKEv2-PROTO-3 : (6) : Obtenez ma méthode d'authentification
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_BLD_AUTH : EV_SIGN
IKEv2-PROTO-3 : (6) : Données authentiques de signe
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_BLD_AUTH : EV_OK_AUTH_GEN
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_BLD_EAP_AUTH_REQ : EV_AUTHEN_REQ
IKEv2-PROTO-2 : (6) : Demander à l'authentificateur pour envoyer la demande d'EAP

Valeur créée de config-auth de nom de l'élément
Vpn ajouté de valeur de client de nom d'attribut au config-auth d'élément
Valeur de type ajoutée de nom d'attribut bonjour au config-auth d'élément
Valeur créée 9.0(2)8 de version de nom de l'élément
Valeur ajoutée 9.0(2)8 de version de nom de l'élément au config-auth d'élément
Nom ajouté d'attribut qui évaluent le SG à la version d'élément
Message généré XML ci-dessous
< ? xml version="1.0" encoding="UTF-8"?>
type= " de " vpn de client= » de <config-auth bonjour " >
<version who="sg">9.0(2)8</version>
</config-auth>

IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_BLD_EAP_AUTH_REQ : EV_RECV_EAP_AUTH
IKEv2-PROTO-5 : (6) : Action : Action_Null
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_BLD_EAP_AUTH_REQ : EV_CHK_REDIRECT
IKEv2-PROTO-3 : (6) : Réorientez le contrôle avec la plate-forme pour l'Équilibrage de charge
IKEv2-PLAT-3 : Réorientez le contrôle sur la plate-forme
IKEv2-PLAT-3 : ikev2_osal_redirect : Session reçue par 10.0.0.1
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000001 CurState : Événement R_BLD_EAP_AUTH_REQ : EV_SEND_EAP_AUTH_REQ
IKEv2-PROTO-2 : (6) : Envoi de la demande d'EAP
IKEv2-PROTO-5 : Charge utile spécifique de constructeur d'élaboration : CISCO-GRANITEIKEv2-PROTO-3 : (6) : Construction

L'ASA envoie la charge utile AUTHENTIQUE afin de demander des identifiants utilisateurs du client. L'ASA envoie la méthode AUTHENTIQUE en tant que la « RSA, » ainsi elle envoie son propre certificat au client, ainsi le client peut authentifier le serveur ASA.

Puisque l'ASA est disposée à utiliser une méthode d'authentification extensible, elle place une charge utile d'EAP dans le message 4 et reporte envoyer SAr2, TSi, et TSr jusqu'à ce que l'authentification de demandeur soit complète dans un échange ultérieur IKE_AUTH. Ainsi, ces trois charges utiles ne sont pas présentes dans met au point.

Le paquet d'EAP contient :

1. Code : demande - Ce code est envoyé par l'authentificateur au pair.
2. id : 1 - L'id aide la correspondance les réponses d'EAP avec les demandes. Ici la valeur est 1, qui indique que c'est le premier paquet dans l'échange d'EAP. Cette demande d'EAP a le « config-auth » type de « bonjour ;  » il est envoyé de l'ASA au client afin d'initier l'échange d'EAP.
3. Longueur : 150 - La longueur du paquet d'EAP inclut le code, l'id, la longueur, et les données d'EAP.
4. Données d'EAP.

La fragmentation peut résulter si les Certificats sont grands ou si des chaînes de certificat sont incluses. Les charges utiles du KE de demandeur et de responder peuvent également inclure les grandes clés, qui peuvent également contribuer à la fragmentation.

****************************************
Date : 04/23/2013
Temps : 16:25:02
Type : Les informations
Source : acvpnagent

Description : Fonction : ikev2_verify_X509_SIG_certs
Fichier : .\ikev2_anyconnect_osal.cpp
Ligne : 2077
Demande de l'acceptation de certificat de l'utilisateur
****************************************
Date : 04/23/2013
Temps : 16:25:02
Type : Erreur
Source : acvpnui

Description : Fonction : CCapiCertificate : : verifyChainPolicy
Fichier : . \ Certificats \ CapiCertificate.cpp
Ligne : 2032
Fonction appelée : CertVerifyCertificateChainPolicy
Code retour : -2146762487 (0x800B0109)
Description : Une chaîne de certificat traitée, mais terminée en certificat racine qui n'est pas fait confiance par le fournisseur de confiance.
****************************************
Date : 04/23/2013
Temps : 16:25:04
Type : Les informations
Source : acvpnagent

Description : Fonction : CEAPMgr : : dataRequestCB
Fichier : . \ EAPMgr.cpp
Ligne : 400
Type proposé par EAP : EAP-ANYCONNECT
****************************************

Le client répond à la demande d'EAP avec une réponse.

Le paquet d'EAP contient :

1. Code : réponse - Ce code est envoyé par le pair à l'authentificateur en réponse à la demande d'EAP.
2. id : 1 - L'id aide la correspondance les réponses d'EAP avec les demandes. Ici la valeur est 1, qui indique que c'est une réponse à la demande précédemment envoyée par l'ASA (authentificateur). Cette réponse d'EAP a le type de « config-auth » de « init » ; le client initialise l'échange d'EAP et attend l'ASA pour générer la demande d'authentification.
3. Longueur : 252 - La longueur du paquet d'EAP inclut le code, l'id, la longueur, et les données d'EAP.
4. Données d'EAP.

L'ASA déchiffre cette réponse, et le client dit qu'elle a reçu la charge utile AUTHENTIQUE dans le paquet précédent (avec le certificat) et a reçu le premier paquet de demandes d'EAP de l'ASA. Est ce ce que le paquet de réponse d'EAP de « init » contient.

IKEv2-PLAT-4 : PAQUET RECV [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-3 : Rx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] : 0x2
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r : FC696330E6B94D7F]
IKEv2-PROTO-4 : Ispi IKEV2 HDR : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : Prochaine charge utile : ENCR, version : 2.0
IKEv2-PROTO-4 : Type d'échange : IKE_AUTH, indicateurs : DEMANDEUR
IKEv2-PROTO-4 : Id de message : 0x2, longueur : 332
IKEv2-PROTO-5 : (6) : La demande a le mess_id 2 ; 2 prévus à 2
VRAI paquet déchiffré : Données : 256 octets
 Prochaine charge utile d'EAP : AUCUN, réservé : 0x0, longueur : 256
    Code : réponse : id : 1, longueur : 252
    Type : Inconnu - 254
Octets de l'EAP data:247

Paquet déchiffré : Data&colon ; 332 octets
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000002 CurState : Événement R_WAIT_EAP_RESP : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : Arrêter le temporisateur pour attendre le message authentique
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000002 CurState : Événement R_WAIT_EAP_RESP : EV_RECV_EAP_RESP

IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000002 CurState : Événement R_PROC_EAP_RESP : EV_PROC_MSG
IKEv2-PROTO-2 : (6) : Traitement de la réponse d'EAP

Message reçu XML ci-dessous du client
< ? xml version="1.0" encoding="UTF-8"?>
type= " init " de " vpn » de client= de <config-auth >
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<group-select>ASA-IKEV2</group-select>
<group-access>ASA-IKEV2</group-access>
</config-auth>
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000002 CurState : Événement R_PROC_EAP_RESP : EV_RECV_EAP_AUTH

IKEv2-PROTO-5 : (6) : Action : Action_Null
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000002 CurState : Événement R_BLD_EAP_REQ : EV_RECV_EAP_REQ

C'est la deuxième requête envoyée par l'ASA au client.

Le paquet d'EAP contient :

1. Code : demande - Ce code est envoyé par l'authentificateur au pair.
2. id : 2 - L'id aide la correspondance les réponses d'EAP avec les demandes. Ici la valeur est 2, qui indique que c'est le deuxième paquet dans l'échange. Cette demande a le type de « config-auth » de « demande d'autorisation » ; l'ASA demande que le client envoient les qualifications d'authentification de l'utilisateur.
3. Longueur : 457 - La longueur du paquet d'EAP inclut le code, l'id, la longueur, et les données d'EAP.
4. Données d'EAP.

Charge utile ENCR :

Cette charge utile est déchiffrée, et son contenu est analysé en tant que charges utiles supplémentaires.

IKEv2-PROTO-2 : (6) : Envoi de la demande d'EAP

Message généré XML ci-dessous
< ? xml version="1.0" encoding="UTF-8"?>
type= " demande d'autorisation " de " vpn » de client= de <config-auth >
<version who="sg">9.0(2)8</version>
is-for= " SG " de <opaque >
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash>
</opaque>
<csport>443</csport>
id= <authentic " canalisation " >
<form>
nom d'utilisateur de label= " de " nom d'utilisateur de name= » des " textes » de type= de <input : « ></input>
mot de passe de label= " de " mot de passe de name= » de " mot de passe » de type= de <input : « ></input>
</form>
</authentic>
</config-auth>
IKEv2-PROTO-3 : (6) : Paquet de construction pour le cryptage ; le contenu est :
 Prochaine charge utile d'EAP : AUCUN, réservé : 0x0, longueur : 461
    Code : demande : id : 2, longueur : 457
    Type : Inconnu - 254
Données d'EAP : 452 octets

IKEv2-PROTO-3 : Tx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] : 0x2
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r : FC696330E6B94D7F]
IKEv2-PROTO-4 : Ispi IKEV2 HDR : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : Prochaine charge utile : ENCR, version : 2.0
IKEv2-PROTO-4 : Type d'échange : IKE_AUTH, indicateurs : RESPONDER MSG-RESPONSE
IKEv2-PROTO-4 : Id de message : 0x2, longueur : 524
 Prochaine charge utile ENCR : EAP, réservé : 0x0, longueur : 496
Data&colon chiffré ; 492 octets

IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000002 CurState : Événement R_BLD_EAP_REQ : EV_START_TMR
IKEv2-PROTO-3 : (6) : Démarrant le temporisateur pour attendre le message authentique d'utilisateur (sec 120)
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000002 CurState : Événement R_WAIT_EAP_RESP : EV_NO_EVENT   

Le client demande l'authentification de l'utilisateur et l'envoie à l'ASA comme réponse d'EAP dans le paquet suivant ("authentique-réponse ").

Le client envoie un autre message de demandeur IKE_AUTH avec la charge utile d'EAP.

Le paquet d'EAP contient :

1. Code : réponse - Ce code est envoyé par le pair à l'authentificateur en réponse à la demande d'EAP.
2. id : 2 - L'id aide la correspondance les réponses d'EAP avec les demandes. Ici la valeur est 2, qui indique que c'est une réponse à la demande précédemment envoyée par l'ASA (authentificateur).
3. Longueur : 420 - La longueur du paquet d'EAP inclut le code, l'id, la longueur, et les données d'EAP.
4. Données d'EAP.

L'ASA traite cette réponse. Le client avait demandé que l'utilisateur entrent dans des qualifications. Cette réponse d'EAP a le type de « config-auth » de « authentique-réponse. » Ce paquet contient les qualifications entrées par l'utilisateur.

Paquet déchiffré : Données : 492 octets
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000003 CurState : Événement R_WAIT_EAP_RESP : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : Arrêter le temporisateur pour attendre le message authentique
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000003 CurState : Événement R_WAIT_EAP_RESP : EV_RECV_EAP_RESP
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000003 CurState : Événement R_PROC_EAP_RESP : EV_PROC_MSG
IKEv2-PROTO-2 : (6) : Traitement de la réponse d'EAP

Message reçu XML ci-dessous du client
< ? xml version="1.0" encoding="UTF-8"?>
type= " authentique-réponse " de " vpn » de client= de <config-auth >
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<session-token></session-token>
<session-id></session-id>
is-for= " SG " de <opaque >
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash></opaque>
<authentic>
<password>cisco123</password>
<username>Anu</username></authentic>
</config-auth>
IKEv2-PLAT-1 : EAP : Authentification de l'utilisateur initiée
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000003 CurState : Événement R_PROC_EAP_RESP : EV_NO_EVENT
IKEv2-PLAT-5 : EAP : Dans le rappel d'AAA
Condensé récupéré de CERT de serveur : DACE1C274785F28BA11D64453096BAE294A3172E
IKEv2-PLAT-5 : EAP : succès dans le rappel d'AAA
IKEv2-PROTO-3 : Réponse reçue d'authentificateur
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000003 CurState : Événement R_PROC_EAP_RESP : EV_RECV_EAP_AUTH
IKEv2-PROTO-5 : (6) : Action : Action_Null

L'ASA établit une troisième demande d'EAP dans l'échange.

Le paquet d'EAP contient :

1. Code : demande - Ce code est envoyé par l'authentificateur au pair.
2. id : 3 - L'id aide la correspondance les réponses d'EAP avec les demandes. Ici la valeur est 3, qui indique que c'est le troisième paquet dans l'échange. Ce paquet fait « se terminer » le type de « config-auth » de ; l'ASA a reçu une réponse, et l'échange d'EAP est complet.
3. Longueur : 4235 - La longueur du paquet d'EAP inclut le code, l'id, la longueur, et les données d'EAP.
4. Données d'EAP.

Charge utile ENCR :

Cette charge utile est déchiffrée, et son contenu est analysé en tant que charges utiles supplémentaires.

IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000003 CurState : Événement R_BLD_EAP_REQ : EV_RECV_EAP_REQ
IKEv2-PROTO-2 : (6) : Envoi de la demande d'EAP

Message généré XML ci-dessous
< ? xml version="1.0" encoding="UTF-8"?>
le type= " de " vpn de client= » de <config-auth se terminent " >
<version who="sg">9.0(2)8</version>
<session-id>32768</session-id>
<session-token>18wA0TtGmDxPKPQCJywC7fB7EWLCEgz-ZtjYpAyXx2yJH0H3G3H8t5xpBOx3Ixag</session-token>
id= <authentic " succès " >
<message id="0" param1="" param2=""></message>
</authentic>

IKEv2-PROTO-3 : (6) : Paquet de construction pour le cryptage ; le contenu est :
 Prochaine charge utile d'EAP : AUCUN, réservé : 0x0, longueur : 4239
    Code : demande : id : 3, longueur : 4235
    Type : Inconnu - 254
Données d'EAP : 4230 octets

IKEv2-PROTO-3 : Tx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] : 0x3
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r : FC696330E6B94D7F]
IKEv2-PROTO-4 : Ispi IKEV2 HDR : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : Prochaine charge utile : ENCR, version : 2.0
IKEv2-PROTO-4 : Type d'échange : IKE_AUTH, indicateurs : RESPONDER MSG-RESPONSE
IKEv2-PROTO-4 : Id de message : 0x3, longueur : 4300
 Prochaine charge utile ENCR : EAP, réservé : 0x0, longueur : 4272
Octets data&colon;4268 chiffrés

IKEv2-PROTO-5 : (6) : Fragmenter le paquet, MTU de fragment : 544, nombre de fragments : 9, ID de fragment : 2
IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000003 CurState : Événement R_BLD_EAP_REQ : EV_START_TMR
IKEv2-PROTO-3 : (6) : Démarrant le temporisateur pour attendre le message authentique d'utilisateur (sec 120)
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000003 CurState : Événement R_WAIT_EAP_RESP : EV_NO_EVENT

Le client envoie le paquet de demandeur avec la charge utile d'EAP.

Le paquet d'EAP contient :

1. Code : réponse - Ce code est envoyé par le pair à l'authentificateur en réponse à la demande d'EAP.
2. id : 3 - L'id aide la correspondance les réponses d'EAP avec les demandes. Ici la valeur est 3, qui indique que c'est une réponse à la demande précédemment envoyée par l'ASA (authentificateur). L'ASA reçoit maintenant le paquet de réponse du client, qui a le type de « config-auth » de « ACK » ; cette réponse reconnaît message le « complet » d'EAP envoyé précédemment par l'ASA.
3. Longueur : 173 - La longueur du paquet d'EAP inclut le code, l'id, la longueur, et les données d'EAP.
4. Données d'EAP.

L'ASA traite ce paquet.
L'échange d'EAP est réussi. L'ASA
prépare pour envoyer le groupe de tunnels
configuration dans le paquet suivant, qui
a été précédemment demandé par le client dedans
la charge utile IDI. L'ASA reçoit
paquet de réponse du client, qui
a le type de « config-auth » de « ACK ». Ceci
la réponse reconnaît l'EAP
« terminez-vous » le message qui a été envoyé par
ASA précédemment.

Configuration appropriée :

tunnel-group ASA-IKEV2 
 type remote-access
tunnel-group ASA-IKEV2 
 general-attributes
 address-pool webvpn1
 authorization-server-group 
 LOCAL default-group-policy 
  ASA-IKEV2
tunnel-group ASA-IKEV2
 webvpn-attributes
 group-alias ASA-IKEV2 
 enable

L'échange d'EAP est maintenant réussi.

Le paquet d'EAP contient :

1. Code : succès - Ce code est
   envoyé par l'authentificateur au
   pair à la fin d'un EAP
   méthode d'authentification. Ceci
   indique que le pair a
   authentifié avec succès au
   authentificateur.
2. id : 3 - L'id aide la correspondance
   Réponses d'EAP avec les demandes.
   Ici la valeur est 3, qui
   indique que c'est une réponse à
   la demande précédemment envoyée par
   ASA (authentificateur). Le troisième positionnement
   des paquets dans l'échange était
   réussi, et l'échange d'EAP
   est réussi.
3. Longueur : 4 - Longueur de l'EAP
   le paquet inclut le code, id,
   longueur, et données d'EAP.
4. Données d'EAP.

Octets packet:Data:252 déchiffrés
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000004 CurState : Événement R_WAIT_EAP_RESP : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : Arrêter le temporisateur pour attendre le message authentique
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000004 CurState : Événement R_WAIT_EAP_RESP : EV_RECV_EAP_RESP
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000004 CurState : Événement R_PROC_EAP_RESP : EV_PROC_MSG
IKEv2-PROTO-2 : (6) : Traitement de la réponse d'EAP

Message reçu XML ci-dessous du client
< ? xml version="1.0" encoding="UTF-8"?>
type= " ACK " de " vpn » de client= de <config-auth >
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
</config-auth>

IKEv2-PLAT-3 : (6) aggrAuthHdl réglé à 0x2000
IKEv2-PLAT-3 : (6) tg_name réglé à : ASA-IKEV2
IKEv2-PLAT-3 : (6) type de grp de tunn réglé à : RA
IKEv2-PLAT-1 : EAP : Authentification réussie
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000004 CurState : Événement R_PROC_EAP_RESP : EV_RECV_EAP_SUCCESS
IKEv2-PROTO-2 : (6) : Envoi du message d'état d'EAP
IKEv2-PROTO-3 : (6) : Paquet de construction pour le cryptage ; le contenu est :
 Prochaine charge utile d'EAP : AUCUN, réservé : 0x0, longueur : 8
    Code : succès : id : 3, longueur : 4

IKEv2-PROTO-3 : Tx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] : 0x4
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r : FC696330E6B94D7F]
IKEv2-PROTO-4 : Ispi IKEV2 HDR : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : Prochaine charge utile : ENCR, version : 2.0
IKEv2-PROTO-4 : Type d'échange : IKE_AUTH, indicateurs : RESPONDER MSG-RESPONSE
IKEv2-PROTO-4 : Id de message : 0x4, longueur : 76
 Prochaine charge utile ENCR : EAP, réservé : 0x0, longueur : 48
Octets data&colon;44 chiffrés

IKEv2-PLAT-4 : PAQUET ENVOYÉ [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000004

IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000004 CurState : Événement R_PROC_EAP_RESP : EV_START_TMR
IKEv2-PROTO-3 : (6) : Démarrant le temporisateur pour attendre le message authentique (sec 30)
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000004 CurState : Événement R_WAIT_EAP_AUTH_VERIFY : EV_NO_EVENT

Quand l'authentification EAP est spécifiée ou
implicite par le profil de client et
le profil ne contient pas
l'élément de <IKEIdentity>, le client envoie
une charge utile IDI de type ID_GROUP avec
la chaîne fixe *$AnyConnectClient$*.

L'ASA traite ce message.

Configuration appropriée :

crypto dynamic-map dynmap 1000 
 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 
 ipsec-isakmp dynamic dynmap
crypto map crymap interface 
 outside

Paquet déchiffré : Données : 92 octets
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_WAIT_EAP_AUTH_VERIFY : EV_RECV_AUTH
IKEv2-PROTO-3 : (6) : Arrêter le temporisateur pour attendre le message authentique
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_GET_EAP_KEY
IKEv2-PROTO-2 : (6) : Envoyez AUTHENTIQUE, pour vérifier le pair après qu'échange d'EAP
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_VERIFY_AUTH
IKEv2-PROTO-3 : (6) : Vérifiez les données d'authentification
IKEv2-PROTO-3 : (6) : Utilisez la clé pré-partagée pour l'id *$AnyConnectClient$*, clé len 20
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_GET_CONFIG_MODE
IKEv2-PLAT-3 : Réponse de mode de config alignée
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_NO_EVENT
IKEv2-PLAT-3 : PSH : client-os-version= de client-os=Windows du client=AnyConnect client-version=3.0.1047
IKEv2-PLAT-3 : Réponse de mode de config terminée
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_OK_GET_CONFIG
IKEv2-PROTO-3 : (6) : Ayez les données de mode de config à envoyer
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_CHK4_IC
IKEv2-PROTO-3 : (6) : Traitement du contact initial
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_CHK_REDIRECT
IKEv2-PROTO-5 : (6) : Réorientez le contrôle est déjà fait pour cette session, en l'ignorant
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_PROC_SA_TS
IKEv2-PROTO-2 : (6) : Traitement du message authentique
IKEv2-PLAT-1 : Crypto map : Dynmap 1000 seq de carte. Sélecteur ajusté utilisant l'adresse IP attribuée
IKEv2-PLAT-3 : Crypto map : correspondance sur le dynmap dynamique 1000 seq de carte
IKEv2-PLAT-3 : PFS désactivé pour la connexion de RA
IKEv2-PROTO-3 : (6) :
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_NO_EVENT
IKEv2-PLAT-2 : Rappel reçu PFKEY SPI pour SPI 0x30B848A4, erreur FAUSSE
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_VERIFY_AUTH : EV_OK_RECD_IPSEC_RESP

IKEv2-PROTO-2 : (6) : Traitement du message authentique

L'ASA établit le message de réponse IKE_AUTH avec les charges utiles SA, de TSi, et de TSr.

Le paquet de responder IKE_AUTH contient :

1. En-tête d'ISAKMP - SPI/version/flags.
2. Charge utile AUTHENTIQUE - Avec la méthode d'authentification choisie.
3. CFG - CFG_REQUEST/CFG_REPLY permet à un point final d'IKE pour demander les informations de son pair. Si un attribut dans la charge utile de configuration CFG_REQUEST n'est pas zéro-longueur, il est pris comme suggestion pour cet attribut. La charge utile de configuration CFG_REPLY peut renvoyer cette valeur ou un neuf. Il peut également ajouter de nouveaux attributs et ne pas en inclure a demandé ceux. Les demandeurs ignorent les attributs retournés qu'ils n'identifient pas. L'ASA répond au client avec les atrributes de configuration de tunnel dans le paquet CFG_REPLY.
4. SAr2 - SAr2 initie SA, qui est semblable à l'échange de jeu de transformations de la phase 2 dans IKEv1.
5. TSi et TSr - Les sélecteurs du trafic de demandeur et de responder contiennent, respectivement, l'adresse source et de destination du demandeur et le responder afin d'expédier et recevoir le trafic chiffré. La plage d'adresses spécifie que toute trafique à et de cette plage est percée un tunnel. Si la proposition semble acceptable au responder, elle renvoie les charges utiles identiques de SOLIDES TOTAUX.

Charge utile ENCR :

Cette charge utile est déchiffrée, et son contenu est analysé en tant que charges utiles supplémentaires.

IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_BLD_AUTH : EV_MY_AUTH_METHOD
IKEv2-PROTO-3 : (6) : Obtenez ma méthode d'authentification
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_BLD_AUTH : EV_GET_PRESHR_KEY
IKEv2-PROTO-3 : (6) : Obtenez la clé pré-partagée du pair pour *$AnyConnectClient$*
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_BLD_AUTH : EV_GEN_AUTH
IKEv2-PROTO-3 : (6) : Générez mes données d'authentification
IKEv2-PROTO-3 : (6) : Utilisez la clé pré-partagée pour l'id hostname=ASA-IKEV2, clé len 20
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_BLD_AUTH : EV_CHK4_SIGN
IKEv2-PROTO-3 : (6) : Obtenez ma méthode d'authentification
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_BLD_AUTH : EV_OK_AUTH_GEN
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_BLD_EAP_AUTH_VERIFY : EV_GEN_AUTH
IKEv2-PROTO-3 : (6) : Générez mes données d'authentification
IKEv2-PROTO-3 : (6) : Utilisez la clé pré-partagée pour l'id hostname=ASA-IKEV2, clé len 20
IKEv2-PROTO-5 : (6) : Trace-> SA SM : I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (r) identification de message = 00000005 CurState : Événement R_BLD_EAP_AUTH_VERIFY : EV_SEND_AUTH
IKEv2-PROTO-2 : (6) : Envoyez AUTHENTIQUE, pour vérifier le pair après qu'échange d'EAP
IKEv2-PROTO-3 :   Proposition de l'ESP : 1, taille SPI : 4 (négociation IPSec),
Numérique. transforme : 3
   AES-CBC SHA96   
IKEv2-PROTO-5 : L'élaboration informent la charge utile : ESP_TFC_NO_SUPPORTIKEv2-PROTO-5 : L'élaboration informent la charge utile : NON_FIRST_FRAGSIKEv2-PROTO-3 : (6) : Paquet de construction pour le cryptage ; le contenu est :
 Prochaine charge utile AUTHENTIQUE : CFG, réservé : 0x0, longueur : 28
    Méthode authentique PSK, réservée : 0x0, 0x0 réservé
Data&colon authentique ; 20 octets
 Prochaine charge utile CFG : SA, réservée : 0x0, longueur : 4196
    type de cfg : CFG_REPLY, réservé : 0x0, réservé : 0x0

   type d'attrib : adresse IP4 interne, longueur : 4

     01 01 01 01
   type d'attrib : netmask IP4 interne, longueur : 4

     00 00 00 00
   type d'attrib : échéance d'adresse interne, longueur : 4

     00 00 00 00
   type d'attrib : version d'application, longueur : 16

     41 53 41 20 31 30 30 2e 37 28 36 29 31 31 36 00
   type d'attrib : Inconnu - 28704, longueur : 4

     00 00 00 00
   type d'attrib : Inconnu - 28705, longueur : 4

     00 00 07 08
   type d'attrib : Inconnu - 28706, longueur : 4

     00 00 07 08
   type d'attrib : Inconnu - 28707, longueur : 1

     01
   type d'attrib : Inconnu - 28709, longueur : 4

     00 00 00 1e
   type d'attrib : Inconnu - 28710, longueur : 4

     00 00 00 14
   type d'attrib : Inconnu - 28684, longueur : 1

     01
   type d'attrib : Inconnu - 28711, longueur : 2

     05 7e
   type d'attrib : Inconnu - 28679, longueur : 1

     00
   type d'attrib : Inconnu - 28683, longueur : 4

     80 0b 00 01
   type d'attrib : Inconnu - 28725, longueur : 1

     00
   type d'attrib : Inconnu - 28726, longueur : 1

     00
   type d'attrib : Inconnu - 28727, longueur : 4056

     3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 22 31
     2e 30 22 20 65 6e 63 6f 64 69 6e 67 3d 22 55 54
     46 38 2d 22 3f 3e 3c 63 6f 6e 66 69 67 61 2d 75
     74 68 20 63 6c 69 65 6e 74 3d 22 76 70 6e 22 20
     74 79 70 65 3d 22 63 6f 6d 70 6c 65 74 65 22 3e
     3c 76 65 72 73 69 6f 6e 20 77 68 6f 3d 22 73 67
     22 3e 31 30 30 2e 37 28 36 29 31 31 36 3c 2f 76
     65 72 73 69 6f 6e 3e 3c 73 65 73 73 69 6f 6e 2d
     69 64 3e 38 31 39 32 3c 2f 73 65 73 73 69 6f 6e
<snip>
     72 6f 66 69 6c 65 2d 6d 61 6e 69 66 65 73 74 3e
     3c 2f 63 6f 6e 66 69 67 3e 3c 2f 63 6f 6e 66 69
     67 61 2d 75 74 68 3e 00
   type d'attrib : Inconnu - 28729, longueur : 1

     00
 Prochaine charge utile SA : TSi, réservé : 0x0, longueur : 44
IKEv2-PROTO-4 :   dernière proposition : 0x0, réservé : 0x0, longueur : 40
  Proposition : 1, id de Protocol : L'ESP, taille SPI : 4, #trans : 3
IKEv2-PROTO-4 :     dernier transformez : 0x3, réservé : 0x0 : longueur : 12
    type : 1, réservé : 0x0, id : AES-CBC
IKEv2-PROTO-4 :     dernier transformez : 0x3, réservé : 0x0 : longueur : 8
    type : 3, réservé : 0x0, id : SHA96
IKEv2-PROTO-4 :     dernier transformez : 0x0, réservé : 0x0 : longueur : 8
    type : 5, réservé : 0x0, id :

 Prochaine charge utile de TSi : TSr, réservé : 0x0, longueur : 24
    Numérique des solides solubles totaux : 1, 0x0 réservé, 0x0 réservé
    Type de SOLIDES TOTAUX : TS_IPV4_ADDR_RANGE, id proto : 0, longueur : 16
    port de début : 0, port de fin : 65535
    adr de début : 10.2.2.1, adr de fin : 10.2.2.1
 Prochaine charge utile de TSr : ANNONCEZ, avez réservé : 0x0, longueur : 24
    Numérique des solides solubles totaux : 1, 0x0 réservé, 0x0 réservé
    Type de SOLIDES TOTAUX : TS_IPV4_ADDR_RANGE, id proto : 0, longueur : 16
    port de début : 0, port de fin : 65535
    adr de début : 0.0.0.0, adr de fin : 255.255.255.255

IKEv2-PROTO-3 : Tx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] : 0x5
IKEv2-PROTO-3 : HDR[i:58AFF71141BA436B - r : FC696330E6B94D7F]
IKEv2-PROTO-4 : Ispi IKEV2 HDR : 58AFF71141BA436B - rspi : FC696330E6B94D7F
IKEv2-PROTO-4 : Prochaine charge utile : ENCR, version : 2.0
IKEv2-PROTO-4 : Type d'échange : IKE_AUTH, indicateurs : RESPONDER MSG-RESPONSE
IKEv2-PROTO-4 : Id de message : 0x5, longueur : 4396
 Prochaine charge utile ENCR : AUTHENTIQUE, réservé : 0x0, longueur : 4368
Data&colon chiffré ; 4364 octets

****************************************
Date : 04/23/2013
Temps : 16:25:07
Type : Les informations
Source : acvpndownloader

Description : Fonction : ProfileMgr : : loadProfiles
Fichier : . \ Api \ ProfileMgr.cpp
Ligne : 148
Profils chargés :
Utilisateurs de C:\Documents and Settings\All \ données des applications \ Cisco \ mobilité sécurisée Client\Profile\anyconnect-ikev2.xml de Cisco AnyConnect
****************************************
****************************************
Date : 04/23/2013
Temps : 16:25:07
Type : Les informations
Source : acvpndownloader

Description : Configurations des préférences en cours :
ServiceDisable : faux
CertificateStoreOverride : faux
CertificateStore : Tous
ShowPreConnectMessage : faux
AutoConnectOnStart : faux
MinimizeOnConnect : vrai
LocalLanAccess : faux
AutoReconnect : vrai
AutoReconnectBehavior : DisconnectOnSuspend
UseStartBeforeLogon : faux
AutoUpdate : vrai
RSASecurIDIntegration : Automatique
WindowsLogonEnforcement : SingleLocalLogon
WindowsVPNEstablishment : LocalUsersOnly
ProxySettings : Indigène
AllowLocalProxyConnections : vrai
PPPExclusion : Débronchement
PPPExclusionServerIP :
AutomaticVPNPolicy : faux
TrustedNetworkPolicy : Débranchement
UntrustedNetworkPolicy : Connectez
TrustedDNSDomains :
TrustedDNSServers :
AlwaysOn : faux
ConnectFailurePolicy : Fermé
AllowCaptivePortalRemediation : faux
CaptivePortalRemediationTimeout : 5
ApplyLastVPNLocalResourceRules : faux
AllowVPNDisconnect : vrai
EnableScripting : faux
TerminateScriptOnNextEvent : faux
EnablePostSBLOnConnectScript : vrai
AutomaticCertSelection : vrai
RetainVpnOnLogoff : faux
UserEnforcement : SameUserOnly
EnableAutomaticServerSelection : faux
AutoServerSelectionImprovement : 20
AutoServerSelectionSuspendTime : 4
AuthenticationTimeout : 12
SafeWordSofTokenIntegration : faux
AllowIPsecOverSSL : faux
ClearSmartcardPin : vrai
****************************************
Date : 04/23/2013
Temps : 16:25:07
Type : Les informations
Source : acvpnui

Description : Type de message les informations envoyées à l'utilisateur :
Établissant le VPN - Système de examen…
****************************************
Date : 04/23/2013
Temps : 16:25:07
Type : Les informations
Source : acvpnui

Description : Type de message les informations envoyées à l'utilisateur :
Établissant le VPN - Adaptateur de lancement VPN…
****************************************
Date : 04/23/2013
Temps : 16:25:07
Type : Les informations
Source : acvpnagent

Description : Fonction : CVirtualAdapter : : DoRegistryRepair
Fichier : . \ WindowsVirtualAdapter.cpp
Ligne : 1869
Touche Ctrl trouvée VA : SYSTEM\CurrentControlSet\ENUM\ROOT\NET\0000\Control

****************************************
Date : 04/23/2013
Temps : 16:25:07
Type : Les informations
Source : acvpnagent

Description : Une nouvelle interface réseau a été détectée.
****************************************
Date : 04/23/2013
Temps : 16:25:07
Type : Les informations
Source : acvpnagent

Description : Fonction : CRouteMgr : : logInterfaces
Fichier : . \ RouteMgr.cpp
Ligne : 2076
Fonction appelée : logInterfaces
Code retour : 0 (0x00000000)
Description : Liste interface d'adresse IP :
10.2.2.1
192.168.1.1
****************************************
Date : 04/23/2013
Temps : 16:25:08
Type : Les informations
Source : acvpnagent

Description : Configuration d'hôte :
 Annonce publique : 192.168.1.1
 Masque public : 255.255.255.0
 Adresse privée : 10.2.2.1
 Masque privé : 255.0.0.0
 Ipv6 addres privé : S/O
 Masque privé d'IPv6 : S/O
 Pairs distants : 10.0.0.1 (port TCP 443, port UDP 500), 10.0.0.1 (port UDP 4500)
 Réseaux privés : aucun
 Réseaux publics : aucun
 Tunnel mode : oui
****************************************

La connexion est écrite dans la base de données de l'association de sécurité (SA), et l'état EST ENREGISTRÉ. L'ASA exécute également certains contrôles comme des stats communs de la carte d'accès (CAC), la présence du doublon SAS, et des valeurs de positionnements comme la détection morte de pair (DPD) et ainsi de suite.