ルータでの事前共有鍵の暗号化の設定

はじめに

このドキュメントでは、ルータの現在の事前共有キーと新しい事前共有キーの両方の暗号化を設定する方法について説明します。

前提条件

要件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアのバージョンに基づくものです。

• Cisco IOS XE®ソフトウェアリリース16.9

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

表記法

ドキュメント表記の詳細については、『シスコ テクニカル ティップスの表記法』を参照してください。

背景説明

Cisco IOSソフトウェアリリース12.3(2)Tコードには、ルータがInternet Security Association and Key Management Protocol(ISAKMP)事前共有キーをNonvolatile RAM（NVRAM；不揮発性RAM）のNon-Volatile RAM（NVRAM；不揮発性RAM）内の安全なタイプ6形式で暗号化できる機能が導入されています。暗号化対象の事前共有キーは、アグレッシブモードのISAKMPキーリングで標準として設定するか、またはEasy VPN(EzVPN)サーバやクライアントのセットアップでグループパスワードとして設定できます。 

設定

このセクションでは、このドキュメントで説明している機能の設定に使用するための情報を説明します。

注：このセクションで使用されているコマンドの詳細を調べるには、Command Lookup Tool（登録ユーザ専用）を使用してください。

注：シスコの内部ツールおよび情報にアクセスできるのは、登録ユーザのみです。

事前共有キー(PSK)暗号化を有効にするために、次の2つのコマンドが導入されました。

• key config-key password-encryption [プライマリキー]

• password encryption aes

[primary key]は、ルータ設定の他のすべてのキーを高度暗号化規格(AES)対称暗号を使用して暗号化するために使用するパスワード/キーです。プライマリキーはルータの設定には保存されず、ルータに接続している間は表示も取得もできません。

設定後は、プライマリキーを使用して、ルータ設定の現在のキーまたは新しいキーが暗号化されます。[プライマリキー]がコマンドラインで指定されていない場合、ルータはユーザにキーを入力し、確認のためにそれを再入力するように求めます。キーがすでに存在している場合は、まず古いキーを入力するようにプロンプトが表示されます。キーの暗号化は、password encryption aes コマンドを発行するまでは実行されません。

プライマリキーは、key config-key...コマンドで新しい[primary-key]を使用して再度変更できます（ただし、これはキーが何らかの形で侵害されない限り必要ありません）。  ルータ設定内の現在の暗号化キーはすべて、新しいキーで再暗号化されます。

no key config-key...を発行すると、プライマリキーを削除できます。  ただし、これにより、ルータ設定で現在設定されているすべてのキーが役に立たなくなります（詳細を示す警告メッセージが表示され、プライマリキーの削除が確認されます）。プライマリキーが存在しなくなったため、タイプ6パスワードは復号化できず、ルータで使用できません。

注：セキュリティ上の理由から、主キーとパスワード暗号化は削除しないでください  aes コマンドは、ルータ設定のパスワードを復号化します。パスワードは暗号化されると、復号化されません。設定内の現在の暗号化キーは、プライマリキーが削除されていなければ復号化できます。

また、パスワード暗号化機能のデバッグタイプのメッセージを表示するには、コンフィギュレーションモードでpassword loggingコマンドを使用します。

コンフィギュレーション

このドキュメントでは、ルータでの次の設定を使用しています。

• 現在の事前共有キーの暗号化

• 新しい主キーを対話形式で追加する

• 現在の主キーをインタラクティブに変更する

• 主キーの削除

Router#show running-config 
Building configuration...
.
.crypto isakmp policy 10
 authentication pre-share
crypto isakmp key cisco123 address 10.1.1.1
.
.
endRouter#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#key config-key password-encrypt testkey123
Router(config)#password encryption aes
Router(config)#^Z
Router#
Router#show running-config 
Building configuration...
.
.
password encryption aes
.
.
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key 6 FLgBaJHXdYY_AcHZZMgQ_RhTDJXHUBAAB address 10.1.1.1
.
.
end

Router(config)#key config-key password-encrypt 
New key: 
        
        
Confirm key: 
        
        
Router(config)#

Router(config)#key config-key password-encrypt
 Old key: 
        
        
New key: 
        
        
Confirm key: 
        
        
Router(config)#
*Jan  7 01:42:12.299: TYPE6_PASS: Master key change heralded, 
re-encrypting the keys with the new primary key

Router(config)#no key config-key password-encrypt 
WARNING: All type 6 encrypted keys will become unusable
Continue with primary key deletion ? [yes/no]: yes
Router(config)#

確認

現在、この設定に使用できる確認手順はありません。

トラブルシュート

現在のところ、この設定に関する特定のトラブルシューティング情報はありません。

関連情報

• IPSec サポート ページ
• シスコのテクニカルサポートとダウンロード