Sommario

Problema

In un tunnel VTI (Virtual Tunnel Interface) configurato per proteggere l'accesso su un router CAT8500, l'associazione di sicurezza IPsec viene stabilita quando si esegue il controllo con show crypto ipsec sa, ma l'associazione di sicurezza IKEv2 rimane in stato di negoziazione quando viene visualizzata con show crypto ikev2 sa. Il protocollo della linea di interfaccia del tunnel non è attivo e sul lato Secure Access la connessione è disconnessa, il che impedisce al tunnel di stabilirsi correttamente.

Ambiente

- Famiglia di prodotti: CAT8500

- Versione del software: 17.15.4 quater

- Tecnologia: Tunnel di rete ad accesso sicuro (IPsec, da sito a sito)

- Tipo di tunnel: VTI (Virtual Tunnel Interface)

- Versione IKE: IKEv2

Risoluzione

In base ai parametri IPSec supportati:

I valori consigliati sono 19,20 per il gruppo DH.

crypto ikev2 proposta csse-G256

crittografia aes-gcm-256

prf sha256

gruppo 19 21. <<<<<<<<<<<<<<<<<<<<<<<<<<<<<< <><<<: questa opzione richiede una modifica a 19.20

Gruppo di chiavi -

crypto ikev2 keyring csse_usest

peer csse_virginia1

indirizzo x.x.x.x <<<<<<<<<<<<<<<

locale con chiave già condivisa <rimosso>

remoto con chiave già condivisa <rimosso>

!

Profilo: identità di corrispondenza mancante locale. L'ID del tunnel verrebbe restituito dall'interfaccia utente CSA quando si crea un gruppo di tunnel di rete.

crypto ikev2 profile csse_virginia1

corrispondenza indirizzo remoto identità x.x.x.x 255.255.255.255

pre-condivisione remota per l'autenticazione

pre-condivisione locale di autenticazione

digitazione csse_useast locale

!

Dopo aver modificato il gruppo DH, il problema dell'identità locale della corrispondenza aggiunta viene risolto.

Causa

La causa principale di questo problema è in genere la configurazione dell'identità locale mancante o non corretta nel profilo IKEv2. Per stabilire correttamente la negoziazione IKEv2, Secure Access richiede parametri di identità specifici. Inoltre, l'utilizzo di gruppi Diffie-Hellman non supportati (diversi da 19 e 20) può impedire la riuscita della negoziazione IKEv2 con Secure Access.

Contenuto correlato

- Supporto tecnico Cisco e download