このドキュメントでは、Internet Key Exchange Version 2(IKEv2)を Cisco AnyConnect モビリティ クライアントで使用している場合に、Cisco 適応型セキュリティ アプライアンス(ASA)でのデバッグをどのように理解するかについて説明します。 また、特定のデバッグ行を ASA 設定に変換する方法に関する情報も提供します。
このドキュメントでは、ASA に VPN トンネルが確立された後にトラフィックをどのように受け渡すかについては説明せず、IPSec や IKE の基本概念も含まれていません。
IKEv2 のパケット交換についての知識があることが推奨されます。 詳細については、『IKEv2 のパケット交換とプロトコル レベル デバッグ』を参照してください。
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。
本書の情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、初期(デフォルト)設定の状態から起動しています。 稼働中のネットワークで作業を行う場合、コマンドの影響について十分に理解したうえで作業してください。
Cisco Technical Assistance Center(TAC)では、IPsec VPN トンネルの確立に問題があっても、コマンドが暗号化できる場合を把握するために、IKE や IPSec のデバッグコマンドを頻繁に使用しています。
debug crypto ikev2 protocol 127
debug crypto ikev2 platform 127
debug aggregate-auth xml 5
この ASA 設定では基本中の基本であり、外部サーバを使用しません。
interface Ethernet0/1
nameif outside
security-level 0
ip address 10.0.0.1 255.255.255.0
ip local pool webvpn1 10.2.2.1-10.2.2.10
crypto ipsec ikev2 ipsec-proposal 3des
protocol esp encryption aes-256 aes 3des des
protocol esp integrity sha-1
crypto dynamic-map dynmap 1000 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 ipsec-isakmp dynamic dynmap
crypto map crymap interface outside
crypto ca trustpoint Anu-ikev2
enrollment self
crl configure
crypto ikev2 policy 10
encryption aes-192
integrity sha
group 2
prf sha
lifetime seconds 86400
crypto ikev2 enable outside client-services port 443
crypto ikev2 remote-access trustpoint Anu-ikev2
ssl encryption 3des-sha1 aes128-sha1 aes256-sha1 des-sha1
ssl trust-point Anu-ikev2 outside
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-3.0.1047-k9.pkg 1
anyconnect profiles Anyconnect-ikev2 disk0:/anyconnect-ikev2.xml
anyconnect enable
tunnel-group-list enable
group-policy ASA-IKEV2 internal
group-policy ASA-IKEV2 attributes
wins-server none
dns-server none
vpn-tunnel-protocol ikev2
default-domain none
webvpn
anyconnect modules value dart
anyconnect profiles value Anyconnect-ikev2 type user
username Anu password lAuoFgF7KmB3D0WI encrypted privilege 15
tunnel-group ASA-IKEV2 type remote-access
tunnel-group ASA-IKEV2 general-attributes
address-pool webvpn1
default-group-policy ASA-IKEV2
tunnel-group ASA-IKEV2 webvpn-attributes
group-alias ASA-IKEV2 enable
<ServerList>
<HostEntry>
<HostName>Anu-IKEV2</HostName>
<HostAddress>10.0.0.1</HostAddress>
<UserGroup>ASA-IKEV2</UserGroup>
<PrimaryProtocol>IPsec</PrimaryProtocol>
</HostEntry>
</ServerList>
サーバ メッセージの説明 |
デバッグ |
クライアント メッセージの説明 |
|
Date : 13/04/23 **************************************** **************************************** |
クライアントが ASA への VPN トンネルを開始します。 | ||
------------------------------------------------------------------IKE_SA_INIT Exchange starts------------------------------------------------------------ | |||
ASA がクライアントから IKE_SA_INIT メッセージを受信します。 |
IKEv2-PLAT-4: RECV PKT [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000 IKEv2-PROTO-3: Rx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] m_id: 0x0 |
||
最初の 1 組のメッセージは IKE_SA_INIT 交換です。 これらのメッセージでは暗号化アルゴリズムのネゴシエーション、ナンスの交換、Diffie-Hellman(DH)交換を行います。 クライアントから受信した IKE_SA_INIT メッセージには次のフィールドが含まれています。
|
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: 0000000000000000] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: 0000000000000000 IKEv2-PROTO-4: Next payload: SA, version: 2.0 IKEv2-PROTO-4: Exchange type: IKE_SA_INIT, flags: INITIATOR IKEv2-PROTO-4: Message id: 0x0, length: 528 SA Next payload: KE, reserved: 0x0, length: 168 IKEv2-PROTO-4: last proposal: 0x0, reserved: 0x0, length: 164 Proposal: 1, Protocol id: IKE, SPI size: 0, #trans: 18 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 12 type: 1, reserved: 0x0, id: AES-CBC IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 12 type: 1, reserved: 0x0, id: AES-CBC IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 12 type: 1, reserved: 0x0, id: AES-CBC IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 1, reserved: 0x0, id: 3DES IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 1, reserved: 0x0, id: DES IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 2, reserved: 0x0, id: SHA512 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 2, reserved: 0x0, id: SHA384 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 2, reserved: 0x0, id: SHA256 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 2, reserved: 0x0, id: SHA1 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 2, reserved: 0x0, id: MD5 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: SHA512 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: SHA384 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: SHA256 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: SHA96 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: MD596 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 4, reserved: 0x0, id: DH_GROUP_1536_MODP/Group 5 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 4, reserved: 0x0, id: DH_GROUP_1024_MODP/Group 2 IKEv2-PROTO-4: last transform: 0x0, reserved: 0x0: length: 8 type: 4, reserved: 0x0, id: DH_GROUP_768_MODP/Group 1 KE Next payload: N, reserved: 0x0, length: 104 DH group: 1, reserved: 0x0 eb 5e 29 fe cb 2e d1 28 ed 4a 54 b1 13 7c b8 89 f7 62 13 6b df 95 88 28 b5 97 ba 52 ef e4 1d 28 ca 06 d1 36 b6 67 32 9a c2 dd 4e d8 c7 80 de 20 36 34 c5 b3 3e 1d 83 1a c7 fb 9d b8 c5 f5 ed 5f ba ba 4f b6 b2 e2 2d 43 4f a0 b6 90 9a 11 3f 7d 0a 21 c3 4d d3 0a d2 1e 33 43 d3 5e cc 4b 38 e0 N Next payload: VID, reserved: 0x0, length: 24 20 12 8f 22 7b 16 23 52 e4 29 4d 98 c7 fd a8 77 ce 7c 0b b4 IKEv2-PROTO-5: Parse Vendor Specific Payload: CISCO-DELETE-REASON VID Next payload: VID, reserved: 0x0, length: 23 |
||
ASA は
関連コンフィギュレーション crypto ikev2 policy 10 |
Decrypted packet: Data: 528 bytes IKEv2-PLAT-3: Process custom VID payloads IKEv2-PLAT-3: Cisco Copyright VID received from peer IKEv2-PLAT-3: AnyConnect EAP VID received from peer IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE Event: EV_RECV_INIT IKEv2-PROTO-3: (6): Check NAT discovery IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE Event: EV_CHK_REDIRECT IKEv2-PROTO-5: (6): Redirect check is not needed, skipping it IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE Event: EV_CHK_CAC IKEv2-PLAT-5: New ikev2 sa request admitted IKEv2-PLAT-5: Incrementing incoming negotiating sa count by one IKEv2-PLAT-5: INVALID PSH HANDLE IKEv2-PLAT-5: INVALID PSH HANDLE IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE Event: EV_CHK_COOKIE IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE Event: EV_CHK4_COOKIE_NOTIFY IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT Event: EV_VERIFY_MSG IKEv2-PROTO-3: (6): Verify SA init message IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT Event: EV_INSERT_SA IKEv2-PROTO-3: (6): Insert SA IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT Event: EV_GET_IKE_POLICY IKEv2-PROTO-3: (6): Getting configured policies IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT Event: EV_PROC_MSG IKEv2-PROTO-2: (6): Processing initial message IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT Event: EV_DETECT_NAT IKEv2-PROTO-3: (6): Process NAT discovery notify IKEv2-PROTO-5: (6): Processing nat detect src notify IKEv2-PROTO-5: (6): Remote address not matched IKEv2-PROTO-5: (6): Processing nat detect dst notify IKEv2-PROTO-5: (6): Local address matched IKEv2-PROTO-5: (6): Host is located NAT outside IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT Event: EV_CHK_CONFIG_MODE IKEv2-PROTO-3: (6): Received valid config mode data IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT Event: EV_SET_RECD_CONFIG_MODE IKEv2-PROTO-3: (6): Set received config mode data IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_SET_POLICY IKEv2-PROTO-3: (6): Setting configured policies IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_CHK_AUTH4PKI IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_PKI_SESH_OPEN IKEv2-PROTO-3: (6): Opening a PKI session IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_GEN_DH_KEY IKEv2-PROTO-3: (6): Computing DH public key IKEv2-PROTO-3: (6): IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_NO_EVENT IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_OK_RECD_DH_PUBKEY_RESP IKEv2-PROTO-5: (6): アクション: Action_Null IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_GEN_DH_SECRET IKEv2-PROTO-3: (6): Computing DH secret key IKEv2-PROTO-3: (6): IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_NO_EVENT IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_OK_RECD_DH_SECRET_RESP IKEv2-PROTO-5: (6): アクション: Action_Null IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_GEN_SKEYID IKEv2-PROTO-3: (6): Generate skeyid IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_GET_CONFIG_MODE |
||
ASA は IKE_SA_INIT 交換の応答メッセージを作成します。 このパケットには次が含まれます。
|
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT Event: EV_BLD_MSG IKEv2-PROTO-2: (6): Sending initial message IKEv2-PROTO-3: IKE Proposal: 1, SPI size: 0 (initial negotiation), Num. transforms: 4 AES-CBC SHA1 SHA96 DH_GROUP_768_MODP/Group 1 IKEv2-PROTO-5: Construct Vendor Specific Payload: DELETE-REASONIKEv2-PROTO-5: Construct Vendor Specific Payload: (CUSTOM)IKEv2-PROTO-5: Construct Vendor Specific Payload: (CUSTOM)IKEv2-PROTO-5: Construct Notify Payload: NAT_DETECTION_SOURCE_IPIKEv2-PROTO-5: Construct Notify Payload: NAT_DETECTION_DESTINATION_IPIKEv2-PLAT-2: Failed to retrieve trusted issuers hashes or none available IKEv2-PROTO-5: Construct Vendor Specific Payload: FRAGMENTATIONIKEv2-PROTO-3: Tx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] m_id: 0x0 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: Next payload: SA, version: 2.0 IKEv2-PROTO-4: Exchange type: IKE_SA_INIT, flags: RESPONDER MSG-RESPONSE IKEv2-PROTO-4: Message id: 0x0, length: 386 SA Next payload: KE, reserved: 0x0, length: 48 IKEv2-PROTO-4: last proposal: 0x0, reserved: 0x0, length: 44 Proposal: 1, Protocol id: IKE, SPI size: 0, #trans: 4 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 12 type: 1, reserved: 0x0, id: AES-CBC IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 2, reserved: 0x0, id: SHA1 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: SHA96 IKEv2-PROTO-4: last transform: 0x0, reserved: 0x0: length: 8 type: 4, reserved: 0x0, id: DH_GROUP_768_MODP/Group 1 KE Next payload: N, reserved: 0x0, length: 104 DH group: 1, reserved: 0x0 c9 30 f9 32 d4 7c d1 a7 5b 71 72 09 6e 7e 91 0c e1 ce b4 a4 3c f2 8b 74 4e 20 59 b4 0b a1 ff 65 37 88 cc c4 a4 b6 fa 4a 63 03 93 89 e1 7e bd 6a 64 9a 38 24 e2 a8 40 f5 a3 d6 ef f7 1a df 33 cc a1 8e fa dc 9c 34 45 79 1a 7c 29 05 87 8a ac 02 98 2e 7d cb 41 51 d6 fe fc c7 76 83 1d 03 b0 d7 N Next payload: VID, reserved: 0x0, length: 24 c2 28 7f 8c 7d b3 1e 51 fc eb f1 97 ec 97 b8 67 d5 e7 c2 f5 VID Next payload: VID, reserved: 0x0, length: 23 |
||
ASA が IKE_SA_INIT 交換の応答メッセージを送信します。 これで IKE_SA_INIT 交換が完了しました。 ASA 認証プロセスのタイマーを起動します。 | IKEv2-PLAT-4: SENT PKT [IKE_SA_INIT] [10.0.0.1]:500->[192.168.1.1]:25170 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000000 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: INIT_DONE Event: EV_DONE IKEv2-PROTO-3: (6): Fragmentation is enabled IKEv2-PROTO-3: (6): Cisco DeleteReason Notify is enabled IKEv2-PROTO-3: (6): Complete SA init exchange IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: INIT_DONE Event: EV_CHK4_ROLE IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: INIT_DONE Event: EV_START_TMR IKEv2-PROTO-3: (6): Starting timer to wait for auth message (30 sec) IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_WAIT_AUTH Event: EV_NO_EVENT |
**************************************** Date : 13/04/23 時間: 16:25:02 Type: 情報 出典: acvpnagent 説明: Function: CIPsecProtocol:: initiateTunnel File: を探します。\IPsecProtocol.cpp Line: 345 IPsec tunnel is initiating **************************************** |
クライアントは IPSec トンネルを「initiating」と示しています。 |
----------------------------------------------------------------------IKE_SA_INIT Complete------------------------------------------------------------------ | |||
-------------------------------------------------------------------------- IKE_AUTH Begins-------------------------------------------------------------------------- | |||
**************************************** Date : 13/04/23 時間: 16:25:00 Type: 情報 出典: acvpnagent 説明: Secure Gateway Parameters: IP アドレス: 10.0.0.1 Port: 443 URL: "10.0.0.1" Auth method: IKE - EAP-AnyConnect IKE Identity: **************************************** Date : 13/04/23 時間: 16:25:00 Type: 情報 出典: acvpnagent 説明: Initiating Cisco AnyConnect Secure Mobility Client connection, version 3.0.1047 **************************************** Date : 13/04/23 |
クライアントは、拡張認証の使用を要求するため、メッセージ 3 から AUTH ペイロードを省略します。 拡張可能認証プロトコル(EAP)による認証を指定するか、クライアント プロファイルによって指示され、プロファイルに <IKEIdentity> 要素が含まれていない場合は、クライアントは固定文字列 *$AnyConnectClient$* を含めて ID_GROUP タイプの IDi ペイロードを送信します。 クライアントはポート 4500 で ASA への接続を開始します。 | ||
この認証は、EAP を使用して行われます。 EAP のメッセージ交換では、単一の EAP 認証方式だけが許可されています。 ASA がクライアントから IKE_AUTH メッセージを受信します。 |
IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]: 4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x1 |
||
クライアントに IDi ペイロードが含まれていても IKE_AUTH の発信側パケットには、次が含まれています。
クライアントがグループ認証用に提供する **関連プロファイル設定: <ServerList> |
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: Next payload: ENCR, version: 2.0 IKEv2-PROTO-4: Exchange type: IKE_AUTH, flags: INITIATOR IKEv2-PROTO-4: Message id: 0x1, length: 540 IKEv2-PROTO-5: (6): Request has mess_id 1; expected 1 through 1 REAL Decrypted packet: Data: 465 bytes IKEv2-PROTO-5: Parse Vendor Specific Payload: (CUSTOM) VID Next payload: IDi, reserved: 0x0, length: 20 58 af f6 11 52 8d b0 2c b8 da 30 46 be 91 56 fa IDi Next payload: CERTREQ, reserved: 0x0, length: 28 Id type: Group name, Reserved: 0x0 0x0 2a 24 41 6e 79 43 6f 6e 6e 65 63 74 43 6c 69 65 6e 74 24 2a CERTREQ Next payload: CFG, reserved: 0x0, length: 25 Cert encoding X.509 Certificate - signature CertReq data: 20 bytes CFG Next payload: SA, reserved: 0x0, length: 196 cfg type: CFG_REQUEST, reserved: 0x0, reserved: 0x0 attrib type: internal IP4 address, length: 0 attrib type: internal IP4 netmask, length: 0 attrib type: internal IP4 DNS, length: 0 attrib type: internal IP4 NBNS, length: 0 attrib type: internal address expiry, length: 0 attrib type: application version, length: 27 41 6e 79 43 6f 6e 6e 65 63 74 20 57 69 6e 64 6f 77 73 20 33 2e 30 2e 31 30 34 37 attrib type: internal IP6 address, length: 0 attrib type: internal IP4 subnet, length: 0 attrib type: Unknown - 28682, length: 15 77 69 6e 78 70 36 34 74 65 6d 70 6c 61 74 65 attrib type: Unknown - 28704, length: 0 attrib type: Unknown - 28705, length: 0 attrib type: Unknown - 28706, length: 0 attrib type: Unknown - 28707, length: 0 attrib type: Unknown - 28708, length: 0 attrib type: Unknown - 28709, length: 0 attrib type: Unknown - 28710, length: 0 attrib type: Unknown - 28672, length: 0 attrib type: Unknown - 28684, length: 0 attrib type: Unknown - 28711, length: 2 05 7e attrib type: Unknown - 28674, length: 0 attrib type: Unknown - 28712, length: 0 attrib type: Unknown - 28675, length: 0 attrib type: Unknown - 28679, length: 0 attrib type: Unknown - 28683, length: 0 attrib type: Unknown - 28717, length: 0 attrib type: Unknown - 28718, length: 0 attrib type: Unknown - 28719, length: 0 attrib type: Unknown - 28720, length: 0 attrib type: Unknown - 28721, length: 0 attrib type: Unknown - 28722, length: 0 attrib type: Unknown - 28723, length: 0 attrib type: Unknown - 28724, length: 0 attrib type: Unknown - 28725, length: 0 attrib type: Unknown - 28726, length: 0 attrib type: Unknown - 28727, length: 0 attrib type: Unknown - 28729, length: 0 SA Next payload: TSi, reserved: 0x0, length: 124 IKEv2-PROTO-4: last proposal: 0x0, reserved: 0x0, length: 120 Proposal: 1, Protocol id: ESP, SPI size: 4, #trans: 12 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 12 type: 1, reserved: 0x0, id: AES-CBC IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 12 type: 1, reserved: 0x0, id: AES-CBC IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 12 type: 1, reserved: 0x0, id: AES-CBC IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 1, reserved: 0x0, id: 3DES IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 1, reserved: 0x0, id: DES IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 1, reserved: 0x0, id: NULL IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: SHA512 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: SHA384 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: SHA256 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: SHA96 IKEv2-PROTO-4: last transform: 0x3, reserved: 0x0: length: 8 type: 3, reserved: 0x0, id: MD596 IKEv2-PROTO-4: last transform: 0x0, reserved: 0x0: length: 8 type: 5, reserved: 0x0, id: TSi Next payload: TSr, reserved: 0x0, length: 24 Num of TSs: 1, reserved 0x0, reserved 0x0 TS type: TS_IPV4_ADDR_RANGE, proto id: 0, length: 16 start port: 0, end port: 65535 start addr: 0.0.0.0, end addr: 255.255.255.255 TSr Next payload: NOTIFY, reserved: 0x0, length: 24 Num of TSs: 1, reserved 0x0, reserved 0x0 TS type: TS_IPV4_ADDR_RANGE, proto id: 0, length: 16 start port: 0, end port: 65535 start addr: 0.0.0.0, end addr: 255.255.255.255 |
||
ASA は IKE_AUTH メッセージへの応答を生成し、クライアントに対して自身を認証するための準備を行います。 |
Decrypted packet: Data: 540 bytes Created element name config-auth value |
||
ASA はクライアントからユーザ クレデンシャルを要求するために、AUTH ペイロードを送信します。 ASA は AUTH メソッドを「RSA」として送信するため、自身の証明書をクライアントに送信することになます。これにより、クライアントは ASA サーバを認証できます。 ASA には拡張性認証方式の使用を希望しているため、EAP ペイロードをメッセージ 4 に配置し、発信側の認証が後続の IKE_AUTH 交換が完了するまで SAr2、TSi、および TSr の送信を延期します。 したがって、これらの 3 種類のペイロードはデバッグにありません。 EAP パケットには次が含まれています。
|
IDr Next payload: CERT, reserved: 0x0, length: 36 Id type: DER ASN1 DN, Reserved: 0x0 0x0 30 1a 31 18 30 16 06 09 2a 86 48 86 f7 0d 01 09 02 16 09 41 53 41 2d 49 4b 45 56 32 CERT Next payload: CERT, reserved: 0x0, length: 436 Cert encoding X.509 Certificate - signature Cert data: 431 bytes CERT Next payload: AUTH, reserved: 0x0, length: 436 Cert encoding X.509 Certificate - signature Cert data: 431 bytes AUTH Next payload: EAP, reserved: 0x0, length: 136 Auth method RSA, reserved: 0x0, reserved 0x0 Auth data: 128 bytes EAP Next payload: NONE, reserved: 0x0, length: 154 Code: request: id: 1, length: 150 Type: Unknown - 254 EAP data: 145 bytes IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x1 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: Next payload: ENCR, version: 2.0 IKEv2-PROTO-4: Exchange type: IKE_AUTH, flags: RESPONDER MSG-RESPONSE IKEv2-PROTO-4: Message id: 0x1, length: 1292 ENCR Next payload: VID, reserved: 0x0, length: 1264 Encrypted data: 1260 bytes |
||
フラグメンテーションは、証明書が大きいか、証明書チェーンが含まれている場合に発生する可能性があります。 発信側と応答側の両方の KE ペイロードにも、フラグメンテーションを引き起こす可能性がある大きいキーが含まれている場合がありす。 |
IKEv2-PROTO-5: (6): Fragmenting packet, Fragment MTU: 544, Number of fragments: 3, Fragment ID: 1 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 |
||
**************************************** |
ASA から送信された証明書がユーザに表示されます。 この証明書は信頼されていません。 EAP タイプは EAP-ANYCONNECT です。 | ||
クライアントは、応答という形で EAP 要求に応答します。 EAP パケットには次が含まれています。
ASA はこの応答を復号化し、クライアントは前のパケット(および証明書)で AUTH ペイロードを受信し、ASA から最初の EAP 要求パケットを受信したことを伝えます。 これが「init」EAP 応答パケットに含まれているものです。 |
IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002 Decrypted packet: Data: 332 bytes IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP Event: EV_PROC_MSG Received XML message below from the client IKEv2-PROTO-5: (6): アクション: Action_Null |
||
これは、ASA がクライアントに送信した 2 番目の要求です。 EAP パケットには次が含まれています。
ENCR ペイロード: このペイロードは復号化され、そのコンテンツは追加ペイロードとして解析されます。 |
IKEv2-PROTO-2: (6): Sending EAP request Generated XML message below |
**************************************** Date : 13/04/23 時間: 16:25:04 Type: 情報 出典: acvpnui 説明: Function: SDIMgr:: ProcessPromptData File: を探します。\SDIMgr.cpp Line: 281 Authentication type is not SDI. **************************************** Date : 13/04/23 時間: 16:25:07 Type: 情報 出典: acvpnui 説明: Function: ConnectMgr:: userResponse File: を探します。\ConnectMgr.cpp Line: 985 Processing user response. **************************************** |
クライアントはユーザ認証を要求し、次のパケット(「auth-reply」)の EAP 応答として ASA に送信します。 |
クライアントが EAP のペイロードがある別の IKE_AUTH 発信側メッセージを送信します。 EAP パケットには次が含まれています。
|
IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x3 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: Next payload: ENCR, version: 2.0 IKEv2-PROTO-4: Exchange type: IKE_AUTH, flags: INITIATOR IKEv2-PROTO-4: Message id: 0x3, length: 492 IKEv2-PROTO-5: (6): Request has mess_id 3; expected 3 through 3 REAL Decrypted packet: Data: 424 bytes EAP Next payload: NONE, reserved: 0x0, length: 424 Code(コード): response: id: 2, length: 420 Type: Unknown - 254 EAP data: 415 bytes |
||
ASA がこの応答を処理します。 クライアントは、ユーザがクレデンシャルを入力するように要求しています。 この EAP 応答は「config-auth」タイプが「cauth-reply」になります。 このパケットにはユーザが入力したクレデンシャルが含まれています。 |
Decrypted packet: Data: 492 bytes Received XML message below from the client |
||
ASA は交換で 3 番目の EAP 要求を作成します。 EAP パケットには次が含まれています。
ENCR ペイロード: このペイロードは復号化され、そのコンテンツは追加ペイロードとして解析されます。 |
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Event: EV_RECV_EAP_REQ Generated XML message below
IKEv2-PROTO-5: (6): Fragmenting packet, Fragment MTU: 544, Number of fragments: 9, Fragment ID: 2 |
||
**************************************** Date : 13/04/23 時間: 16:25:07 Type: 情報 出典: acvpnagent 説明: Current Profile: Anyconnect-ikev2.xml Received VPN Session Configuration Settings: Keep Installed: enabled Proxy Setting: do not modify Proxy Server: none Proxy PAC URL: none Proxy Exceptions: none Proxy Lockdown: enabled Split Exclude: local LAN access preference is disabled Split Include: disabled Split DNS: disabled Local LAN Wildcard: local LAN access preference is disabled Firewall Rules: none Client Address: 10.2.2.1 Client Mask: 255.0.0.0 Client IPv6 Address: unknown Client IPv6 Mask: unknown MTU: 1406 IKE Keep Alive: 20 秒 IKE DPD: 30 秒 Session Timeout: 0 seconds Disconnect Timeout: 1800 秒 Idle Timeout: 1800 秒 Server: unknown MUS Host: unknown DAP User Message: none Quarantine State: disabled Always On VPN: not disabled Lease Duration: 0 seconds Default Domain: unknown Home page: unknown Smart Card Removal Disconnect: enabled License Response: unknown **************************************** |
ASA は、「complete」メッセージで VPN 構成設定をクライアントに送信し、IP アドレスを VPN プールからクライアントに割り当てます。 | ||
クライアントは EAP ペイロードを含む発信側パケットを送信します。 EAP パケットには次が含まれています。
|
IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000004 IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x4 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: Next payload: ENCR, version: 2.0 IKEv2-PROTO-4: Exchange type: IKE_AUTH, flags: INITIATOR IKEv2-PROTO-4: Message id: 0x4, length: 252 IKEv2-PROTO-5: (6): Request has mess_id 4; expected 4 through 4 REAL Decrypted packet: Data: 177 bytes EAP Next payload: NONE, reserved: 0x0, length: 177 Code(コード): response: id: 3, length: 173 Type: Unknown - 254 EAP data: 168 bytes |
||
ASA がこのパケットを処理します。 その 関連コンフィギュレーション tunnel-group ASA-IKEV2 これで EAP 交換が成功しました。 EAP パケットには次が含まれています。
|
Decrypted packet:Data:252 bytes Received XML message below from the client IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Event: EV_START_TMR |
||
EAP 交換が成功したため、クライアントは AUTH ペイロードを含む IKE_AUTH 発信側パケットを送信します。 AUTH ペイロードは共有秘密キーから生成されます。 | IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: Next payload: ENCR, version: 2.0 IKEv2-PROTO-4: Exchange type: IKE_AUTH, flags: INITIATOR IKEv2-PROTO-4: Message id: 0x5, length: 92 IKEv2-PROTO-5: (6): Request has mess_id 5; expected 5 through 5 REAL Decrypted packet:Data:28 bytes AUTH Next payload: NONE, reserved: 0x0, length: 28 Auth method PSK, reserved: 0x0, reserved 0x0 Auth data: 20 bytes |
||
EAP 認証が指定されている、または ASA がこのメッセージを処理します。 関連コンフィギュレーション crypto dynamic-map dynmap 1000 |
Decrypted packet: Data: 92 bytes IKEv2-PROTO-2: (6): Processing auth message |
||
ASA は、SA、TSi、および TSr のペイロードを含む IKE_AUTH 応答メッセージを作成します。 IKE_AUTH の応答側パケットには、次が含まれています。
ENCR ペイロード: このペイロードは復号化され、そのコンテンツは追加ペイロードとして解析されます。 |
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Event: EV_MY_AUTH_METHOD IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5 |
||
ASA は、9 個のパケットに断片化されたこの IKE_AUTH 応答メッセージを送信します。 IKE_AUTH 交換が完了します。 | IKEv2-PROTO-5: (6): Fragmenting packet, Fragment MTU: 544, Number of fragments: 9, Fragment ID: 3 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE Event: EV_OK IKEv2-PROTO-5: (6): アクション: Action_Null IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE Event: EV_PKI_SESH_CLOSE |
||
**************************************** Date : 13/04/23 時間: 16:25:07 Type: 情報 出典: acvpnagent 説明: Function: ikev2_log File: .\ikev2_anyconnect_osal.cpp Line: 2730 The IPsec connection has been established. **************************************** Date : 13/04/23 時間: 16:25:07 Type: 情報 出典: acvpnagent 説明: IPsec session registration: 暗号化: AES-CBC PRF: SHA1 HMAC: SHA96 Local auth method: PSK Remote auth method: PSK Sequence id: 0 Key size: 192 DH group: 1 Rekey time: 4294967 seconds Local address: 192.168.1.1 Remote address: 10.0.0.1 Local port: 4500 Remote port: 4500 Session id: 1 **************************************** Date : 13/04/23 時間: 16:25:07 Type: 情報 出典: acvpnui 説明: The profile configured on the secure gateway is: Anyconnect-ikev2.xml **************************************** Date : 13/04/23 時間: 16:25:07 Type: 情報 出典: acvpnui 説明: Message type information sent to the user: Establishing VPN session... **************************************** |
The client reports the IPSec connection as established. The client also detects the user profile on the ASA. | ||
--------------------------------------------------------IKE_AUTH exchange ends---------------------------------------------------------------------- | |||
**************************************** **************************************** |
XML プロファイルはクライアントにロードされます。 クライアントは、ASA の IP アドレスを持っているため、クライアントは VPN アダプタの有効化に進みます。 | ||
接続はセキュリティ アソシエーション(SA)データベースへ入り、ステータスは REGISTERED になります。 また、ASA は、Common Access Card(CAC)の統計情報や、重複 SA の有無など、いくつかの検査を行い、デッド ピア検出(DPD)などの値を設定します。 |
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE Event: EV_INSERT_IKE IKEv2-PROTO-2: (6): SA created; inserting SA into database IKEv2-PLAT-3: CONNECTION STATUS: UP... peer: 192.168.1.1:25171, phase1_id: *$AnyConnectClient$* IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE Event: EV_REGISTER_SESSION IKEv2-PLAT-3: (6) username set to: Anu IKEv2-PLAT-3: CONNECTION STATUS: REGISTERED... peer: 192.168.1.1:25171, phase1_id: **$AnyConnectClient$* IKEv2-PROTO-3: (6): Initializing DPD, configured for 10 seconds IKEv2-PLAT-3: (6) mib_index set to: 4501 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE Event: EV_GEN_LOAD_IPSEC IKEv2-PROTO-3: (6): Load IPSEC key material IKEv2-PLAT-3: Crypto Map: match on dynamic map dynmap seq 1000 IKEv2-PLAT-3: (6) DPD Max Time will be: 30 IKEv2-PLAT-3: (6) DPD Max Time will be: 30 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE Event: EV_START_ACCT IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE Event: EV_CHECK_DUPE IKEv2-PROTO-3: (6): Checking for duplicate SA IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE Event: EV_CHK4_ROLE IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: READY Event: EV_R_UPDATE_CAC_STATS IKEv2-PLAT-5: New ikev2 sa request activated IKEv2-PLAT-5: Decrement count for incoming negotiating IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: READY Event: EV_R_OK IKEv2-PROTO-3: (6): Starting timer to delete negotiation context IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: READY Event: EV_NO_EVENT IKEv2-PLAT-2: Received PFKEY add SA for SPI 0x77EE5348, error FALSE IKEv2-PLAT-2: Received PFKEY update SA for SPI 0x30B848A4, error FALSE |
||
**************************************** Date : 13/04/23 時間: 16:25:08 Type: 情報 出典: acvpnagent 説明: The VPN connection has been established and can now pass data. **************************************** Date : 13/04/23 時間: 16:25:08 Type: 情報 出典: acvpnui 説明: Message type information sent to the user: Establishing VPN - Configuring system... **************************************** Date : 13/04/23 時間: 16:25:08 Type: 情報 出典: acvpnui 説明: Message type information sent to the user: Establishing VPN... **************************************** Date : 13/04/23 時間: 16:25:37 Type: 情報 出典: acvpnagent File: を探します。\IPsecProtocol.cpp Line: 945 IPsec tunnel is established **************************************** |
クライアントは、トンネルが起動しており、トラフィックを渡す準備が整っていることを報告します。 |
show vpn-sessiondb detail anyconnect コマンドの出力例を次に示します。
Session Type: AnyConnect Detailed
Username : Anu Index : 2
Assigned IP : 10.2.2.1 Public IP : 192.168.1.1
Protocol : IKEv2 IPsecOverNatT AnyConnect-Parent
License : AnyConnect Premium
Encryption : AES192 AES256 Hashing : none SHA1 SHA1
Bytes Tx : 0 Bytes Rx : 11192
Pkts Tx : 0 Pkts Rx : 171
Pkts Tx Drop : 0 Pkts Rx Drop : 0
Group Policy : ASA-IKEV2 Tunnel Group : ASA-IKEV2
Login Time : 22:06:24 UTC Mon Apr 22 2013
Duration : 0h:02m:26s
Inactivity : 0h:00m:00s
NAC Result : Unknown
VLAN Mapping : N/A VLAN : none
IKEv2 Tunnels: 1
IPsecOverNatT Tunnels: 1
AnyConnect-Parent Tunnels: 1
AnyConnect-Parent:
Tunnel ID : 2.1
Public IP : 192.168.1.1
Encryption : none Auth Mode : userPassword
Idle Time Out: 30 Minutes Idle TO Left : 27 Minutes
Client Type : AnyConnect
Client Ver : 3.0.1047
IKEv2:
Tunnel ID : 2.2
UDP Src Port : 25171 UDP Dst Port : 4500
Rem Auth Mode: userPassword
Loc Auth Mode: rsaCertificate
Encryption : AES192 Hashing : SHA1
Rekey Int (T): 86400 Seconds Rekey Left(T): 86254 Seconds
PRF : SHA1 D/H Group : 1
Filter Name :
Client OS : Windows
IPsecOverNatT:
Tunnel ID : 2.3
Local Addr : 0.0.0.0/0.0.0.0/0/0
Remote Addr : 10.2.2.1/255.255.255.255/0/0
Encryption : AES256 Hashing : SHA1
Encapsulation: Tunnel
Rekey Int (T): 28800 Seconds Rekey Left(T): 28654 Seconds
Rekey Int (D): 4608000 K-Bytes Rekey Left(D): 4607990 K-Bytes
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Bytes Tx : 0 Bytes Rx : 11192
Pkts Tx : 0 Pkts Rx : 171
NAC:
Reval Int (T): 0 Seconds Reval Left(T): 0 Seconds
SQ Int (T) : 0 Seconds EoU Age(T) : 146 Seconds
Hold Left (T): 0 Seconds Posture Token:
Redirect URL :
show crypto ikev2 sa コマンドの出力例を次に示します。
ASA-IKEV2# show crypto ikev2 sa
IKEv2 SAs:
Session-id:2, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote Status Role
55182129 10.0.0.1/4500 192.168.1.1/25171 READY RESPONDER
Encr: AES-CBC, keysize: 192, Hash: SHA96, DH Grp:1, Auth sign: RSA, Auth verify: EAP
Life/Active Time: 86400/112 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 10.2.2.1/0 - 10.2.2.1/65535
ESP spi in/out: 0x30b848a4/0x77ee5348
show crypto ikev2 sa detail コマンドの出力例を次に示します。
ASA-IKEV2# show crypto ikev2 sa detail
IKEv2 SAs:
Session-id:2, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote Status Role
55182129 10.0.0.1/4500 192.168.1.1/25171 READY RESPONDER
Encr: AES-CBC, keysize: 192, Hash: SHA96, DH Grp:1, Auth sign: RSA, Auth verify: EAP
Life/Active Time: 86400/98 sec
Session-id: 2
Status Description: Negotiation done
Local spi: FC696330E6B94D7F Remote spi: 58AFF71141BA436B
Local id: hostname=ASA-IKEV2
Remote id: *$AnyConnectClient$*
Local req mess id: 0 Remote req mess id: 9
Local next mess id: 0 Remote next mess id: 9
Local req queued: 0 Remote req queued: 9 Local window: 1 Remote window: 1
DPD configured for 10 seconds, retry 2
NAT-T is detected outside
Assigned host addr: 10.2.2.1
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 10.2.2.1/0 - 10.2.2.1/65535
ESP spi in/out: 0x30b848a4/0x77ee5348
AH spi in/out: 0x0/0x0
CPI in/out: 0x0/0x0
Encr: AES-CBC, keysize: 256, esp_hmac: SHA96
ah_hmac: None, comp: IPCOMP_NONE, mode tunnel
show crypto ipsec sa コマンドの出力例を次に示します。
ASA-IKEV2# show crypto ipsec sa
interface: outside
Crypto map tag: dynmap, seq num: 1000, local addr: 10.0.0.1
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.2.2.1/255.255.255.255/0/0)
current_peer: 192.168.1.1, username: Anu
dynamic allocated peer ip: 10.2.2.1
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 163, #pkts decrypt: 108, #pkts verify: 108
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#send errors: 0, #recv errors: 55
local crypto endpt.: 10.0.0.1/4500, remote crypto endpt.: 192.168.1.1/25171
path mtu 1488, ipsec overhead 82, media mtu 1500
current outbound spi: 77EE5348
current inbound spi : 30B848A4
inbound esp sas:
spi: 0x30B848A4 (817383588)
transform: esp-aes-256 esp-sha-hmac no compression
in use settings ={RA, Tunnel, NAT-T-Encaps, }
slot: 0, conn_id: 8192, crypto-map: dynmap
sa timing: remaining key lifetime (sec): 28685
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0xFFAD6BED 0x7ABFD5BF
outbound esp sas:
spi: 0x77EE5348 (2012107592)
transform: esp-aes-256 esp-sha-hmac no compression
in use settings ={RA, Tunnel, NAT-T-Encaps, }
slot: 0, conn_id: 8192, crypto-map: dynmap
sa timing: remaining key lifetime (sec): 28685
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001