内容

概要

前提条件

要件

使用するコンポーネント

設定

概要

認証局の設定

クライアント証明書の生成

Windows 7クライアントマシンへのID証明書のインストール

AndroidモバイルデバイスにID証明書をインストールする方法

IKEv2によるRA VPNのASAヘッドエンドの設定

Windows 7 組み込みクライアントの設定

AndroidネイティブVPNクライアントの設定

確認

トラブルシュート

概要

このドキュメントでは、認証方式としてInternet Key Exchange Protocol(IKEv2)と証明書を使用して、Windows 7およびAndroidネイティブ（仮想プライベートネットワーク）VPNクライアントが（リモートアクセス）RA VPN接続を確立できるように、Cisco適応型セキュリティアプライアンス(ASA)バージョン9.7.1以降を設定します。

著者：Cisco TACエンジニア、David RiveraおよびCesar Lopez Zamarripa

前提条件

要件

次の項目に関する知識があることが推奨されます。

- 認証局（CA）

- 公開キー インフラストラクチャ（PKI）

- ASAでのIKEv2によるRA VPN

- Windows 7 組み込み VPN クライアント

- AndroidネイティブVPNクライアント

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアのバージョンに基づいています。

- CISCO1921/K9:IOS CAサーバとしての15.5(3)M4a

- ASA5506X:VPNヘッドエンドとしての9.7(1)

- クライアントマシンとしてのWindows 7

- Galaxy J5 - Android 6.0.1 as mobile client

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

概要

ASAヘッドエンドに接続するために、Windows 7およびAndroidネイティブVPNクライアントを設定する手順を次に示します。

認証局の設定

CAを使用すると、証明書に必要な拡張キー使用法(EKU)を埋め込むことができます。ASAヘッドエンドには証明書サーバ認証EKUが必要ですが、クライアント証明書にはクライアント認証EKUが必要です。

次のようなさまざまなCAサーバを使用できます。

- Cisco IOS CA サーバ

- OpenSSL CA サーバ

- Microsoft CA Server

- 3rd パーティCA

この設定例では、IOS CAサーバを使用します。

このセクションでは、バージョン15.5(3)M4aのCISCO1921/K9をCAサーバとして機能させるための基本設定について説明します。

ステップ1：デバイスとバージョンがekuコマンドをサポートしていることを確認します。

IOS-CA# show run | section crypto pki

crypto pki server <CA_Server>

issuer-name <cn=calo_root,ou=TAC,o=cisco>

grant auto

eku server-auth client-auth

ステップ2：ルータでHTTPサーバを有効にします。

IOS-CA(config)#ip http server

ステップ3：エクスポート可能なRSAキーペアを生成します。

IOS-CA(config)# crypto key generate rsa modulus 2048 label <HeadEnd> exportable

The name for the keys will be: HeadEnd

% The key modulus size is 2048 bits

% Generating 2048 bit RSA keys, keys will be exportable...

[OK] (elapsed time was 5 seconds)

ステップ4：トラストポイントを設定します。

IOS-CA(config)# crypto pki trustpoint <HeadEnd>

IOS-CA(ca-trustpoint)#enrollment url http://10.201.180.230:80

IOS-CA(ca-trustpoint)#subject-name <cn=HeadEnd.david.com>

IOS-CA(ca-trustpoint)#revocation-check none

IOS-CA(ca-trustpoint)#rsakeypair <HeadEnd>

注：enrollmentコマンドのIPアドレスは、到達可能なインターフェイスに対してルータが設定したIPアドレスの1つです。

ステップ5：トラストポイントを認証します（CA証明書の取得）。

IOS-CA(config)#crypto pki authenticate <HeadEnd>

Certificate has the following attributes:

Fingerprint MD5: DA4502F4 CEFB4F08 AAA3179B 70019185

Fingerprint SHA1: A887F6DB 0656C7E2 857749F3 EA3D7176 8920F52F

% Do you accept this certificate? [yes/no]: yes

Trustpoint CA certificate accepted.

ステップ6：トラストポイントを登録します（ID証明書の取得）。

IOS-CA(config)#crypto pki enroll <HeadEnd>

%

% Start certificate enrollment ..

% Create a challenge password. You will need to verbally provide this

password to the CA Administrator in order to revoke your certificate.

For security reasons your password will not be saved in the configuration.

Please make a note of it.

Password: cisco123

Re-enter password: cisco123

% The subject name in the certificate will include: cn=HeadEnd.david.com

% The subject name in the certificate will include: Connected_2_INET-B

% Include the router serial number in the subject name? [yes/no]: no

% Include an IP address in the subject name? [no]: no

Request certificate from CA? [yes/no]: yes

% Certificate request sent to Certificate Authority

% The 'show crypto pki certificate verbose HeadEnd' command will show the fingerprint.

*Jul 17 15:21:11.343: CRYPTO_PKI:  Certificate Request Fingerprint MD5: 0017C310 9F6084E8 63053228 B449794F

*Jul 17 15:21:11.343: CRYPTO_PKI:  Certificate Request Fingerprint SHA1: CFE22C7A B2855C4D B4B2412B 57FC7106 1C5E7791

*Jul 17 15:21:15.675: %PKI-6-CERTRET: Certificate received from Certificate Authority

ステップ7：証明書を確認します。

IOS-CA#show crypto pki certificates verbose <HeadEnd>

Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 05

Certificate Usage: General Purpose

Issuer:

cn=calo_root

Subject:

Name: Connected_2_INET-B

hostname=Connected_2_INET-B

cn=HeadEnd.david.com

Validity Date:

start date: 16:56:14 UTC Jul 16 2017

end   date: 16:56:14 UTC Jul 16 2018

Subject Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (2048 bit)

Signature Algorithm: SHA1 with RSA Encryption

Fingerprint MD5: 0017C310 9F6084E8 63053228 B449794F

Fingerprint SHA1: CFE22C7A B2855C4D B4B2412B 57FC7106 1C5E7791

X509v3 extensions:

X509v3 Key Usage: A0000000

Digital Signature

Key Encipherment

X509v3 Subject Key ID: E9B3A080 779A76E7 8BE44F38 C3E4DEDF 18E75009

X509v3 Authority Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

Authority Info Access:

Extended Key Usage:

Client Auth

Server Auth

Associated Trustpoints: HeadEnd

Key Label: HeadEnd

CA Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 01

Certificate Usage: Signature

Issuer:

cn=calo_root

Subject:

cn=calo_root

Validity Date:

start date: 13:24:35 UTC Jul 13 2017

end   date: 13:24:35 UTC Jul 12 2020

Subject Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (1024 bit)

Signature Algorithm: MD5 with RSA Encryption

Fingerprint MD5: DA4502F4 CEFB4F08 AAA3179B 70019185

Fingerprint SHA1: A887F6DB 0656C7E2 857749F3 EA3D7176 8920F52F

X509v3 extensions:

X509v3 Key Usage: 86000000

Digital Signature

Key Cert Sign

CRL Signature

X509v3 Subject Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

X509v3 Basic Constraints:

CA: TRUE

X509v3 Authority Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

Authority Info Access:

Associated Trustpoints: test HeadEnd CA_Server

ステップ8:PKCS12形式でHeadEndトラストポイントを端末にエクスポートし、ID証明書を取得します。CA証明書と秘密キーが1つのファイルに追加されます。

IOS-CA(config)#crypto pki export

pkcs12 terminal password

<cisco123>

Exported pkcs12 follows:

MIIL3wIBAzCCC5kGCSqGSIb3DQEHAaCCC4oEgguGMIILgjCCC34GCSqGSIb3DQEH

BqCCC28wggtrAgEAMIILZAYJKoZIhvcNAQcBMBsGCiqGSIb3DQEMAQMwDQQIocGz

Fa6tZyACAQGAggs4qNTJi7l/f0IvQr8n1c/SCeaSYRLBvcY9yPgJ2K2/Nmu9+KNB

3dAoYkCrGwDdfpobJE0XqBpIE1uBOtAeF7zdFJt/Pgpie4fcqpCVIbDXG8Ansmhj

v0j6W9Z/IJHe7JrENatbi4nhTnCDP79Z65QSkzrb9DenkCGjoQsWP9zLHTiCDNzV

ajMlWFuCFb0wSW/6L73BLTjS7rwtE74gYMU5NJwtOVsJM2LdwuQ+iOnpsnp6q9fu

niUFEutPe8imOCRApe0tpPqhDp74hKziKT8JEsQ8HMO/lX1y/LIXdLISnz1nkoN3

vxD4AMGRFYACPH8PiGcVSx+vD+wmNaHp1vAOrq4pS7ZQ37ko4mFudnftdOUzaPIz

EzTrOwlRE6il/gF8vb14EfeR09vumJBsajF12hrFGugIJTZnElp5go+oHEEAo4Y+

Yhoj/MIOyhZzo3/ujhjKqtsAJXybYF9YqVkTee9u4Xjkcsg5AmbaqeUUfd7Q8CC2

bi39S1maoWbTYiNcHFs/bWKWJsgZwPzfWtmPch/8MNvXn46AJAwIwRQjHruuFE9F

bhv7SRhYSRQZPf7j1PTmJuMkKA3AzjdbmmJuLidbX3yKbTt4PxPMusbv+ojc6Nam

RCsRf7+gnNZLWs3eU1n84rryZg5Pjw3MRTu2yXDvr799gvx7NIZH5yUZyVl1T70b

eC4KbflcmpM6mJ2UVnaoP2N5u892m41BWuk9rt5isl2f/Z/ZuSbkFaxzU0456zSg

VbYsR+51XfQEH5xu88E5EUPWZ86YdUSlbD8ky6WOn0M1O4K6rNDLkgwXcxw3CaZ8

zhao+dE3qoEYWaKPgCQzPqW0BW3y7WSIELug2uSEsXQjIQcF+42CX6RA3yCmy2T8

C+osKlSSao0nzjrlpTWnPiFss9KRFgJDZhV2ItisiALNw9PqruddcmYtw44LXvdc

+OfnyRvuLS6LE/AMmGk0GaVetAXPezD+5pVZW13UMT/ZdzUjLiXjV9GzF6V8i8qN

Ua0MbDEa8T5Le4dCigaA+t1QxQOPGb+w0ZAQzWN4gZpSEk3ejRixOt14SU5ivj/O

lGXNn8Fvebk42CHohjXG9fq/IfbsVWSkxn2OZ/fhXkZztv4ic1VgprgJURjCtcBw

9Qp/ONda+9aDHiSBrKeHC/urgX6rgWXv9+hpRKIRfj3b8WE+N1sivuQEjlWxbD7h

9fpwxXb+/i7HisjzSkOWUNw4lyulfYSiOv86FPWK0H9Vjbg0G0di1rvGZ8uJHQCC

77RLFXp4jrvCgeo4oWKQbphgPAng7rT794vMwq0rYOb4D3HlHCUvU3JJmScDJQy2

zQxbG2q8Htm44COOuJEUBzx1ImayH2XvDck6VmLTGn8XH5Vq7LOlCeUcVDM8aQfy

HJSPk/VmfQ0lXwPIaxxYlr+jOpcorFkH+OH04hz07grAsGyLRoFICTEvHAzVnF0X

2A1j/z/BFAPG86ssAtInRZVeYUS72NwPEtpKmlHZnl+2iWno5iwTZgtjv7oREZKE

RE6m7O8RiPSD2RjjamCmmmnH5dK5wxF7YlIeK/+ZVrfwLecEPRl+eVw0isM/JN/a

WmkZkCcVMx/ec1P8jp8LzCx17HgVNYbg9lsiffD4xo0G/k0QLUlpliAt7LA2BeGs

yl55wtYUcOBH0/Es39yWnm2Ea//IK6BLw98PvU90vkXWwiD3ajFmcHmssDeU/tZR

4KKNuNor7Le9ycXZFM9ofKZ6AIJ9A1AYvOyhGO88voq8MMGXEe/q+DIjaVE1htYu

k0ELmYAD/XOkEvp3SqOkLQZiCzZ20iMWUTWXlXfgrfLEH0utwHTyr3J2vQk5CD37

ZAfsF6zxEvtU2t41J0e9OjWJw9WtWnnS0gzLeXWtW3H0YAIw3QodKNzbaY4eLP4y

BEdsLmWbM4eza0m9BoZOmMUSkhvFrEz5Q5X5r9vCuAi1rYDqyIjhgdme56tVV0Vg

ZauhbNX59PQQzwOdIZJVVL5tgjf0h7XCm9OBsqd12lHurCCmHy7kM5pqf0MMlhH7

oM/DhXdTU+1sEabt/9c2qs1ihJLS1Zaw2q1AaS5h00+xL8Lxwh2/1/R7Q8FferhR

QZDpix+CmtakRu7uPOMa0zsyOko3P9mf74AWDrThAwMA6G238TC6XI1vrXhvEX1l

BVplQq0Wh/p7ZorSjD5l+z7TkXmJNp7iIxAqp0yobC6vOBwQP7/QAs88q9JNSAte

ErdCXoizvs8YmZMoEap948oplYFaIP+xCnCr8l3v7znwfZwTMQPoPvqEFqUmWYgt

xkJ0qaE645ihTnLgk4eglsBLslwPR1RJU+t6kGGAUmxqhPFxb3/1xNRPVzOGn12w

S9yw+XLC6kS4PmKoxkxax4nnCx7s3e7B5e0qmYtgRTJ0GuW7Uf+T3royTOuYm0d+

ik6bmxcnO0qdcHtt2HTbI+kYpken3YrFOh9Jnm9ZKT63gQSqQWL800ZVd4dAZceg

FciNKs9r26fyy+L3rGCh+U9TLf6mNuWu8RstjjIGPHEPKZ9gnMgMJmikP2ghgOAd

XVhs6ashXx33bZ9dIuhRx6uTNMrppsXyg6SxUyeGDYhpxsPt7uRwBswOpi6iDMZn

ISSzQjrkxoNwwOfn87O5fTCLhHlTZa8HS5HMK3KE7LiZv9pa1z6KTo4z+LCQSLDy

FoRJhSaEsCYJsLDS5nYBoR8hE/eMvQDX1f+RZBrJDcftxx7FQ+8RtvHSJRcJK9N/

Ph/pL62NBlSbvCfn1AbisKrbbgCVLOSj/doufPvpMT2UDL0TY8UnQiyWMH1MF3tZ

jJy6Si2glLwA9hu/c1NsREbA0gxMTjAREb5BjAUmlc3fuv2DWpwnkwyZNyHdm9B9

TPRoByGPvSZXa8MwY/8DUEwUQEsfDJi5jlAD4I6VFFUB72ZS7wn/mVR02fPkfOMp

3yhnGgX29OaDDiDlKw1Xwj1NybOhpZ6unDo5J3stMxlbv5TYL2Tl6egZS0SjsLmn

cj5zkyUU22/93E5vfKD1CMiXx9/e4j2rRh3QCIXqaCjC9acTJ8a/k9/bp8Nz5Cir

pnaCbuQsvna92nxVUqcmLlSbVIvGqlH9qm4DurhcLh59j20tX6K8AMJ90+azaYbX

AJV/MCElhJg6wcN8QnCHMhiuK9+zpsUK2FQgfbcgaaNe3xGaXuoOIGQmlbAGtEkp

kuauRzQ8/pwszaZuPh/5rE77z8zMut3+OE5CslB9npzNi0b0itaaRl13bBBml1xn

r6SBUw7AWapZwRx6pihvptLJaqU1IzaV5SWk0zTABR7BmR84L0+/8v/bedcPSioG

ecside21F6CcWO5ywABBxDYQXM1P9qkC/2bkPkEJ0jBI5P5L1+Yqb8hTlone/InR

B8ktEd8+QW8o60h0seONXumTqBfAuNBkprOA3ssXLeEGB0IpeC5oGW+VSziyS9id

zYq8WaehpAIf3pqwn8gsi0B/wd57T0KK91+v0Ei4z+yIdu8Kh9GTiqGvgNAeakgr

ECDiXoKAwltYAn7cLKNpZaojSs2Jt+60oBA5crT04Mtgpjb9Pd/DLqWQDJTyoRVv

cJRb68aOyZvVBU0yoLbox84QKLHIsA92pplS7VFrAWP65wrhs4XOf4YSFlM89Sn4

GD/yEsGVJzwGrxgCNnOZkLIKsFbIOjp2lMps5jVKoFfpPJCie3F2FB3ecS+xRpHo

5u2KOTmH0rFQ6Vu+JYCo/qWh0ERtL/8gczP7C9ehiaZfemw2bq9xrUo+6y3H9Q+Z

LADwMlAkI+kzbng3R+fj4AYBvf8GTJdpBs8s/t7mZXHiXCtH6qxTMRWJx5Xuxs9F

I8Ii8TA9MCEwCQYFKw4DAhoFAAQUjO/On/REYODupznP9SwYnFX92BYEFESx1MSa

ho3Cv1cZYM0TzZEzlsKdAgIEAA==

---End - This line not part of the pkcs12---

CRYPTO_PKI: Exported PKCS12 file successfully.

*Jul 17 15:46:49.706: %PKI-6-PKCS12EXPORT_SUCCESS: PKCS #12 Successfully Exported.

ステップ9:ASAで空のトラストポイントを作成します。

ASA(config)# crypto ca trustpoint <HeadEnd>

DRIVERAP(config-ca-trustpoint)# exit

ステップ 10：PKCS12ファイルをインポートします。

ASA(config)#crypto ca import <HeadEnd> pkcs12 <cisco123>

Enter the base 64 encoded pkcs12.

End with the word "quit" on a line by itself:

MIIL3wIBAzCCC5kGCSqGSIb3DQEHAaCCC4oEgguGMIILgjCCC34GCSqGSIb3DQEH

BqCCC28wggtrAgEAMIILZAYJKoZIhvcNAQcBMBsGCiqGSIb3DQEMAQMwDQQIocGz

Fa6tZyACAQGAggs4qNTJi7l/f0IvQr8n1c/SCeaSYRLBvcY9yPgJ2K2/Nmu9+KNB

3dAoYkCrGwDdfpobJE0XqBpIE1uBOtAeF7zdFJt/Pgpie4fcqpCVIbDXG8Ansmhj

v0j6W9Z/IJHe7JrENatbi4nhTnCDP79Z65QSkzrb9DenkCGjoQsWP9zLHTiCDNzV

ajMlWFuCFb0wSW/6L73BLTjS7rwtE74gYMU5NJwtOVsJM2LdwuQ+iOnpsnp6q9fu

niUFEutPe8imOCRApe0tpPqhDp74hKziKT8JEsQ8HMO/lX1y/LIXdLISnz1nkoN3

vxD4AMGRFYACPH8PiGcVSx+vD+wmNaHp1vAOrq4pS7ZQ37ko4mFudnftdOUzaPIz

EzTrOwlRE6il/gF8vb14EfeR09vumJBsajF12hrFGugIJTZnElp5go+oHEEAo4Y+

Yhoj/MIOyhZzo3/ujhjKqtsAJXybYF9YqVkTee9u4Xjkcsg5AmbaqeUUfd7Q8CC2

bi39S1maoWbTYiNcHFs/bWKWJsgZwPzfWtmPch/8MNvXn46AJAwIwRQjHruuFE9F

bhv7SRhYSRQZPf7j1PTmJuMkKA3AzjdbmmJuLidbX3yKbTt4PxPMusbv+ojc6Nam

RCsRf7+gnNZLWs3eU1n84rryZg5Pjw3MRTu2yXDvr799gvx7NIZH5yUZyVl1T70b

eC4KbflcmpM6mJ2UVnaoP2N5u892m41BWuk9rt5isl2f/Z/ZuSbkFaxzU0456zSg

VbYsR+51XfQEH5xu88E5EUPWZ86YdUSlbD8ky6WOn0M1O4K6rNDLkgwXcxw3CaZ8

zhao+dE3qoEYWaKPgCQzPqW0BW3y7WSIELug2uSEsXQjIQcF+42CX6RA3yCmy2T8

C+osKlSSao0nzjrlpTWnPiFss9KRFgJDZhV2ItisiALNw9PqruddcmYtw44LXvdc

+OfnyRvuLS6LE/AMmGk0GaVetAXPezD+5pVZW13UMT/ZdzUjLiXjV9GzF6V8i8qN

Ua0MbDEa8T5Le4dCigaA+t1QxQOPGb+w0ZAQzWN4gZpSEk3ejRixOt14SU5ivj/O

lGXNn8Fvebk42CHohjXG9fq/IfbsVWSkxn2OZ/fhXkZztv4ic1VgprgJURjCtcBw

9Qp/ONda+9aDHiSBrKeHC/urgX6rgWXv9+hpRKIRfj3b8WE+N1sivuQEjlWxbD7h

9fpwxXb+/i7HisjzSkOWUNw4lyulfYSiOv86FPWK0H9Vjbg0G0di1rvGZ8uJHQCC

77RLFXp4jrvCgeo4oWKQbphgPAng7rT794vMwq0rYOb4D3HlHCUvU3JJmScDJQy2

zQxbG2q8Htm44COOuJEUBzx1ImayH2XvDck6VmLTGn8XH5Vq7LOlCeUcVDM8aQfy

HJSPk/VmfQ0lXwPIaxxYlr+jOpcorFkH+OH04hz07grAsGyLRoFICTEvHAzVnF0X

2A1j/z/BFAPG86ssAtInRZVeYUS72NwPEtpKmlHZnl+2iWno5iwTZgtjv7oREZKE

RE6m7O8RiPSD2RjjamCmmmnH5dK5wxF7YlIeK/+ZVrfwLecEPRl+eVw0isM/JN/a

WmkZkCcVMx/ec1P8jp8LzCx17HgVNYbg9lsiffD4xo0G/k0QLUlpliAt7LA2BeGs

yl55wtYUcOBH0/Es39yWnm2Ea//IK6BLw98PvU90vkXWwiD3ajFmcHmssDeU/tZR

4KKNuNor7Le9ycXZFM9ofKZ6AIJ9A1AYvOyhGO88voq8MMGXEe/q+DIjaVE1htYu

k0ELmYAD/XOkEvp3SqOkLQZiCzZ20iMWUTWXlXfgrfLEH0utwHTyr3J2vQk5CD37

ZAfsF6zxEvtU2t41J0e9OjWJw9WtWnnS0gzLeXWtW3H0YAIw3QodKNzbaY4eLP4y

BEdsLmWbM4eza0m9BoZOmMUSkhvFrEz5Q5X5r9vCuAi1rYDqyIjhgdme56tVV0Vg

ZauhbNX59PQQzwOdIZJVVL5tgjf0h7XCm9OBsqd12lHurCCmHy7kM5pqf0MMlhH7

oM/DhXdTU+1sEabt/9c2qs1ihJLS1Zaw2q1AaS5h00+xL8Lxwh2/1/R7Q8FferhR

QZDpix+CmtakRu7uPOMa0zsyOko3P9mf74AWDrThAwMA6G238TC6XI1vrXhvEX1l

BVplQq0Wh/p7ZorSjD5l+z7TkXmJNp7iIxAqp0yobC6vOBwQP7/QAs88q9JNSAte

ErdCXoizvs8YmZMoEap948oplYFaIP+xCnCr8l3v7znwfZwTMQPoPvqEFqUmWYgt

xkJ0qaE645ihTnLgk4eglsBLslwPR1RJU+t6kGGAUmxqhPFxb3/1xNRPVzOGn12w

S9yw+XLC6kS4PmKoxkxax4nnCx7s3e7B5e0qmYtgRTJ0GuW7Uf+T3royTOuYm0d+

ik6bmxcnO0qdcHtt2HTbI+kYpken3YrFOh9Jnm9ZKT63gQSqQWL800ZVd4dAZceg

FciNKs9r26fyy+L3rGCh+U9TLf6mNuWu8RstjjIGPHEPKZ9gnMgMJmikP2ghgOAd

XVhs6ashXx33bZ9dIuhRx6uTNMrppsXyg6SxUyeGDYhpxsPt7uRwBswOpi6iDMZn

ISSzQjrkxoNwwOfn87O5fTCLhHlTZa8HS5HMK3KE7LiZv9pa1z6KTo4z+LCQSLDy

FoRJhSaEsCYJsLDS5nYBoR8hE/eMvQDX1f+RZBrJDcftxx7FQ+8RtvHSJRcJK9N/

Ph/pL62NBlSbvCfn1AbisKrbbgCVLOSj/doufPvpMT2UDL0TY8UnQiyWMH1MF3tZ

jJy6Si2glLwA9hu/c1NsREbA0gxMTjAREb5BjAUmlc3fuv2DWpwnkwyZNyHdm9B9

TPRoByGPvSZXa8MwY/8DUEwUQEsfDJi5jlAD4I6VFFUB72ZS7wn/mVR02fPkfOMp

3yhnGgX29OaDDiDlKw1Xwj1NybOhpZ6unDo5J3stMxlbv5TYL2Tl6egZS0SjsLmn

cj5zkyUU22/93E5vfKD1CMiXx9/e4j2rRh3QCIXqaCjC9acTJ8a/k9/bp8Nz5Cir

pnaCbuQsvna92nxVUqcmLlSbVIvGqlH9qm4DurhcLh59j20tX6K8AMJ90+azaYbX

AJV/MCElhJg6wcN8QnCHMhiuK9+zpsUK2FQgfbcgaaNe3xGaXuoOIGQmlbAGtEkp

kuauRzQ8/pwszaZuPh/5rE77z8zMut3+OE5CslB9npzNi0b0itaaRl13bBBml1xn

r6SBUw7AWapZwRx6pihvptLJaqU1IzaV5SWk0zTABR7BmR84L0+/8v/bedcPSioG

ecside21F6CcWO5ywABBxDYQXM1P9qkC/2bkPkEJ0jBI5P5L1+Yqb8hTlone/InR

B8ktEd8+QW8o60h0seONXumTqBfAuNBkprOA3ssXLeEGB0IpeC5oGW+VSziyS9id

zYq8WaehpAIf3pqwn8gsi0B/wd57T0KK91+v0Ei4z+yIdu8Kh9GTiqGvgNAeakgr

ECDiXoKAwltYAn7cLKNpZaojSs2Jt+60oBA5crT04Mtgpjb9Pd/DLqWQDJTyoRVv

cJRb68aOyZvVBU0yoLbox84QKLHIsA92pplS7VFrAWP65wrhs4XOf4YSFlM89Sn4

GD/yEsGVJzwGrxgCNnOZkLIKsFbIOjp2lMps5jVKoFfpPJCie3F2FB3ecS+xRpHo

5u2KOTmH0rFQ6Vu+JYCo/qWh0ERtL/8gczP7C9ehiaZfemw2bq9xrUo+6y3H9Q+Z

LADwMlAkI+kzbng3R+fj4AYBvf8GTJdpBs8s/t7mZXHiXCtH6qxTMRWJx5Xuxs9F

I8Ii8TA9MCEwCQYFKw4DAhoFAAQUjO/On/REYODupznP9SwYnFX92BYEFESx1MSa

ho3Cv1cZYM0TzZEzlsKdAgIEAA==

quit

INFO: Import PKCS12 operation completed successfully

ステップ11：証明書情報を確認します。

ASA(config)#show crypto ca certificates <HeadEnd>

CA Certificate

Status: Available

Certificate Serial Number: 01

Certificate Usage: Signature

Public Key Type: RSA (1024 bits)

Signature Algorithm: MD5 with RSA Encryption

Issuer Name:

cn=calo_root

Subject Name:

cn=calo_root

Validity Date:

start date: 13:24:35 UTC Jul 13 2017

end   date: 13:24:35 UTC Jul 12 2020

Storage: config

Associated Trustpoints: test HeadEnd

Certificate

Status: Available

Certificate Serial Number: 05

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: SHA1 with RSA Encryption

Issuer Name:

cn=calo_root

Subject Name:

hostname=Connected_2_INET-B

cn=HeadEnd.david.com

Validity Date:

start date: 16:56:14 UTC Jul 16 2017

end   date: 16:56:14 UTC Jul 16 2018

Storage: config

Associated Trustpoints: HeadEnd

クライアント証明書の生成

ステップ1：エクスポート可能なRSAキーペアを生成します。

IOS-CA(config)# crypto key generate rsa modulus 2048 label <Win7_PC> exportable

The name for the keys will be: Win7_PC

% The key modulus size is 2048 bits

% Generating 2048 bit RSA keys, keys will be exportable...

[OK] (elapsed time was 5 seconds

ステップ2：トラストポイントを設定します。

IOS-CA(config)# crypto pki trustpoint <Win7_PC>

IOS-CA(ca-trustpoint)#enrollment url http://10.201.180.230:80

IOS-CA(ca-trustpoint)#subject-name <cn=Win7_PC.david.com>

IOS-CA(ca-trustpoint)#revocation-check none

IOS-CA(ca-trustpoint)#rsakeypair <Win7_PC>

ステップ3：設定されたトラストポイントを認証します（CA証明書の取得）。

IOS-CA(config)#crypto pki authenticate <Win7_PC>

Certificate has the following attributes:

Fingerprint MD5: DA4502F4 CEFB4F08 AAA3179B 70019185

Fingerprint SHA1: A887F6DB 0656C7E2 857749F3 EA3D7176 8920F52F

% Do you accept this certificate? [yes/no]: yes

Trustpoint CA certificate accepted.

ステップ4：認証されたトラストポイントを登録します（ID証明書の取得）。

IOS-CA(config)#crypto pki enroll <Win7_PC>

%

% Start certificate enrollment ..

% Create a challenge password. You will need to verbally provide this

password to the CA Administrator in order to revoke your certificate.

For security reasons your password will not be saved in the configuration.

Please make a note of it.

Password: cisco123

Re-enter password: cisco123

% The subject name in the certificate will include: cn=Win7_PC.david.com

% The subject name in the certificate will include: Connected_2_INET-B

% Include the router serial number in the subject name? [yes/no]: no

% Include an IP address in the subject name? [no]: no

Request certificate from CA? [yes/no]: yes

% Certificate request sent to Certificate Authority

% The 'show crypto pki certificate verbose Win7_PC' command will show the fingerprint.

*Jul 17 15:21:11.343: CRYPTO_PKI:  Certificate Request Fingerprint MD5: 9153E537 11C16FAE B03F7A38 775DBB92

*Jul 17 15:21:11.343: CRYPTO_PKI:  Certificate Request Fingerprint SHA1: 3BC4AC98 91067707 BB6BBBFB ABD97796 F7FB3DD1

*Jul 17 15:21:15.675: %PKI-6-CERTRET: Certificate received from Certificate Authority

ステップ5：証明書情報を確認します。

IOS-CA#show crypto pki certificates verbose <Win7_PC>

Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 03

Certificate Usage: General Purpose

Issuer:

cn=calo_root

Subject:

Name: Connected_2_INET-B

hostname=Connected_2_INET-B

cn=Win7_PC.david.com

Validity Date:

start date: 13:29:51 UTC Jul 13 2017

end   date: 13:29:51 UTC Jul 13 2018

Subject Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (2048 bit)

Signature Algorithm: SHA1 with RSA Encryption

Fingerprint MD5: 9153E537 11C16FAE B03F7A38 775DBB92

Fingerprint SHA1: 3BC4AC98 91067707 BB6BBBFB ABD97796 F7FB3DD1

X509v3 extensions:

X509v3 Key Usage: A0000000

Digital Signature

Key Encipherment

X509v3 Subject Key ID: F37266AE 61F64BD9 3E9FA80C 77455F21 5BEB870D

X509v3 Authority Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

Authority Info Access:

Extended Key Usage:

Client Auth

Server Auth

Associated Trustpoints: Win7_PC

Key Label: Win7_PC

CA Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 01

Certificate Usage: Signature

Issuer:

cn=calo_root

Subject:

cn=calo_root

Validity Date:

start date: 13:24:35 UTC Jul 13 2017

end   date: 13:24:35 UTC Jul 12 2020

Subject Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (1024 bit)

Signature Algorithm: MD5 with RSA Encryption

Fingerprint MD5: DA4502F4 CEFB4F08 AAA3179B 70019185

Fingerprint SHA1: A887F6DB 0656C7E2 857749F3 EA3D7176 8920F52F

X509v3 extensions:

X509v3 Key Usage: 86000000

Digital Signature

Key Cert Sign

CRL Signature

X509v3 Subject Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

X509v3 Basic Constraints:

CA: TRUE

X509v3 Authority Key ID: B5EEEEB9 31B9A06C CBD9893C 0E318810 5CA657E6

Authority Info Access:

Associated Trustpoints: test HeadEnd Win7_PC CA_Server

Windows 7クライアントマシンへのID証明書のインストール

ステップ1：名前付きWin7_PCトラストポイントをPKCS12形式(.p12)でFTP/TFTPサーバ（Windows 7マシンにインストール）にエクスポートし、ID証明書、CA証明書、および秘密キーを1つのファイルで取得します。

IOS-CA(config)#crypto pki export <Win7_PC> pkcs12 <tftp://10.152.206.175/ Win7_PC.p12> password <cisco123>

Address or name of remote host [10.152.206.175]?

Destination filename [Win7_PC.p12]?

!Writing pkcs12 file to tftp://10.152.206.175/Win7_PC.p12

!

CRYPTO_PKI: Exported PKCS12 file successfully.

*Jul 17 16:29:20.310: %PKI-6-PKCS12EXPORT_SUCCESS: PKCS #12 Successfully Exported.

これは、エクスポートされたファイルがクライアントマシンでどのように見えるかを示しています。

ステップ2:Ctrl + Rキーを押し、mmcと入力して、Microsoft管理コンソール(MMC)を開きます。

ステップ 3：[OK] を選択します。

ステップ4:[File] > [Add/Remove Snap-in]に移動します。

ステップ5:[Certificates] > [Add] > [Computer Account]を選択します。

ステップ6:[Next]を選択します。

ステップ7:完了。

ステップ 8：[OK] を選択します。

ステップ9:[Certificates (Local Computer)] > [Personal] > [Certificates]に移動し、フォルダを右クリックし、[All Tasks] > [Import]に移動します。

ステップ 10：[Next] をクリックします。PKCS12ファイルが保存されるパスを指定します。

ステップ11:[Next]を再度選択し、crypto pki export <Win7_PC> pkcs12 <tftp://10.152.206.175/ Win7_PC.p12> password <cisco123>コマンドで入力したパスワードを入力します

ステップ12:[次へ]を選択します。

ステップ13:[次へ]をもう一度選択します。

ステップ14:[完了]を選択します。

ステップ 15：[OK] を選択します。これで、インストールされた証明書（CA証明書とID証明書の両方）が表示されます。

ステップ16:[Certificates (Local Computer)] > [Personal] > [Certificates (Local Computer)] > [Trusted Root Certification Authority] > [Certificates]にCA証明書をドラッグアンドドロップします。

AndroidモバイルデバイスにID証明書をインストールする方法

注：Androidでは、.pfxまたは.p12拡張子を持つPKCS#12キーストアファイルがサポートされています。

注：Androidは、DERエンコードX.509 SSL証明書のみをサポートします。

ステップ1:IOS CAサーバからPKCS12(.p12)形式でクライアント証明書をエクスポートした後、ファイルを電子メールでAndroidデバイスに送信します。ファイルが表示されたら、ファイル名をタップして自動インストールを開始します。(ファイルをダウンロードしないでください)

ステップ2：証明書のエクスポートに使用するパスワードを入力します。この例では、パスワードはcisco123です。

ステップ3:[OK]を選択し、証明書名を入力します。任意の単語を使用できます。この例では、名前はAndroid ID Certです。

ステップ4:[OK]を選択すると、「Android ID Cert installed」というメッセージが表示されます。

ステップ5:CA証明書をインストールするには、IOS CAサーバからbase64形式で抽出し、.crt拡張子を付けて保存します。Androidデバイスに電子メールでファイルを送信します。今回は、ファイルの名前の横にある矢印をタップして、ファイルをダウンロードする必要があります。

ステップ6:[Settings]に移動し、[Lock screen and security]を選択します。

ステップ7:[その他のセキュリティ設定]を選択します。

ステップ8:[Install from device storage]に移動します。

ステップ9:.crtファイルを選択し、[完了]をタップします。

ステップ10：証明書名を入力します。任意の単語を指定できます。この例では、名前はcalo_root-1です。

ステップ10:[OK]を選択すると、「calo_root-1 installed」というメッセージが表示されます。

ステップ11:ID証明書がインストールされていることを確認するには、[Settings/Lock Screen and Security/Other] > [Security Settings/User Certificates/System]タブに移動します。

ステップ12:CA証明書がインストールされていることを確認するには、[Settings/Lock]画面と[Security/Other security settings/View security certificates/User]タブに移動します。

IKEv2によるRA VPNのASAヘッドエンドの設定

ステップ1:ASDMで、[Configuration] > [Remote Access VPN] > [Network (client) Access] > [Anyconnect Connection Profiles] に移動します。VPNクライアントに面したインターフェイスで、[IPSec (IKEv2) access, Allow Access]ボックスをオンにします([Enable Client Services]オプションは不要)。

ステップ2:[Device Certificate]を選択し、[Use the same device certificate for SSL and IPSec IKEv2]からチェックマークを外します。

ステップ3:IPSec接続のヘッドエンド証明書を選択し、SSL接続で[None]を選択します。

このオプションは、crypto ikev2、crypto ipsec、crypto dynamic-map、およびcrypto map設定を配置します。

これは、コマンドラインインターフェイス(CLI)での設定の外観です。

crypto ikev2 policy 1

encryption aes-256

integrity sha

group 5

prf sha

lifetime seconds 86400

crypto ikev2 enable outside

crypto ikev2 remote-access trustpoint HeadEnd

crypto ipsec ikev2 ipsec-proposal AES256

protocol esp encryption aes-256

protocol esp integrity sha-1 md5

crypto dynamic-map Anyconnect 65535 set ikev2 ipsec-proposal AES256

crypto map outside_map 65535 ipsec-isakmp dynamic Anyconnect

crypto map outside_map interface outside

ステップ4:[Configuration] > [Remote Access VPN] > [Network (Client) Access] > [Group Policies]に移動し、グループポリシーを作成します

CLI

group-policy GP_David internal

group-policy GP_David attributes

vpn-tunnel-protocol ikev2

ステップ5:[Configuration] > [Remote Access VPN] > [Network (Client) Access] > [Address Pools]に移動し、[Add]を選択してIPv4プールを作成します。

CLI

ip local pool ACPool 192.168.50.1-192.168.50.100 mask 255.255.255.0

ステップ6:[Configuration] > [Remote Access VPN] > [Network (Client) Access] > [IPSec(IKEv2) Connection Profiles]に移動し、[Add]を選択して新しいトンネルグループを作成します。

CLI

tunnel-group David type remote-access

tunnel-group David general-attributes

address-pool ACPool

default-group-policy GP_David

authentication-server-group LOCAL

tunnel-group David webvpn-attributes

authentication certificate

tunnel-group David ipsec-attributes

ikev2 remote-authentication certificate

ikev2 local-authentication certificate HeadEnd

ステップ7:[Configuration] > [Remote Access VPN] > [Network (Client) Access] > [Advanced] > [IPsec] > [Certificate to Connection Profile maps] > [Policy]に移動し、[Used the configured rules to math a certificate to a Connection Profile]ボックスをオンにします。

CLI

tunnel-group-map enable rules

ステップ8:[Configuration] > [Remote Access VPN] > [Network (Client) Access] > [Advanced] > [IPsec] > [Certificate to Connection Profile maps] > [Rules]に移動し、新しい証明書マップを作成します。[Add]を選択し、トンネルグループにします。この例では、トンネルグループの名前はDavidです。

CLI

tunnel-group-map CERT_MAP 10 David

ステップ9:[マッピング基準]セクションで[追加]を選択し、これらの値を入力します。

Field：Issuer

Operator：含む

[Value]：calo_root

CLI

crypto ca certificate map CERT_MAP 10

issuer-name co calo_root

ステップ10:[Configuration] > [Firewall] > [Objects] > [Network Objects/Groups] > [Add]で（ネットワークアドレス変換）NAT除外ルールを追加するために使用するIPプールネットワークを持つオブジェクトを作成します。

CLI

object network NETWORK_OBJ_192.168.50.0_24

subnet 192.168.50.0 255.255.255.0

ステップ11:[Configuration] > [Firewall] > [NAT Rules]に移動し、[Add]を選択してRA VPNトラフィックのNAT除外ルールを作成します。

CLI

nat (inside,outside) source static any any destination static NETWORK_OBJ_192.168.50.0_24 NETWORK_OBJ_192.168.50.0_24 no-proxy-arp route-lookup

次に、この例で使用する完全なASA設定を示します。

interface GigabitEthernet1/1

nameif outside

security-level 0

ip address 10.88.243.108 255.255.255.128

object network NETWORK_OBJ_192.168.50.0_24

subnet 192.168.50.0 255.255.255.0

nat (inside,outside) source static any any destination static NETWORK_OBJ_192.168.50.0_24 NETWORK_OBJ_192.168.50.0_24

ip local pool ACPool 192.168.50.1-192.168.50.100 mask 255.255.255.0

crypto ikev2 policy 1

encryption aes-256

integrity sha

group 5

prf sha

lifetime seconds 86400

crypto ikev2 enable outside

crypto ikev2 remote-access trustpoint HeadEnd

group-policy GP_David internal

group-policy GP_David attributes

vpn-tunnel-protocol ikev2

tunnel-group David type remote-access

tunnel-group David general-attributes

address-pool ACPool

default-group-policy GP_David

authentication-server-group LOCAL

tunnel-group David webvpn-attributes

authentication certificate

tunnel-group David ipsec-attributes

ikev2 remote-authentication certificate

ikev2 local-authentication certificate HeadEnd

tunnel-group-map enable rules

crypto ca certificate map CERT_MAP 10

issuer-name co calo_root

tunnel-group-map CERT_MAP 10 David

crypto ipsec ikev2 ipsec-proposal AES256

protocol esp encryption aes-256

protocol esp integrity sha-1 md5

crypto dynamic-map Anyconnect 65535 set ikev2 ipsec-proposal AES256

crypto map outside_map 65535 ipsec-isakmp dynamic Anyconnect

crypto map outside_map interface outside

Windows 7 組み込みクライアントの設定

ステップ1:[コントロールパネル] > [ネットワークとインターネット] > [ネットワークと共有センター]に移動します。

ステップ2:[Set up a new connection or network]を選択します。

ステップ3:[Connect to a workplace]と[Next]を選択します。

ステップ4:[No]を選択し、新しい接続を作成し、[Next]を選択します。

ステップ5:[Use my Internet connection (VPN)]を選択し、[Internet address]フィールドにヘッドエンド証明書共通名(CN)文字列を追加します。[接続先名]フィールドに接続名を入力します。任意の文字列を指定できます。「Don't connect now;後で接続できるようにセットアップします。

ステップ6:[Next]を選択します。

ステップ7:[Create]を選択します。

ステップ8:[閉じる]を選択し、[コントロールパネル] > [ネットワークとインターネット] > [ネットワーク接続]に移動します。作成したネットワーク接続を選択し、右クリックします。[Properties] を選択します。

ステップ9:[General] タブで、ヘッドエンドの適切なホスト名が正しいことを確認できます。コンピュータは、この名前をRA VPNユーザの接続に使用されるASA IPアドレスに解決します。

ステップ10:[Security]タブに移動し、[Type of VPN]に[IKEv2]を選択します。[Authentication]セクションで[Use machine certificates]を選択します。

ステップ11:[OK]を選択して、C:\Windows\System32\drivers\etcに移動します。テキストエディタを使ってhostsファイルを開きます。ネットワーク接続で設定された（完全修飾ドメイン名）FQDNをASAヘッドエンドのIPアドレス（この例では外部インターフェイス）に解決するようにエントリを設定します。

ステップ12:[Control Panel] > [Network and Internet] > [Network Connections]に戻ります。作成したネットワーク接続を選択します。これを右クリックし、[接続]を選択します。

ステップ13：ネットワーク接続のステータスが[Disconnected]から[Connecting]に変わり、[Connected]に変わります。最後に、ネットワーク接続に指定した名前が表示されます。

この時点で、コンピュータはVPNヘッドエンドに接続されています。

AndroidネイティブVPNクライアントの設定

ステップ1:[Settings] > [More connection Settings] に移動します。

ステップ2:[VPN]を選択します

ステップ3:[Add VPN]を選択します。この例のように接続が既に作成されている場合は、エンジンアイコンをタップして編集します。タイプフィールドでIPSec IKEv2 RSAを指定します。Server addressは、IKEv2対応のASAインターフェイスのIPアドレスです。IPSecユーザ証明書とIPSec CA証明書の場合は、ドロップダウンメニューをタップしてインストールされた証明書を選択します。IPSecサーバ証明書はデフォルトオプションの[Received from server]のままにしてください。

ステップ4:[保存]を選択し、新しいVPN接続の名前をタップします。

ステップ5:[Connect]を選択します。

ステップ6:VPN接続をもう一度入力して、ステータスを確認します。[接続]と表示されます。

確認

ASAヘッドエンドでの確認コマンド：

ASA#show vpn-sessiondb detail ra-ikev2-ipsec

Session Type: Generic Remote-Access IKEv2 IPsec Detailed

Username     : Win7_PC.david.com      Index        : 24

Assigned IP  : 192.168.50.1           Public IP    : 10.152.206.175

Protocol     : IKEv2 IPsec

License      : AnyConnect Premium

Encryption   : IKEv2: (1)AES256  IPsec: (1)AES256

Hashing      : IKEv2: (1)SHA1  IPsec: (1)SHA1

Bytes Tx     : 0                      Bytes Rx     : 16770

Pkts Tx      : 0                      Pkts Rx      : 241

Pkts Tx Drop : 0                      Pkts Rx Drop : 0

Group Policy : GP_David               Tunnel Group : David

Login Time   : 08:00:01 UTC Tue Jul 18 2017

Duration     : 0h:00m:21s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : 0a0a0a0100018000596dc001

Security Grp : none

IKEv2 Tunnels: 1

IPsec Tunnels: 1

IKEv2:

Tunnel ID    : 24.1

UDP Src Port : 4500                   UDP Dst Port : 4500

Rem Auth Mode: rsaCertificate

Loc Auth Mode: rsaCertificate

Encryption   : AES256                 Hashing      : SHA1

Rekey Int (T): 86400 Seconds          Rekey Left(T): 86379 Seconds

PRF          : SHA1                   D/H Group    : 2

Filter Name  :

IPsec:

Tunnel ID    : 24.2

Local Addr   : 0.0.0.0/0.0.0.0/0/0

Remote Addr  : 192.168.50.1/255.255.255.255/0/0

Encryption   : AES256                 Hashing      : SHA1

Encapsulation: Tunnel

Rekey Int (T): 28800 Seconds          Rekey Left(T): 28778 Seconds

Idle Time Out: 30 Minutes             Idle TO Left : 30 Minutes

Conn Time Out: 518729 Minutes         Conn TO Left : 518728 Minutes

Bytes Tx     : 0                      Bytes Rx     : 16947

Pkts Tx      : 0                      Pkts Rx      : 244

ASA# show crypto ikev2 sa

IKEv2 SAs:

Session-id:24, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id                 Local                Remote     Status         Role

2119549341    10.88.243.108/4500   10.152.206.175/4500      READY    RESPONDER      Encr: AES-CBC, keysize: 256, Hash: SHA96, DH Grp:2, Auth sign: RSA, Auth verify: RSA

Life/Active Time: 86400/28 sec

Child sa: local selector  0.0.0.0/0 - 255.255.255.255/65535

remote selector 192.168.50.1/0 - 192.168.50.1/65535

ESP spi in/out: 0xbfff64d7/0x76131476

ASA# show crypto ipsec sa

interface: outside

Crypto map tag: Anyconnect, seq num: 65535, local addr: 10.88.243.108

local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

remote ident (addr/mask/prot/port): (192.168.50.1/255.255.255.255/0/0)

current_peer: 10.152.206.175, username: Win7_PC.david.com

dynamic allocated peer ip: 192.168.50.1

dynamic allocated peer ip(ipv6): 0.0.0.0

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0

#pkts decaps: 339, #pkts decrypt: 339, #pkts verify: 339

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0

#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0

#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0

#TFC rcvd: 0, #TFC sent: 0

#Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0

#send errors: 0, #recv errors: 0

local crypto endpt.: 10.88.243.108/4500, remote crypto endpt.: 10.152.206.175/4500

path mtu 1496, ipsec overhead 58(44), media mtu 1500

PMTU time remaining (sec): 0, DF policy: copy-df

ICMP error validation: disabled, TFC packets: disabled

current outbound spi: 76131476

current inbound spi : BFFF64D7

inbound esp sas:

spi: 0xBFFF64D7 (3221185751)

transform: esp-aes-256 esp-sha-hmac no compression

in use settings ={RA, Tunnel, IKEv2, }

slot: 0, conn_id: 98304, crypto-map: Anyconnect

sa timing: remaining key lifetime (sec): 28767

IV size: 16 bytes

replay detection support: Y

Anti replay bitmap:

0xFFFFFFFF 0xFFFFFFFF

outbound esp sas:

spi: 0x76131476 (1980961910)

transform: esp-aes-256 esp-sha-hmac no compression

in use settings ={RA, Tunnel, IKEv2, }

slot: 0, conn_id: 98304, crypto-map: Anyconnect

sa timing: remaining key lifetime (sec): 28767

IV size: 16 bytes

replay detection support: Y

Anti replay bitmap:

0x00000000 0x00000001

ASA#show vpn-sessiondb license-summary

---------------------------------------------------------------------------

VPN Licenses and Configured Limits Summary

---------------------------------------------------------------------------

Status : Capacity : Installed :  Limit

-----------------------------------------

AnyConnect Premium               :  ENABLED :       50 :        50 :   NONE

AnyConnect Essentials            : DISABLED :       50 :         0 :   NONE

Other VPN (Available by Default) :  ENABLED :       10 :        10 :   NONE

Shared License Server            : DISABLED

Shared License Participant       : DISABLED

AnyConnect for Mobile            :  ENABLED(Requires Premium or Essentials)

Advanced Endpoint Assessment     :  ENABLED(Requires Premium)

AnyConnect for Cisco VPN Phone   :  ENABLED

VPN-3DES-AES                     :  ENABLED

VPN-DES                          :  ENABLED

---------------------------------------------------------------------------

---------------------------------------------------------------------------

VPN Licenses Usage Summary

---------------------------------------------------------------------------

Local : Shared :   All  :   Peak :  Eff.  :

In Use : In Use : In Use : In Use :  Limit : Usage

----------------------------------------------------

AnyConnect Premium     :      1 :      0 :      1 :      1 :     50 :    2%

AnyConnect Client    :                 :      0 :      1          :    0%

AnyConnect Mobile  :                 :      0 :      0          :    0%

Clientless VPN       :                 :      0 :      0          :    0%

Generic IKEv2 Client :                 :      1 :      1          :    2%

Other VPN              :                 :      0 :      0 :     10 :    0%

Cisco VPN Client     :                 :      0 :      0          :    0%

L2TP Clients

Site-to-Site VPN     :                 :      0 :      0          :    0%

---------------------------------------------------------------------------

ASA# show vpn-sessiondb

---------------------------------------------------------------------------

VPN Session Summary

---------------------------------------------------------------------------

Active : Cumulative : Peak Concur : Inactive

----------------------------------------------

AnyConnect Client            :      0 :         11 :           1 :        0

SSL/TLS/DTLS               :      0 :          1 :           1 :        0

IKEv2 IPsec                :      0 :         10 :           1 :        0

Generic IKEv2 Remote Access  :      1 :         14 :           1

---------------------------------------------------------------------------

Total Active and Inactive    :      1             Total Cumulative :     25

Device Total VPN Capacity    :     50

Device Load                  :     2%

---------------------------------------------------------------------------

---------------------------------------------------------------------------

Tunnels Summary

---------------------------------------------------------------------------

Active : Cumulative : Peak Concurrent

----------------------------------------------

IKEv2                        :      1 :         25 :               1

IPsec                        :      1 :         14 :               1

IPsecOverNatT                :      0 :         11 :               1

AnyConnect-Parent            :      0 :         11 :               1

SSL-Tunnel                   :      0 :          1 :               1

DTLS-Tunnel                  :      0 :          1 :               1

---------------------------------------------------------------------------

Totals                       :      2 :         63

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

注：debugcommandsを使用する前に、『デバッグコマンドの重要な情報』を参照してください。

注意:ASAでは、さまざまなデバッグレベルを設定できます。デフォルトでは、レベル 1 が使用されます。デバッグレベルを変更すると、デバッグの冗長性が高くなります。特に実稼働環境では、注意して実行してください。

- Debug crypto ikev2 protocol 15

- Debug crypto ikev2 platform 15

- debug crypto ca 255