Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Configurazione

Panoramica

Configura Autorità di certificazione

Genera un certificato client

Installare il certificato di identità sul computer client Windows 7

Come installare il certificato di identità sul dispositivo mobile Android

Configurare l'headend ASA per la VPN ASA con IKEv2

Configura client predefinito di Windows 7

Configura client VPN nativo Android

Verifica

Risoluzione dei problemi

Introduzione

In questo documento viene descritto come configurare Cisco Adaptive Security Appliance (ASA) versione 9.7.1 e successive per consentire ai client VPN Windows 7 e Android nativi (Virtual Private Network) di stabilire una connessione VPN (Remote Access) per RA con l'utilizzo di IKEv2 (Internet Key Exchange Protocol) e certificati come metodo di autenticazione.

Contributo di David Rivera e Cesar Lopez Zamarripa, Cisco TAC Engineers.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- CA (Certification Authority)

- PKI (Public Key Infrastructure)

- RSA VPN con IKEv2 su ASA

- Client VPN incorporato di Windows 7

- Client VPN nativo Android

Componenti usati

Le informazioni di questo documento si basano sulle seguenti versioni software:

- CISCO 1921/K9 - 15.5(3)M4a come server CA IOS

- ASA5506X - 9.7(1) come headend VPN

- Windows 7 come computer client

- Galaxy J5 - Android 6.0.1 come client mobile

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Panoramica

Di seguito viene riportata la procedura per configurare i client VPN nativi di Windows 7 e Android per la connessione a un headend ASA:

Configura Autorità di certificazione

L'autorità di certificazione consente di incorporare l'utilizzo chiavi avanzato (EKU) richiesto nel certificato. Per l'headend ASA, è necessario l'utilizzo chiavi avanzato di autenticazione server certificati, mentre per il certificato client è necessario l'utilizzo chiavi avanzato di autenticazione client.

È possibile utilizzare diversi server CA, ad esempio:

- Server CA Cisco IOS

- Server CA OpenSSL

- Server CA Microsoft

- 3rd CA parte

Per questo esempio di configurazione viene utilizzato IOS CA Server.

In questa sezione viene descritta la configurazione di base per far funzionare un CISCO 1921/K9 con versione 15.5(3)M4a come server CA.

Passaggio 1. Verificare che il dispositivo e la versione supportino il comando eku.

IOS-CA# show run | section crypto pki

crypto pki server <CA_Server>

issuer-name <cn=calo_root,ou=TAC,o=cisco>

grant auto

eku server-auth client-auth

Passaggio 2. Abilitare il server HTTP sul router.

IOS-CA(config)#ip http server

Passaggio 3. Generare una coppia di chiavi RSA esportabile.

IOS-CA(config)# crypto key generate rsa modulus 2048 label <HeadEnd> exportable

The name for the keys will be: HeadEnd

% The key modulus size is 2048 bits

% Generating 2048 bit RSA keys, keys will be exportable...

[OK] (elapsed time was 5 seconds)

Passaggio 4. Configurare un trust point.

IOS-CA(config)# crypto pki trustpoint <HeadEnd>

IOS-CA(ca-trustpoint)#enrollment url http://10.201.180.230:80

IOS-CA(ca-trustpoint)#subject-name <cn=HeadEnd.david.com>

IOS-CA(ca-trustpoint)#revocation-check none

IOS-CA(ca-trustpoint)#rsakeypair <HeadEnd>

Nota: L'indirizzo IP per il comando enrollment è uno degli indirizzi IP configurati dal router per un'interfaccia raggiungibile.

Passaggio 5. Autenticare il trust point (ottenere il certificato CA).

IOS-CA(config)#crypto pki authenticate <HeadEnd>

Certificate has the following attributes:

Fingerprint MD5: DA4502F4 CEFB4F08 AAA3179B 70019185

Fingerprint SHA1: A887F6DB 0656C7E2 857749F3 EA3D7176 8920F52F

% Do you accept this certificate? [yes/no]: yes

Trustpoint CA certificate accepted.

Passaggio 6. Registrare il trust point (ottenere il certificato di identità).

IOS-CA(config)#crypto pki enroll <HeadEnd>

%

% Start certificate enrollment ..

% Create a challenge password. You will need to verbally provide this

password to the CA Administrator in order to revoke your certificate.

For security reasons your password will not be saved in the configuration.

Please make a note of it.

Password: cisco123

Re-enter password: cisco123

% The subject name in the certificate will include: cn=HeadEnd.david.com

% The subject name in the certificate will include: Connected_2_INET-B

% Include the router serial number in the subject name? [yes/no]: no

% Include an IP address in the subject name? [no]: no

Request certificate from CA? [yes/no]: yes

% Certificate request sent to Certificate Authority

% The 'show crypto pki certificate verbose HeadEnd' command will show the fingerprint.

*Jul 17 15:21:11.343: CRYPTO_PKI:  Certificate Request Fingerprint MD5: 0017C310 9F6084E8 63053228 B449794F

*Jul 17 15:21:11.343: CRYPTO_PKI:  Certificate Request Fingerprint SHA1: CFE22C7A B2855C4D B4B2412B 57FC7106 1C5E7791

*Jul 17 15:21:15.675: %PKI-6-CERTRET: Certificate received from Certificate Authority

Passaggio 7. Verificare i certificati.

IOS-CA#show crypto pki certificates verbose <HeadEnd>

Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 05

Certificate Usage: General Purpose

Issuer:

cn=calo_root

Subject:

Name: Connected_2_INET-B

hostname=Connected_2_INET-B

cn=HeadEnd.david.com

Validity Date:

start date: 16:56:14 UTC Jul 16 2017

end   date: 16:56:14 UTC Jul 16 2018

Subject Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (2048 bit)

Signature Algorithm: SHA1 with RSA Encryption

Fingerprint MD5: 0017C310 9F6084E8 63053228 B449794F

Fingerprint SHA1: CFE22C7A B2855C4D B4B2412B 57FC7106 1C5E7791

X509v3 extensions:

X509v3 Key Usage: A0000000

Digital Signature

Key Encipherment

X509v3 Subject Key ID: E9B3A080 779A76E7 8BE44F38 C3E4DEDF 18E75009

X509v3 Authority Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

Authority Info Access:

Extended Key Usage:

Client Auth

Server Auth

Associated Trustpoints: HeadEnd

Key Label: HeadEnd

CA Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 01

Certificate Usage: Signature

Issuer:

cn=calo_root

Subject:

cn=calo_root

Validity Date:

start date: 13:24:35 UTC Jul 13 2017

end   date: 13:24:35 UTC Jul 12 2020

Subject Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (1024 bit)

Signature Algorithm: MD5 with RSA Encryption

Fingerprint MD5: DA4502F4 CEFB4F08 AAA3179B 70019185

Fingerprint SHA1: A887F6DB 0656C7E2 857749F3 EA3D7176 8920F52F

X509v3 extensions:

X509v3 Key Usage: 86000000

Digital Signature

Key Cert Sign

CRL Signature

X509v3 Subject Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

X509v3 Basic Constraints:

CA: TRUE

X509v3 Authority Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

Authority Info Access:

Associated Trustpoints: test HeadEnd CA_Server

Passaggio 8. Esportare il trust point HeadEnd in un terminale in formato PKCS12 per ottenere il certificato di identità. Il certificato CA e la chiave privata vengono aggiunti in un unico file.

IOS-CA(config)#crypto pki export

pkcs12 terminal password

<cisco123>

Exported pkcs12 follows:

MIIL3wIBAzCCC5kGCSqGSIb3DQEHAaCCC4oEgguGMIILgjCCC34GCSqGSIb3DQEH

BqCCC28wggtrAgEAMIILZAYJKoZIhvcNAQcBMBsGCiqGSIb3DQEMAQMwDQQIocGz

Fa6tZyACAQGAggs4qNTJi7l/f0IvQr8n1c/SCeaSYRLBvcY9yPgJ2K2/Nmu9+KNB

3dAoYkCrGwDdfpobJE0XqBpIE1uBOtAeF7zdFJt/Pgpie4fcqpCVIbDXG8Ansmhj

v0j6W9Z/IJHe7JrENatbi4nhTnCDP79Z65QSkzrb9DenkCGjoQsWP9zLHTiCDNzV

ajMlWFuCFb0wSW/6L73BLTjS7rwtE74gYMU5NJwtOVsJM2LdwuQ+iOnpsnp6q9fu

niUFEutPe8imOCRApe0tpPqhDp74hKziKT8JEsQ8HMO/lX1y/LIXdLISnz1nkoN3

vxD4AMGRFYACPH8PiGcVSx+vD+wmNaHp1vAOrq4pS7ZQ37ko4mFudnftdOUzaPIz

EzTrOwlRE6il/gF8vb14EfeR09vumJBsajF12hrFGugIJTZnElp5go+oHEEAo4Y+

Yhoj/MIOyhZzo3/ujhjKqtsAJXybYF9YqVkTee9u4Xjkcsg5AmbaqeUUfd7Q8CC2

bi39S1maoWbTYiNcHFs/bWKWJsgZwPzfWtmPch/8MNvXn46AJAwIwRQjHruuFE9F

bhv7SRhYSRQZPf7j1PTmJuMkKA3AzjdbmmJuLidbX3yKbTt4PxPMusbv+ojc6Nam

RCsRf7+gnNZLWs3eU1n84rryZg5Pjw3MRTu2yXDvr799gvx7NIZH5yUZyVl1T70b

eC4KbflcmpM6mJ2UVnaoP2N5u892m41BWuk9rt5isl2f/Z/ZuSbkFaxzU0456zSg

VbYsR+51XfQEH5xu88E5EUPWZ86YdUSlbD8ky6WOn0M1O4K6rNDLkgwXcxw3CaZ8

zhao+dE3qoEYWaKPgCQzPqW0BW3y7WSIELug2uSEsXQjIQcF+42CX6RA3yCmy2T8

C+osKlSSao0nzjrlpTWnPiFss9KRFgJDZhV2ItisiALNw9PqruddcmYtw44LXvdc

+OfnyRvuLS6LE/AMmGk0GaVetAXPezD+5pVZW13UMT/ZdzUjLiXjV9GzF6V8i8qN

Ua0MbDEa8T5Le4dCigaA+t1QxQOPGb+w0ZAQzWN4gZpSEk3ejRixOt14SU5ivj/O

lGXNn8Fvebk42CHohjXG9fq/IfbsVWSkxn2OZ/fhXkZztv4ic1VgprgJURjCtcBw

9Qp/ONda+9aDHiSBrKeHC/urgX6rgWXv9+hpRKIRfj3b8WE+N1sivuQEjlWxbD7h

9fpwxXb+/i7HisjzSkOWUNw4lyulfYSiOv86FPWK0H9Vjbg0G0di1rvGZ8uJHQCC

77RLFXp4jrvCgeo4oWKQbphgPAng7rT794vMwq0rYOb4D3HlHCUvU3JJmScDJQy2

zQxbG2q8Htm44COOuJEUBzx1ImayH2XvDck6VmLTGn8XH5Vq7LOlCeUcVDM8aQfy

HJSPk/VmfQ0lXwPIaxxYlr+jOpcorFkH+OH04hz07grAsGyLRoFICTEvHAzVnF0X

2A1j/z/BFAPG86ssAtInRZVeYUS72NwPEtpKmlHZnl+2iWno5iwTZgtjv7oREZKE

RE6m7O8RiPSD2RjjamCmmmnH5dK5wxF7YlIeK/+ZVrfwLecEPRl+eVw0isM/JN/a

WmkZkCcVMx/ec1P8jp8LzCx17HgVNYbg9lsiffD4xo0G/k0QLUlpliAt7LA2BeGs

yl55wtYUcOBH0/Es39yWnm2Ea//IK6BLw98PvU90vkXWwiD3ajFmcHmssDeU/tZR

4KKNuNor7Le9ycXZFM9ofKZ6AIJ9A1AYvOyhGO88voq8MMGXEe/q+DIjaVE1htYu

k0ELmYAD/XOkEvp3SqOkLQZiCzZ20iMWUTWXlXfgrfLEH0utwHTyr3J2vQk5CD37

ZAfsF6zxEvtU2t41J0e9OjWJw9WtWnnS0gzLeXWtW3H0YAIw3QodKNzbaY4eLP4y

BEdsLmWbM4eza0m9BoZOmMUSkhvFrEz5Q5X5r9vCuAi1rYDqyIjhgdme56tVV0Vg

ZauhbNX59PQQzwOdIZJVVL5tgjf0h7XCm9OBsqd12lHurCCmHy7kM5pqf0MMlhH7

oM/DhXdTU+1sEabt/9c2qs1ihJLS1Zaw2q1AaS5h00+xL8Lxwh2/1/R7Q8FferhR

QZDpix+CmtakRu7uPOMa0zsyOko3P9mf74AWDrThAwMA6G238TC6XI1vrXhvEX1l

BVplQq0Wh/p7ZorSjD5l+z7TkXmJNp7iIxAqp0yobC6vOBwQP7/QAs88q9JNSAte

ErdCXoizvs8YmZMoEap948oplYFaIP+xCnCr8l3v7znwfZwTMQPoPvqEFqUmWYgt

xkJ0qaE645ihTnLgk4eglsBLslwPR1RJU+t6kGGAUmxqhPFxb3/1xNRPVzOGn12w

S9yw+XLC6kS4PmKoxkxax4nnCx7s3e7B5e0qmYtgRTJ0GuW7Uf+T3royTOuYm0d+

ik6bmxcnO0qdcHtt2HTbI+kYpken3YrFOh9Jnm9ZKT63gQSqQWL800ZVd4dAZceg

FciNKs9r26fyy+L3rGCh+U9TLf6mNuWu8RstjjIGPHEPKZ9gnMgMJmikP2ghgOAd

XVhs6ashXx33bZ9dIuhRx6uTNMrppsXyg6SxUyeGDYhpxsPt7uRwBswOpi6iDMZn

ISSzQjrkxoNwwOfn87O5fTCLhHlTZa8HS5HMK3KE7LiZv9pa1z6KTo4z+LCQSLDy

FoRJhSaEsCYJsLDS5nYBoR8hE/eMvQDX1f+RZBrJDcftxx7FQ+8RtvHSJRcJK9N/

Ph/pL62NBlSbvCfn1AbisKrbbgCVLOSj/doufPvpMT2UDL0TY8UnQiyWMH1MF3tZ

jJy6Si2glLwA9hu/c1NsREbA0gxMTjAREb5BjAUmlc3fuv2DWpwnkwyZNyHdm9B9

TPRoByGPvSZXa8MwY/8DUEwUQEsfDJi5jlAD4I6VFFUB72ZS7wn/mVR02fPkfOMp

3yhnGgX29OaDDiDlKw1Xwj1NybOhpZ6unDo5J3stMxlbv5TYL2Tl6egZS0SjsLmn

cj5zkyUU22/93E5vfKD1CMiXx9/e4j2rRh3QCIXqaCjC9acTJ8a/k9/bp8Nz5Cir

pnaCbuQsvna92nxVUqcmLlSbVIvGqlH9qm4DurhcLh59j20tX6K8AMJ90+azaYbX

AJV/MCElhJg6wcN8QnCHMhiuK9+zpsUK2FQgfbcgaaNe3xGaXuoOIGQmlbAGtEkp

kuauRzQ8/pwszaZuPh/5rE77z8zMut3+OE5CslB9npzNi0b0itaaRl13bBBml1xn

r6SBUw7AWapZwRx6pihvptLJaqU1IzaV5SWk0zTABR7BmR84L0+/8v/bedcPSioG

ecside21F6CcWO5ywABBxDYQXM1P9qkC/2bkPkEJ0jBI5P5L1+Yqb8hTlone/InR

B8ktEd8+QW8o60h0seONXumTqBfAuNBkprOA3ssXLeEGB0IpeC5oGW+VSziyS9id

zYq8WaehpAIf3pqwn8gsi0B/wd57T0KK91+v0Ei4z+yIdu8Kh9GTiqGvgNAeakgr

ECDiXoKAwltYAn7cLKNpZaojSs2Jt+60oBA5crT04Mtgpjb9Pd/DLqWQDJTyoRVv

cJRb68aOyZvVBU0yoLbox84QKLHIsA92pplS7VFrAWP65wrhs4XOf4YSFlM89Sn4

GD/yEsGVJzwGrxgCNnOZkLIKsFbIOjp2lMps5jVKoFfpPJCie3F2FB3ecS+xRpHo

5u2KOTmH0rFQ6Vu+JYCo/qWh0ERtL/8gczP7C9ehiaZfemw2bq9xrUo+6y3H9Q+Z

LADwMlAkI+kzbng3R+fj4AYBvf8GTJdpBs8s/t7mZXHiXCtH6qxTMRWJx5Xuxs9F

I8Ii8TA9MCEwCQYFKw4DAhoFAAQUjO/On/REYODupznP9SwYnFX92BYEFESx1MSa

ho3Cv1cZYM0TzZEzlsKdAgIEAA==

---End - This line not part of the pkcs12---

CRYPTO_PKI: Exported PKCS12 file successfully.

*Jul 17 15:46:49.706: %PKI-6-PKCS12EXPORT_SUCCESS: PKCS #12 Successfully Exported.

Passaggio 9. Creare un trust point vuoto sull'appliance ASA.

ASA(config)# crypto ca trustpoint <HeadEnd>

DRIVERAP(config-ca-trustpoint)# exit

Passaggio 10. Importare il file PKCS12.

ASA(config)#crypto ca import <HeadEnd> pkcs12 <cisco123>

Enter the base 64 encoded pkcs12.

End with the word "quit" on a line by itself:

MIIL3wIBAzCCC5kGCSqGSIb3DQEHAaCCC4oEgguGMIILgjCCC34GCSqGSIb3DQEH

BqCCC28wggtrAgEAMIILZAYJKoZIhvcNAQcBMBsGCiqGSIb3DQEMAQMwDQQIocGz

Fa6tZyACAQGAggs4qNTJi7l/f0IvQr8n1c/SCeaSYRLBvcY9yPgJ2K2/Nmu9+KNB

3dAoYkCrGwDdfpobJE0XqBpIE1uBOtAeF7zdFJt/Pgpie4fcqpCVIbDXG8Ansmhj

v0j6W9Z/IJHe7JrENatbi4nhTnCDP79Z65QSkzrb9DenkCGjoQsWP9zLHTiCDNzV

ajMlWFuCFb0wSW/6L73BLTjS7rwtE74gYMU5NJwtOVsJM2LdwuQ+iOnpsnp6q9fu

niUFEutPe8imOCRApe0tpPqhDp74hKziKT8JEsQ8HMO/lX1y/LIXdLISnz1nkoN3

vxD4AMGRFYACPH8PiGcVSx+vD+wmNaHp1vAOrq4pS7ZQ37ko4mFudnftdOUzaPIz

EzTrOwlRE6il/gF8vb14EfeR09vumJBsajF12hrFGugIJTZnElp5go+oHEEAo4Y+

Yhoj/MIOyhZzo3/ujhjKqtsAJXybYF9YqVkTee9u4Xjkcsg5AmbaqeUUfd7Q8CC2

bi39S1maoWbTYiNcHFs/bWKWJsgZwPzfWtmPch/8MNvXn46AJAwIwRQjHruuFE9F

bhv7SRhYSRQZPf7j1PTmJuMkKA3AzjdbmmJuLidbX3yKbTt4PxPMusbv+ojc6Nam

RCsRf7+gnNZLWs3eU1n84rryZg5Pjw3MRTu2yXDvr799gvx7NIZH5yUZyVl1T70b

eC4KbflcmpM6mJ2UVnaoP2N5u892m41BWuk9rt5isl2f/Z/ZuSbkFaxzU0456zSg

VbYsR+51XfQEH5xu88E5EUPWZ86YdUSlbD8ky6WOn0M1O4K6rNDLkgwXcxw3CaZ8

zhao+dE3qoEYWaKPgCQzPqW0BW3y7WSIELug2uSEsXQjIQcF+42CX6RA3yCmy2T8

C+osKlSSao0nzjrlpTWnPiFss9KRFgJDZhV2ItisiALNw9PqruddcmYtw44LXvdc

+OfnyRvuLS6LE/AMmGk0GaVetAXPezD+5pVZW13UMT/ZdzUjLiXjV9GzF6V8i8qN

Ua0MbDEa8T5Le4dCigaA+t1QxQOPGb+w0ZAQzWN4gZpSEk3ejRixOt14SU5ivj/O

lGXNn8Fvebk42CHohjXG9fq/IfbsVWSkxn2OZ/fhXkZztv4ic1VgprgJURjCtcBw

9Qp/ONda+9aDHiSBrKeHC/urgX6rgWXv9+hpRKIRfj3b8WE+N1sivuQEjlWxbD7h

9fpwxXb+/i7HisjzSkOWUNw4lyulfYSiOv86FPWK0H9Vjbg0G0di1rvGZ8uJHQCC

77RLFXp4jrvCgeo4oWKQbphgPAng7rT794vMwq0rYOb4D3HlHCUvU3JJmScDJQy2

zQxbG2q8Htm44COOuJEUBzx1ImayH2XvDck6VmLTGn8XH5Vq7LOlCeUcVDM8aQfy

HJSPk/VmfQ0lXwPIaxxYlr+jOpcorFkH+OH04hz07grAsGyLRoFICTEvHAzVnF0X

2A1j/z/BFAPG86ssAtInRZVeYUS72NwPEtpKmlHZnl+2iWno5iwTZgtjv7oREZKE

RE6m7O8RiPSD2RjjamCmmmnH5dK5wxF7YlIeK/+ZVrfwLecEPRl+eVw0isM/JN/a

WmkZkCcVMx/ec1P8jp8LzCx17HgVNYbg9lsiffD4xo0G/k0QLUlpliAt7LA2BeGs

yl55wtYUcOBH0/Es39yWnm2Ea//IK6BLw98PvU90vkXWwiD3ajFmcHmssDeU/tZR

4KKNuNor7Le9ycXZFM9ofKZ6AIJ9A1AYvOyhGO88voq8MMGXEe/q+DIjaVE1htYu

k0ELmYAD/XOkEvp3SqOkLQZiCzZ20iMWUTWXlXfgrfLEH0utwHTyr3J2vQk5CD37

ZAfsF6zxEvtU2t41J0e9OjWJw9WtWnnS0gzLeXWtW3H0YAIw3QodKNzbaY4eLP4y

BEdsLmWbM4eza0m9BoZOmMUSkhvFrEz5Q5X5r9vCuAi1rYDqyIjhgdme56tVV0Vg

ZauhbNX59PQQzwOdIZJVVL5tgjf0h7XCm9OBsqd12lHurCCmHy7kM5pqf0MMlhH7

oM/DhXdTU+1sEabt/9c2qs1ihJLS1Zaw2q1AaS5h00+xL8Lxwh2/1/R7Q8FferhR

QZDpix+CmtakRu7uPOMa0zsyOko3P9mf74AWDrThAwMA6G238TC6XI1vrXhvEX1l

BVplQq0Wh/p7ZorSjD5l+z7TkXmJNp7iIxAqp0yobC6vOBwQP7/QAs88q9JNSAte

ErdCXoizvs8YmZMoEap948oplYFaIP+xCnCr8l3v7znwfZwTMQPoPvqEFqUmWYgt

xkJ0qaE645ihTnLgk4eglsBLslwPR1RJU+t6kGGAUmxqhPFxb3/1xNRPVzOGn12w

S9yw+XLC6kS4PmKoxkxax4nnCx7s3e7B5e0qmYtgRTJ0GuW7Uf+T3royTOuYm0d+

ik6bmxcnO0qdcHtt2HTbI+kYpken3YrFOh9Jnm9ZKT63gQSqQWL800ZVd4dAZceg

FciNKs9r26fyy+L3rGCh+U9TLf6mNuWu8RstjjIGPHEPKZ9gnMgMJmikP2ghgOAd

XVhs6ashXx33bZ9dIuhRx6uTNMrppsXyg6SxUyeGDYhpxsPt7uRwBswOpi6iDMZn

ISSzQjrkxoNwwOfn87O5fTCLhHlTZa8HS5HMK3KE7LiZv9pa1z6KTo4z+LCQSLDy

FoRJhSaEsCYJsLDS5nYBoR8hE/eMvQDX1f+RZBrJDcftxx7FQ+8RtvHSJRcJK9N/

Ph/pL62NBlSbvCfn1AbisKrbbgCVLOSj/doufPvpMT2UDL0TY8UnQiyWMH1MF3tZ

jJy6Si2glLwA9hu/c1NsREbA0gxMTjAREb5BjAUmlc3fuv2DWpwnkwyZNyHdm9B9

TPRoByGPvSZXa8MwY/8DUEwUQEsfDJi5jlAD4I6VFFUB72ZS7wn/mVR02fPkfOMp

3yhnGgX29OaDDiDlKw1Xwj1NybOhpZ6unDo5J3stMxlbv5TYL2Tl6egZS0SjsLmn

cj5zkyUU22/93E5vfKD1CMiXx9/e4j2rRh3QCIXqaCjC9acTJ8a/k9/bp8Nz5Cir

pnaCbuQsvna92nxVUqcmLlSbVIvGqlH9qm4DurhcLh59j20tX6K8AMJ90+azaYbX

AJV/MCElhJg6wcN8QnCHMhiuK9+zpsUK2FQgfbcgaaNe3xGaXuoOIGQmlbAGtEkp

kuauRzQ8/pwszaZuPh/5rE77z8zMut3+OE5CslB9npzNi0b0itaaRl13bBBml1xn

r6SBUw7AWapZwRx6pihvptLJaqU1IzaV5SWk0zTABR7BmR84L0+/8v/bedcPSioG

ecside21F6CcWO5ywABBxDYQXM1P9qkC/2bkPkEJ0jBI5P5L1+Yqb8hTlone/InR

B8ktEd8+QW8o60h0seONXumTqBfAuNBkprOA3ssXLeEGB0IpeC5oGW+VSziyS9id

zYq8WaehpAIf3pqwn8gsi0B/wd57T0KK91+v0Ei4z+yIdu8Kh9GTiqGvgNAeakgr

ECDiXoKAwltYAn7cLKNpZaojSs2Jt+60oBA5crT04Mtgpjb9Pd/DLqWQDJTyoRVv

cJRb68aOyZvVBU0yoLbox84QKLHIsA92pplS7VFrAWP65wrhs4XOf4YSFlM89Sn4

GD/yEsGVJzwGrxgCNnOZkLIKsFbIOjp2lMps5jVKoFfpPJCie3F2FB3ecS+xRpHo

5u2KOTmH0rFQ6Vu+JYCo/qWh0ERtL/8gczP7C9ehiaZfemw2bq9xrUo+6y3H9Q+Z

LADwMlAkI+kzbng3R+fj4AYBvf8GTJdpBs8s/t7mZXHiXCtH6qxTMRWJx5Xuxs9F

I8Ii8TA9MCEwCQYFKw4DAhoFAAQUjO/On/REYODupznP9SwYnFX92BYEFESx1MSa

ho3Cv1cZYM0TzZEzlsKdAgIEAA==

quit

INFO: Import PKCS12 operation completed successfully

Passaggio 11. Verificare le informazioni sul certificato.

ASA(config)#show crypto ca certificates <HeadEnd>

CA Certificate

Status: Available

Certificate Serial Number: 01

Certificate Usage: Signature

Public Key Type: RSA (1024 bits)

Signature Algorithm: MD5 with RSA Encryption

Issuer Name:

cn=calo_root

Subject Name:

cn=calo_root

Validity Date:

start date: 13:24:35 UTC Jul 13 2017

end   date: 13:24:35 UTC Jul 12 2020

Storage: config

Associated Trustpoints: test HeadEnd

Certificate

Status: Available

Certificate Serial Number: 05

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: SHA1 with RSA Encryption

Issuer Name:

cn=calo_root

Subject Name:

hostname=Connected_2_INET-B

cn=HeadEnd.david.com

Validity Date:

start date: 16:56:14 UTC Jul 16 2017

end   date: 16:56:14 UTC Jul 16 2018

Storage: config

Associated Trustpoints: HeadEnd

Genera un certificato client

Passaggio 1. Generare una coppia di chiavi RSA esportabile.

IOS-CA(config)# crypto key generate rsa modulus 2048 label <Win7_PC> exportable

The name for the keys will be: Win7_PC

% The key modulus size is 2048 bits

% Generating 2048 bit RSA keys, keys will be exportable...

[OK] (elapsed time was 5 seconds

Passaggio 2. Configurare un trust point.

IOS-CA(config)# crypto pki trustpoint <Win7_PC>

IOS-CA(ca-trustpoint)#enrollment url http://10.201.180.230:80

IOS-CA(ca-trustpoint)#subject-name <cn=Win7_PC.david.com>

IOS-CA(ca-trustpoint)#revocation-check none

IOS-CA(ca-trustpoint)#rsakeypair <Win7_PC>

Passaggio 3. Autenticare il trust point configurato (ottenere il certificato CA).

IOS-CA(config)#crypto pki authenticate <Win7_PC>

Certificate has the following attributes:

Fingerprint MD5: DA4502F4 CEFB4F08 AAA3179B 70019185

Fingerprint SHA1: A887F6DB 0656C7E2 857749F3 EA3D7176 8920F52F

% Do you accept this certificate? [yes/no]: yes

Trustpoint CA certificate accepted.

Passaggio 4. Registrare il trust point autenticato (ottenere il certificato di identità).

IOS-CA(config)#crypto pki enroll <Win7_PC>

%

% Start certificate enrollment ..

% Create a challenge password. You will need to verbally provide this

password to the CA Administrator in order to revoke your certificate.

For security reasons your password will not be saved in the configuration.

Please make a note of it.

Password: cisco123

Re-enter password: cisco123

% The subject name in the certificate will include: cn=Win7_PC.david.com

% The subject name in the certificate will include: Connected_2_INET-B

% Include the router serial number in the subject name? [yes/no]: no

% Include an IP address in the subject name? [no]: no

Request certificate from CA? [yes/no]: yes

% Certificate request sent to Certificate Authority

% The 'show crypto pki certificate verbose Win7_PC' command will show the fingerprint.

*Jul 17 15:21:11.343: CRYPTO_PKI:  Certificate Request Fingerprint MD5: 9153E537 11C16FAE B03F7A38 775DBB92

*Jul 17 15:21:11.343: CRYPTO_PKI:  Certificate Request Fingerprint SHA1: 3BC4AC98 91067707 BB6BBBFB ABD97796 F7FB3DD1

*Jul 17 15:21:15.675: %PKI-6-CERTRET: Certificate received from Certificate Authority

Passaggio 5. Verificare le informazioni relative ai certificati.

IOS-CA#show crypto pki certificates verbose <Win7_PC>

Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 03

Certificate Usage: General Purpose

Issuer:

cn=calo_root

Subject:

Name: Connected_2_INET-B

hostname=Connected_2_INET-B

cn=Win7_PC.david.com

Validity Date:

start date: 13:29:51 UTC Jul 13 2017

end   date: 13:29:51 UTC Jul 13 2018

Subject Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (2048 bit)

Signature Algorithm: SHA1 with RSA Encryption

Fingerprint MD5: 9153E537 11C16FAE B03F7A38 775DBB92

Fingerprint SHA1: 3BC4AC98 91067707 BB6BBBFB ABD97796 F7FB3DD1

X509v3 extensions:

X509v3 Key Usage: A0000000

Digital Signature

Key Encipherment

X509v3 Subject Key ID: F37266AE 61F64BD9 3E9FA80C 77455F21 5BEB870D

X509v3 Authority Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

Authority Info Access:

Extended Key Usage:

Client Auth

Server Auth

Associated Trustpoints: Win7_PC

Key Label: Win7_PC

CA Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 01

Certificate Usage: Signature

Issuer:

cn=calo_root

Subject:

cn=calo_root

Validity Date:

start date: 13:24:35 UTC Jul 13 2017

end   date: 13:24:35 UTC Jul 12 2020

Subject Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (1024 bit)

Signature Algorithm: MD5 with RSA Encryption

Fingerprint MD5: DA4502F4 CEFB4F08 AAA3179B 70019185

Fingerprint SHA1: A887F6DB 0656C7E2 857749F3 EA3D7176 8920F52F

X509v3 extensions:

X509v3 Key Usage: 86000000

Digital Signature

Key Cert Sign

CRL Signature

X509v3 Subject Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

X509v3 Basic Constraints:

CA: TRUE

X509v3 Authority Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

Authority Info Access:

Associated Trustpoints: test HeadEnd Win7_PC CA_Server

Installare il certificato di identità sul computer client Windows 7

Passaggio 1. Esportare il trust point Win7_PC denominato in un server FTP/TFTP (installato nel computer Windows 7) in formato PKCS12 (.p12) per ottenere il certificato di identità, il certificato CA e la chiave privata in un unico file.

IOS-CA(config)#crypto pki export <Win7_PC> pkcs12 <tftp://10.152.206.175/ Win7_PC.p12> password <cisco123>

Address or name of remote host [10.152.206.175]?

Destination filename [Win7_PC.p12]?

!Writing pkcs12 file to tftp://10.152.206.175/Win7_PC.p12

!

CRYPTO_PKI: Exported PKCS12 file successfully.

*Jul 17 16:29:20.310: %PKI-6-PKCS12EXPORT_SUCCESS: PKCS #12 Successfully Exported.

Questo è l'aspetto del file esportato su un computer client.

Passaggio 2. Premere Ctrl + R e digitare mmc per aprire Microsoft Management Console (MMC).

Passaggio 3. Selezionare OK.

Passaggio 4. Passare a File>Aggiungi/Rimuovi snap-in.

Passaggio 5. Selezionare Certificati > Aggiungi > Account computer.

Passaggio 6. Selezionare Avanti,

Passaggio 7. Fine.

Passaggio 8. Selezionare OK.

Passaggio 9. Accedere a Certificati (computer locale)>Personali>Certificati, fare clic con il pulsante destro del mouse sulla cartella e selezionare Tutte le attività>Importa:

Passaggio 10. Fare clic su Avanti. Indicare il percorso in cui è archiviato il file PKCS12.

Passaggio 11. Selezionare nuovamente Avanti e digitare la password immessa nel comando crypto pki export <Win7_PC> pkcs12 <tftp://10.152.206.175/ Win7_PC.p12> password <cisco123>

Passaggio 12. Selezionare Avanti.

Passaggio 13. Selezionare ancora una volta Next.

Passaggio 14. Selezionare Fine.

Passaggio 15. Selezionare OK. Verranno ora visualizzati i certificati installati (sia il certificato CA che il certificato di identità).

Passaggio 16. Trascinare e rilasciare il certificato CA da Certificati (Computer locale)>Personali>Certificati a Certificati (Computer locale)>Autorità di certificazione principale attendibile>Certificati.

Come installare il certificato di identità sul dispositivo mobile Android

Nota: Android supporta i file dell'archivio chiavi PKCS#12 con estensione .pfx o .p12.

Nota: Android supporta solo certificati SSL X.509 con codifica DER.

Passaggio 1. Dopo l'esportazione del certificato client dal server CA IOS in formato PKCS12 (.p12), inviare il file al dispositivo Android tramite posta elettronica. Una volta ottenuto, toccare il nome del file per avviare l'installazione automatica. (Non scaricare il file)

Passaggio 2. Immettere la password utilizzata per esportare il certificato. In questo esempio, la password è cisco123.

Passaggio 3. Selezionare OK e immettere un nome di certificato. Può essere qualsiasi parola, in questo esempio il nome è Android ID Cert .

Passaggio 4. Selezionare OK e viene visualizzato il messaggio "Android ID Cert installed".

Passaggio 5. Per installare il certificato CA, estrarlo dal server CA IOS in formato base64 e salvarlo con estensione .crt. Inviare il file al dispositivo Android tramite e-mail. Questa volta è necessario scaricare il file incollandolo sulla freccia situata accanto al nome del file.

Passaggio 6. Passare a Impostazioni e schermata di blocco e protezione.

Passaggio 7. Selezionare Altre impostazioni di protezione.

Passaggio 8. Passare a Installa dallo storage del dispositivo.

Passaggio 9. Selezionare il file .crt e toccare Fatto.

Passaggio 10. Immettere un nome certificato. Può essere una parola qualsiasi, in questo esempio il nome è calo_root-1.

Passaggio 10. Selezionare OK per visualizzare il messaggio "calo_root-1 installato".

Passaggio 11. Per verificare che il certificato di identità sia installato, passare a Impostazioni/schermata di blocco e Protezione/Altro > Impostazioni protezione/Certificati utente/Scheda Sistema.

Passaggio 12. Per verificare che il certificato CA sia installato, passare a Impostazioni/schermata di blocco e protezione/Altre impostazioni di protezione/Visualizza certificati di protezione/scheda Utente.

Configurare l'headend ASA per la VPN ASA con IKEv2

Passaggio 1. In ASDM, selezionare Configurazione>VPN ad accesso remoto > Accesso di rete (client)> Profili di connessione Anyconnect. Selezionare la casella Accesso IPSec (IKEv2), Consenti accesso sull'interfaccia rivolta ai client VPN (l'opzione Abilita servizi client non è necessaria).

Passaggio 2. Selezionare Device Certificate e rimuovere il segno di spunta da Use the same device certificate for SSL and IPSec IKEv2.

Passaggio 3. Selezionare il certificato headend per la connessione IPSec e scegliere Nessuno per la connessione SSL.

Questa opzione attiva la configurazione della mappa crittografica, ikev2, ipsec di crittografia, mappa dinamica e mappa crittografica.

Questo è l'aspetto della configurazione sull'interfaccia della riga di comando (CLI).

crypto ikev2 policy 1

encryption aes-256

integrity sha

group 5

prf sha

lifetime seconds 86400

crypto ikev2 enable outside

crypto ikev2 remote-access trustpoint HeadEnd

crypto ipsec ikev2 ipsec-proposal AES256

protocol esp encryption aes-256

protocol esp integrity sha-1 md5

crypto dynamic-map Anyconnect 65535 set ikev2 ipsec-proposal AES256

crypto map outside_map 65535 ipsec-isakmp dynamic Anyconnect

crypto map outside_map interface outside

Passaggio 4. Passare a Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Criteri di gruppo per creare un criterio di gruppo

Dalla CLI.

group-policy GP_David internal

group-policy GP_David attributes

vpn-tunnel-protocol ikev2

Passaggio 5. Passare a Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Pool di indirizzi e selezionare Aggiungi per creare un pool IPv4.

Dalla CLI.

ip local pool ACPool 192.168.50.1-192.168.50.100 mask 255.255.255.0

Passaggio 6. Passare a Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Profili di connessione IPSec(IKEv2) e selezionare Aggiungi per creare un nuovo gruppo di tunnel.

Dalla CLI.

tunnel-group David type remote-access

tunnel-group David general-attributes

address-pool ACPool

default-group-policy GP_David

authentication-server-group LOCAL

tunnel-group David webvpn-attributes

authentication certificate

tunnel-group David ipsec-attributes

ikev2 remote-authentication certificate

ikev2 local-authentication certificate HeadEnd

Passaggio 7. Passare a Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Avanzate > IPSec > Mappe del profilo certificato-connessione > Criteri e selezionare la casella Utilizza le regole configurate per associare un certificato a un profilo di connessione.

Dalla CLI.

tunnel-group-map enable rules

Passaggio 8. Passare a Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Avanzate > IPSec > Mappe profilo certificato-connessione > Regole e creare una nuova mappa certificati. Selezionare Aggiungi e associarla al gruppo di tunnel. Nell'esempio, il gruppo di tunnel è David.

Dalla CLI.

tunnel-group-map CERT_MAP 10 David

Passaggio 9. Selezionare Aggiungi nella sezione Criteri di mapping e immettere questi valori.

Campo: Emittente

Operatore: Contiene

Valore: calo_radice

Dalla CLI.

crypto ca certificate map CERT_MAP 10

issuer-name co calo_root

Passaggio 10. Creare un oggetto con la rete del pool IP da utilizzare per aggiungere una regola di esenzione NAT (Network Address Translation) in Configurazione > Firewall > Oggetti > Oggetti/gruppi di rete> Aggiungi.

Dalla CLI.

object network NETWORK_OBJ_192.168.50.0_24

subnet 192.168.50.0 255.255.255.0

Passaggio 11. Passare a Configurazione > Firewall > Regole NAT e selezionare Aggiungi per creare la regola di esenzione NAT per il traffico VPN RA.

Dalla CLI.

nat (inside,outside) source static any any destination static NETWORK_OBJ_192.168.50.0_24 NETWORK_OBJ_192.168.50.0_24 no-proxy-arp route-lookup

Questa è la configurazione ASA completa utilizzata per l'esempio.

interface GigabitEthernet1/1

nameif outside

security-level 0

ip address 10.88.243.108 255.255.255.128

object network NETWORK_OBJ_192.168.50.0_24

subnet 192.168.50.0 255.255.255.0

nat (inside,outside) source static any any destination static NETWORK_OBJ_192.168.50.0_24 NETWORK_OBJ_192.168.50.0_24

ip local pool ACPool 192.168.50.1-192.168.50.100 mask 255.255.255.0

crypto ikev2 policy 1

encryption aes-256

integrity sha

group 5

prf sha

lifetime seconds 86400

crypto ikev2 enable outside

crypto ikev2 remote-access trustpoint HeadEnd

group-policy GP_David internal

group-policy GP_David attributes

vpn-tunnel-protocol ikev2

tunnel-group David type remote-access

tunnel-group David general-attributes

address-pool ACPool

default-group-policy GP_David

authentication-server-group LOCAL

tunnel-group David webvpn-attributes

authentication certificate

tunnel-group David ipsec-attributes

ikev2 remote-authentication certificate

ikev2 local-authentication certificate HeadEnd

tunnel-group-map enable rules

crypto ca certificate map CERT_MAP 10

issuer-name co calo_root

tunnel-group-map CERT_MAP 10 David

crypto ipsec ikev2 ipsec-proposal AES256

protocol esp encryption aes-256

protocol esp integrity sha-1 md5

crypto dynamic-map Anyconnect 65535 set ikev2 ipsec-proposal AES256

crypto map outside_map 65535 ipsec-isakmp dynamic Anyconnect

crypto map outside_map interface outside

Configura client predefinito di Windows 7

Passaggio 1. Passare a Pannello di controllo > Rete e Internet > Centro connessioni di rete e condivisione.

Passaggio 2. Selezionare Configura nuova connessione o rete.

Passaggio 3. Selezionare Connetti a una rete aziendale e Avanti.

Passaggio 4. Selezionare No, crea una nuova connessione e Avanti.

Passaggio 5. Selezionare Use my Internet connection (VPN) e aggiungere la stringa CN (Nome comune del certificato HeadEnd) nel campo Indirizzo Internet. Nel campo Nome destinazione digitare il nome della connessione. Può essere una stringa qualsiasi. Assicurarsi di controllare la casella di controllo Non connettere ora; configuralo in modo da potermi collegare in seguito.

Passaggio 6. Selezionare Avanti.

Passaggio 7. Selezionare Crea.

Passaggio 8. Selezionare Chiudi e selezionare Pannello di controllo > Rete e Internet > Connessioni di rete. Selezionare la connessione di rete creata e fare clic su di essa con il pulsante destro del mouse. Selezionare Proprietà.

Passaggio 9. Nella scheda General è possibile verificare che il nome host appropriato per l'headend sia corretto. Il computer risolverà questo nome nell'indirizzo IP ASA usato per connettere gli utenti della VPN dell'appliance ASA.

Passaggio 10. Passare alla scheda Sicurezza e selezionare IKEv2 come tipo di VPN. Nella sezione Autenticazione selezionare Usa certificati computer.

Passaggio 11. Selezionare OK e passare a C:\Windows\System32\drivers\etc. Aprire il file hosts utilizzando un editor di testo. Configurare una voce per risolvere l'FQDN (Fully Qualified Domain Name) configurato nella connessione di rete sull'indirizzo IP dell'headend ASA (nell'esempio, l'interfaccia esterna).

Passaggio 12. Tornare a Pannello di controllo > Rete e Internet > Connessioni di rete. Selezionare la connessione di rete creata. Fare clic con il pulsante destro del mouse e selezionare Connetti.

Passaggio 13. Lo stato della connessione di rete passa da Disconnesso a Connesso e quindi a Connesso. Viene infine visualizzato il nome specificato per la connessione di rete.

A questo punto, il computer è connesso all'headend VPN.

Configura client VPN nativo Android

Passaggio 1. Passare a Impostazioni>Altre impostazioni di connessione

Passaggio 2. Selezionare VPN

Passaggio 3. Selezionare Add VPN. Se la connessione è già stata creata come in questo esempio, toccare l'icona del motore per modificarla. Specificare IPSec IKEv2 RSA nel campo Tipo. L'indirizzo del server è l'indirizzo IP dell'interfaccia ASA abilitata per IKEv2. Per il certificato utente IPSec e il certificato CA IPSec selezionare i certificati installati toccando i menu a discesa. Lasciare il certificato del server IPSec con l'opzione predefinita, Ricevuto dal server.

Passaggio 4. Selezionare Save e quindi toccare il nome della nuova connessione VPN.

Passaggio 5. Selezionare Connetti.

Passaggio 6. Digitare nuovamente la connessione VPN per verificare lo stato. Viene visualizzato come Connesso.

Verifica

Comandi di verifica sull'headend ASA:

ASA#show vpn-sessiondb detail ra-ikev2-ipsec

Session Type: Generic Remote-Access IKEv2 IPsec Detailed

Username     : Win7_PC.david.com      Index        : 24

Assigned IP  : 192.168.50.1           Public IP    : 10.152.206.175

Protocol     : IKEv2 IPsec

License      : AnyConnect Premium

Encryption   : IKEv2: (1)AES256  IPsec: (1)AES256

Hashing      : IKEv2: (1)SHA1  IPsec: (1)SHA1

Bytes Tx     : 0                      Bytes Rx     : 16770

Pkts Tx      : 0                      Pkts Rx      : 241

Pkts Tx Drop : 0                      Pkts Rx Drop : 0

Group Policy : GP_David               Tunnel Group : David

Login Time   : 08:00:01 UTC Tue Jul 18 2017

Duration     : 0h:00m:21s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : 0a0a0a0100018000596dc001

Security Grp : none

IKEv2 Tunnels: 1

IPsec Tunnels: 1

IKEv2:

Tunnel ID    : 24.1

UDP Src Port : 4500                   UDP Dst Port : 4500

Rem Auth Mode: rsaCertificate

Loc Auth Mode: rsaCertificate

Encryption   : AES256                 Hashing      : SHA1

Rekey Int (T): 86400 Seconds          Rekey Left(T): 86379 Seconds

PRF          : SHA1                   D/H Group    : 2

Filter Name  :

IPsec:

Tunnel ID    : 24.2

Local Addr   : 0.0.0.0/0.0.0.0/0/0

Remote Addr  : 192.168.50.1/255.255.255.255/0/0

Encryption   : AES256                 Hashing      : SHA1

Encapsulation: Tunnel

Rekey Int (T): 28800 Seconds          Rekey Left(T): 28778 Seconds

Idle Time Out: 30 Minutes             Idle TO Left : 30 Minutes

Conn Time Out: 518729 Minutes         Conn TO Left : 518728 Minutes

Bytes Tx     : 0                      Bytes Rx     : 16947

Pkts Tx      : 0                      Pkts Rx      : 244

ASA# show crypto ikev2 sa

IKEv2 SAs:

Session-id:24, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id                 Local                Remote     Status         Role

2119549341    10.88.243.108/4500   10.152.206.175/4500      READY    RESPONDER      Encr: AES-CBC, keysize: 256, Hash: SHA96, DH Grp:2, Auth sign: RSA, Auth verify: RSA

Life/Active Time: 86400/28 sec

Child sa: local selector  0.0.0.0/0 - 255.255.255.255/65535

remote selector 192.168.50.1/0 - 192.168.50.1/65535

ESP spi in/out: 0xbfff64d7/0x76131476

ASA# show crypto ipsec sa

interface: outside

Crypto map tag: Anyconnect, seq num: 65535, local addr: 10.88.243.108

local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

remote ident (addr/mask/prot/port): (192.168.50.1/255.255.255.255/0/0)

current_peer: 10.152.206.175, username: Win7_PC.david.com

dynamic allocated peer ip: 192.168.50.1

dynamic allocated peer ip(ipv6): 0.0.0.0

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0

#pkts decaps: 339, #pkts decrypt: 339, #pkts verify: 339

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0

#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0

#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0

#TFC rcvd: 0, #TFC sent: 0

#Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0

#send errors: 0, #recv errors: 0

local crypto endpt.: 10.88.243.108/4500, remote crypto endpt.: 10.152.206.175/4500

path mtu 1496, ipsec overhead 58(44), media mtu 1500

PMTU time remaining (sec): 0, DF policy: copy-df

ICMP error validation: disabled, TFC packets: disabled

current outbound spi: 76131476

current inbound spi : BFFF64D7

inbound esp sas:

spi: 0xBFFF64D7 (3221185751)

transform: esp-aes-256 esp-sha-hmac no compression

in use settings ={RA, Tunnel, IKEv2, }

slot: 0, conn_id: 98304, crypto-map: Anyconnect

sa timing: remaining key lifetime (sec): 28767

IV size: 16 bytes

replay detection support: Y

Anti replay bitmap:

0xFFFFFFFF 0xFFFFFFFF

outbound esp sas:

spi: 0x76131476 (1980961910)

transform: esp-aes-256 esp-sha-hmac no compression

in use settings ={RA, Tunnel, IKEv2, }

slot: 0, conn_id: 98304, crypto-map: Anyconnect

sa timing: remaining key lifetime (sec): 28767

IV size: 16 bytes

replay detection support: Y

Anti replay bitmap:

0x00000000 0x00000001

ASA#show vpn-sessiondb license-summary

---------------------------------------------------------------------------

VPN Licenses and Configured Limits Summary

---------------------------------------------------------------------------

Status : Capacity : Installed :  Limit

-----------------------------------------

AnyConnect Premium               :  ENABLED :       50 :        50 :   NONE

AnyConnect Essentials            : DISABLED :       50 :         0 :   NONE

Other VPN (Available by Default) :  ENABLED :       10 :        10 :   NONE

Shared License Server            : DISABLED

Shared License Participant       : DISABLED

AnyConnect for Mobile            :  ENABLED(Requires Premium or Essentials)

Advanced Endpoint Assessment     :  ENABLED(Requires Premium)

AnyConnect for Cisco VPN Phone   :  ENABLED

VPN-3DES-AES                     :  ENABLED

VPN-DES                          :  ENABLED

---------------------------------------------------------------------------

---------------------------------------------------------------------------

VPN Licenses Usage Summary

---------------------------------------------------------------------------

Local : Shared :   All  :   Peak :  Eff.  :

In Use : In Use : In Use : In Use :  Limit : Usage

----------------------------------------------------

AnyConnect Premium     :      1 :      0 :      1 :      1 :     50 :    2%

AnyConnect Client    :                 :      0 :      1          :    0%

AnyConnect Mobile  :                 :      0 :      0          :    0%

Clientless VPN       :                 :      0 :      0          :    0%

Generic IKEv2 Client :                 :      1 :      1          :    2%

Other VPN              :                 :      0 :      0 :     10 :    0%

Cisco VPN Client     :                 :      0 :      0          :    0%

L2TP Clients

Site-to-Site VPN     :                 :      0 :      0          :    0%

---------------------------------------------------------------------------

ASA# show vpn-sessiondb

---------------------------------------------------------------------------

VPN Session Summary

---------------------------------------------------------------------------

Active : Cumulative : Peak Concur : Inactive

----------------------------------------------

AnyConnect Client            :      0 :         11 :           1 :        0

SSL/TLS/DTLS               :      0 :          1 :           1 :        0

IKEv2 IPsec                :      0 :         10 :           1 :        0

Generic IKEv2 Remote Access  :      1 :         14 :           1

---------------------------------------------------------------------------

Total Active and Inactive    :      1             Total Cumulative :     25

Device Total VPN Capacity    :     50

Device Load                  :     2%

---------------------------------------------------------------------------

---------------------------------------------------------------------------

Tunnels Summary

---------------------------------------------------------------------------

Active : Cumulative : Peak Concurrent

----------------------------------------------

IKEv2                        :      1 :         25 :               1

IPsec                        :      1 :         14 :               1

IPsecOverNatT                :      0 :         11 :               1

AnyConnect-Parent            :      0 :         11 :               1

SSL-Tunnel                   :      0 :          1 :               1

DTLS-Tunnel                  :      0 :          1 :               1

---------------------------------------------------------------------------

Totals                       :      2 :         63

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.

Nota: consultare le informazioni importanti sui comandi di debug prima di usare i comandi di debug.

Attenzione: sull'appliance ASA, è possibile impostare vari livelli di debug; per impostazione predefinita, viene utilizzato il livello 1. Se si modifica il livello di debug, il livello di dettaglio dei debug aumenta. Procedere con cautela, soprattutto negli ambienti di produzione.

- Debug del protocollo ikev2 di crittografia 15

- Debug della piattaforma crypto ikev2 15

- Debug della crittografia ca 255