一般的な L2L およびリモートアクセス IPSec VPN の問題のトラブルシューティング
内容
はじめに
このドキュメントでは、IPSec VPNの問題に対する最も一般的なソリューションについて説明します。
バックグラウンド情報
このドキュメントで説明されているソリューションは、シスコテクニカルサポートチームが解決したサービスリクエストから直接引用したものです。これらのソリューションの多くは、IPSec VPN接続の詳細なトラブルシューティングの前に実装されています。このドキュメントでは、接続のトラブルシューティングを開始する前に試す一般的な手順の概要を説明します。
このドキュメントの設定例は、ルータおよびセキュリティアプライアンスで使用するためのもので、ほとんどすべての概念がVPN 3000に適用されます。Cisco IOS®ソフトウェアとdebugコマンドの両方でIPSecのトラブルシューティングに使用される一般的なdebugコマンドの説明については、『IP Securityのトラブルシューティング：debugコマンドの説明と使用』を参照してください。
注:SAはIPSec VPNトンネル経由でマルチキャストトラフィックを渡しません。
警告：このドキュメントで説明されているソリューションの多くは、デバイス上のすべてのIPSec VPN接続が一時的に失われる原因となる可能性があります。これらのソリューションは、変更管理ポリシーに従って慎重に実装することを推奨します。
前提条件
要件
次のシスコデバイスでのIPSec VPN設定に関する知識があることが推奨されます。
- Cisco IOS(R) ルータ
-
Cisco ASA 5500 シリーズ セキュリティ アプライアンス
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- Cisco IOS®
-
Cisco ASA 5500 シリーズ セキュリティ アプライアンス
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
表記法
ドキュメント表記の詳細については、『シスコテクニカルティップスの表記法』を参照してください。
IPsec VPN コンフィギュレーションが機能しない
問題
- 最近設定または設定を変更した IPSec VPN ソリューションが機能しない。
- 現在の IPSec VPN の設定が機能しなくなった。
解決方法
このセクションでは、IPSec VPN に関する問題の最も一般的なソリューションについて説明します。これらのソリューションは特定の順序で記載されているわけではありませんが、詳細な修復を行う前に確認するためのチェックリストとして使用できます。これらのソリューションはすべて、TACサービスリクエストから直接提供され、数多くの問題を解決しています。
注：これらのセクションに示すコマンドの中には、スペースの関係上2行にわたって表記されているものがあります。
NAT トラバーサルをイネーブルにする（#1 RA VPN の問題）
NAT-Traversal（またはNAT-T）:VPNトラフィックがLinksys SOHOルータなどのNATデバイスまたはPATデバイスを通過できるようにします。NAT-Tがイネーブルになっていない場合、VPN Clientユーザは問題なくASAに接続しているように見えますが、セキュリティアプライアンスの背後にある内部ネットワークにはアクセスできません。NAT/PATデバイスのNAT-Tが有効になっていない場合に、ASAで「regular translation creation failed for protocol 50 src inside:10.0.1.26 dst outside:10.9.694」というエラーメッセージを受け取る場合があります。
同じIPアドレスからの同時ログインを完了できない場合は、Secure VPN Connectionはクライアントによってローカルに終了されます。理由412: The remote peer is no longer respondingエラーメッセージが表示されます。 このエラーを解決するには、ヘッドエンドVPNデバイスでNAT-Tを有効にします。
注:Cisco IOS®ソフトウェアリリース12.2(13)T以降では、Cisco IOS®ではNAT-Tがデフォルトで有効になっています。
次のコマンドは、CiscoセキュリティアプライアンスでNAT-Tを有効にします。この例では、キープアライブ時間を 20 に設定しています（デフォルト）。
ASA
securityappliance(config)#crypto isakmp nat-traversal 20
これを正しく機能させるには、クライアントを変更する必要があります。Cisco VPN Clientで、Connection Entriesに移動して、Modifyをクリックします。新しいウィンドウが開くので、「トランスポート」タブを選択します。このタブで、Enable Transparent Tunnelingand theIPSec over UDP ( NAT/PAT )オプションボタンをクリックします。次にSaveをクリックして、接続をテストします。
ASAはNATデバイスとして動作するため、ACLの設定により、NAT-T用UDP 4500、UDP 500、およびESPポートを許可することが重要です。ASAでのACL設定の詳細については、『NATを使用したファイアウォール経由のIPSecトンネルの設定』を参照してください。
接続が正しいことをテストする
VPN接続は、暗号化エンドポイントの背後にあるデバイスからテストされます。多くのユーザは、暗号化エンドポイントからpingコマンドを実行してVPN接続をテストします。 通常pingコマンドはこの目的で機能しますが、pingを正しいインターフェイスから発信することが重要です。pingの発信元が正しくないと、VPN接続が正しく動作しているときでも失敗したように見える場合があります。次に例を示します。
Router A のクリプト ACL
access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255
Router B のクリプト ACL
access-list 110 permit ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255
この例では、いずれかのルータの背後にあるネットワーク内からAPINGSを送信する必要があります。クリプトACLは、これらの送信元アドレスを使用してトラフィックを暗号化するためだけに設定されます。ルータの外部インターフェイスから送信されたAPは暗号化されません。ルータの内部インターフェイスからpingを発信するには、特権EXECモードでpingcommandの拡張オプションを使用します。
routerA#ping Protocol [ip]: Target IP address: 192.168.200.10 Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address or interface: 192.168.100.1 Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.200.1, timeout is 2 seconds: Packet sent with a source address of 192.168.100.1 !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = ½/4 ms
この図のルータがASAセキュリティアプライアンスに置き換えられたとします。接続のテストに使用するpingは、insidekeywordを付けて内部インターフェイスから発信することもできます。
securityappliance#ping inside 192.168.200.10 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.200.10, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
pingを使用してセキュリティアプライアンスのInsideインターフェイスを対象とすることは推奨されません。pingコマンドでInsideインターフェイスを対象とする必要がある場合は、そのインターフェイスでmanagement-accessをイネーブルにする必要があります。これを行っていないと、アプライアンスは応答を返しません。
securityappliance(config)#management-access inside
接続に問題がある場合は、VPNのフェーズ1でも機能しません。ASAでは、接続が失敗した場合、SAの出力は次の例のようになります。これは、不正な暗号ピア設定または不正なISAKMPプロポーザル設定を示している可能性を示しています。
Router#show crypto isakmp sa
1 IKE Peer: XX.XX.XX.XX
Type : L2L Role : initiator
Rekey : no State : MM_WAIT_MSG2
状態はMM_WAIT_MSG2 ～ MM_WAIT_MSG5で、これはメインモード(MM)での該当する状態交換の障害を示します。 フェーズ1がアップしたときのCrypto SAの出力（次の例を参照）。
Router#show crypto isakmp sa
1 IKE Peer: XX.XX.XX.XX
Type : L2L Role : initiator
Rekey : no State : MM_ACTIVE
ISAKMP をイネーブルにする
IPSec VPNトンネルが期待どおりに動作している兆候がない場合は、ISAKMPがイネーブルになっていない可能性があります。デバイスでISAKMPが有効になっていることを確認します。ISAKMPを有効にするには、次のいずれかのコマンドを使用します。
Cisco IOS®
router(config)#crypto isakmp enable
Cisco ASA(必要なインターフェイスに置き換える):
securityappliance(config)#crypto isakmp enable outside
このエラーは、外部インターフェイスでISAKMPをイネーブルにした場合にも発生する可能性があります。
UDP: ERROR - socket <unknown> 62465 in used ERROR: IkeReceiverInit, unable to bind to port
このエラーの原因は、ISAKMPをインターフェイスでイネーブルにする前に、ASAがUDPポート500へのPATを受信する背後にあるクライアントに関連している可能性があります。PAT変換が削除されると(clear xlate)、ISAKMPを有効にできます。UDP 500および4500のポート番号が、ピアとのISAKMP接続のネゴシエーション用に予約されていることを確認します。インターフェイスでISAKMPが有効になっていない場合、VPN Clientには次のようなエラーメッセージが表示されます。
Secure VPN connection terminated locally by client. Reason 412: The remote peer is no longer responding
このエラーを解決するには、VPNゲートウェイの暗号化インターフェイスでISAKMPを有効にします。
PFS をイネーブル/ディセーブルにする
IPSecネゴシエーションでは、Perfect Forward Secrecy（PFS；完全転送秘密）により、新しい暗号鍵が以前の鍵とは無関係であることが保証されます。両方のトンネルピアでPFSをイネーブルまたはディセーブルにします。ディセーブルにしないと、ASA/Cisco IOS®ルータでLAN-to-LAN(L2L)IPSecトンネルが確立されません。 Perfect Forward Secrecy（PFS; 完全転送秘密）は Cisco 独自のものであり、サード パーティ製デバイスではサポートされていません。
ASA：
PFSはデフォルトで無効になっており、PFSを有効にするには、グループポリシーコンフィギュレーションモードでenableキーワードを指定してpfscommandを実行します。PFSを無効にするには、disableキーワードを入力します。
hostname(config-group-policy)#pfs {enable | disable}
設定からPFS属性を削除するには、このコマンドのno形式を実行します。グループ ポリシーでは PFS に関する値を他のグループ ポリシーから継承できます。値が転送されないようにするには、このコマンドのno形式を実行します。
hostname(config-group-policy)#no pfs
Cisco IOS®ルータ
- 暗号マップエントリに対して新しいセキュリティアソシエーション(SA)が要求された場合に、IPSecがPFSを要求する必要があることを指定するには、暗号マップ設定モードでsset pfscommandを実行します。
- 新しいセキュリティアソシエーション(SA)の要求を受信する際にIPSecでPFSを要求するように指定するには、クリプトマップ設定モードでset pfscommandを実行します。
- IPSecでPFSを要求しないように指定するには、このコマンドのno形式を実行します。このコマンドでグループが指定されておらず、デフォルトとしてgroup1が使用されている場合、デフォルトではPFSは要求されません。
set pfs [group1 | group2] no set pfs
set pfs コマンドについて：
-
group1：新しいデフィーヘルマン交換が実行される際にIPSecで768ビットのデフィーヘルマンプライムモジュラスグループを使用する必要があることを指定します。
-
group2：新しいデフィーヘルマン交換が実行される際に、IPSecで1024ビットのデフィーヘルマンプライムモジュラスグループを使用する必要があることを指定します。
例：
Router(config)#crypto map map 10 ipsec-isakmp Router(config-crypto-map)#set pfs group2
古いまたは現在のセキュリティアソシエーション（トンネル）をクリアする
このエラーメッセージがCisco IOS®®ルータで発生した場合、SAは期限切れか、クリアされています。リモートトンネルのエンドデバイスは、有効期限が切れたSAを使用してパケットを送信していることを認識していません（SA確立パケットではありません）。 新しいSAが確立されたら通信が再開されます。これにより、トンネルをトラフィックが流れ始め、新しいSAが作成されて、トンネルが再確立されます。
%CRYPTO-4-IKMP_NO_SA: IKE message from x.x.x.x has no SA
ISAKMP（フェーズ1）とIPSec（フェーズ2）のセキュリティアソシエーション(SA)をクリアすると、多くの場合、IPSec VPNの問題を解決するための最適なソリューションになります。SAをクリアすると、詳細なトラブルシューティングを行わなくても、さまざまなエラーメッセージや動作を解決できます。この手法はあらゆる状況で簡単に使用できますが、現在のIPSec VPN設定を変更または追加した後で、最初にSAをクリアすることをお勧めします。さらに、特定のセキュリティアソシエーションだけをクリアすることも可能ですが、デバイスでSAをグローバルにクリアすると便利です。セキュリティアソシエーションがクリアされたら、トンネルを介してトラフィックを送信し、再確立する必要があります。
警告：クリアするセキュリティアソシエーションを指定しない限り、次に示すコマンドによってデバイス上のすべてのセキュリティアソシエーションがクリアされる可能性があります。他の IPSec VPN トンネルを使用している場合は、操作に注意してください。
-
クリアする前に、対象とするセキュリティ アソシエーションを確認します。
-
Cisco Cisco IOS®
router#show crypto isakmp sa router#show crypto ipsec sa
-
Cisco ASAセキュリティアプライアンス
securityappliance#show crypto isakmp sa securityappliance#show crypto ipsec sa
-
-
各コマンドは太字で示されているように入力するか、オプションとともに入力できるので、セキュリティアソシエーションをクリアします。
-
Cisco IOS®
-
ISAKMP（フェーズ I）
router#clear crypto isakmp ? <0 - 32766> connection id of SA <cr>
IPSec（フェーズ II）
router#clear crypto sa ? counters Reset the SA counters map Clear all SAs for a given crypto map peer Clear all SAs for a given crypto peer spi Clear SA by SPI <cr>
-
Cisco ASAセキュリティアプライアンス
-
ISAKMP（フェーズ I）
securityappliance#clear crypto isakmp sa
-
IPSec（フェーズ II）
security appliance#clear crypto ipsec sa ? counters Clear IPsec SA counters entry Clear IPsec SAs by entry map Clear IPsec SAs by map peer Clear IPsec SA by peer <cr>
-
-
-
ISAKMP ライフタイムを確認する
ユーザがL2Lトンネルを通じて頻繁に切断される場合、この問題はISAKMP SAでライフタイムが設定されている可能性があります。ISAKMPライフタイムに何らかの不一致が発生すると、「%ASA-5-713092: Group = x.x.x.x, IP = x.x.x.x, Failure during phase 1 rekey attempt due to collisionerror」というメッセージが/ASAで表示されます。デフォルトは 86,400 秒、つまり 24 時間です。一般的な規則として、ライフタイムが短いほど、ISAKMPネゴシエーションのセキュリティが高くなります（最大で1点）。ただし、ライフタイムが短いほど、セキュリティアプライアンスは将来のIPSec SAをより迅速にセットアップします。
一致が見つかるのは、2つのピアからの両方のポリシーに同じ暗号化、ハッシュ、認証、およびDiffie-Hellman(DH)パラメータ値が含まれている場合と、比較するポリシーでリモートピアのポリシーに指定されているライフタイムがライフタイム以下の場合です。ライフタイムが同一でない場合は、短い方のライフタイム（リモートピアのポリシーに基づく）が使用され、一致が見つからず、IKEはネゴシエーションを拒否し、IKE SAは確立されません。
- SAライフタイムを指定します。この例では、ライフタイムを4時間(14400秒)に設定し、デフォルトは86400秒（24時間）です。
ASA：
hostname(config)#isakmp policy 2 lifetime 14400
Cisco IOS®ルータ：
R2(config)#crypto isakmp policy 10 R2(config-isakmp)#lifetime 86400
設定されている最大のライフタイムを超えた場合は、VPN 接続の終端時に、次のメッセージを受け取ります。
Secure VPN Connection terminated locally by the Client.理由426：最大構成ライフタイムを超過しました。
このエラーを解決するには、elifetimevalueをゼロ(0)に設定します。 IKEセキュリティアソシエーションのライフタイムを無限に設定するには、VPNが常に接続され、終端されていないことが必要です。
hostname(config)#isakmp policy 2 lifetime 0
また、グループポリシーでre-xauthを無効にして、問題を解決することもできます。
ISAKMP キープアライブをイネーブルまたはディセーブルにする
ISAKMPキープアライブを設定すると、LAN-to-LANやリモートアクセスVPNが散発的にドロップされるのを防ぐのに役立ちます。これには、VPNクライアント、トンネル、非アクティブな状態が一定時間続いた後にドロップされたトンネルが含まれます。この機能により、トンネルエンドポイントはリモートピアの継続的な存在を監視し、自身の存在をそのピアに報告できます。ピアからの応答がなくなると、エンドポイントは接続を解除します。ISAKMPキープアライブが機能するためには、両方のVPNエンドポイントがそれらをサポートする必要があります。
次のコマンドを実行して、Cisco IOS®でISAKMPキープアライブを設定します。
router(config)#crypto isakmp keepalive 15
ASAセキュリティアプライアンスでISAKMPキープアライブを設定するには、次のコマンドを実行します。
トンネルグループ名10.165.205.222のCisco ASA:
securityappliance(config)#tunnel-group 10.165.205.222 ipsec-attributes securityappliance(config-tunnel-ipsec)#isakmp keepalive threshold 15 retry 10
状況によっては、問題を解決するためにこの機能を無効にする必要があります。たとえば、VPN Clientが、DPDパケットを阻止するファイアウォールの背後にある場合です。Cisco ASAで、10.165.205.222という名前のトンネルグループの場合は、IKEキープアライブ処理を無効にします。この処理はデフォルトで有効になっています。
securityappliance(config)#tunnel-group 10.165.205.222 ipsec-attributes securityappliance(config-tunnel-ipsec)#isakmp keepalive disable
Cisco VPN Client 4.x のキープアライブを無効にする
- 問題が発生しているクライアントPC上で%System Root% > Program Files > Cisco Systems > VPN Client > Profilesonに移動し、IKEキープアライブをディセーブルにし、PCFファイルの接続を必要に応じて編集します。
- ForceKeepAlives=0（デフォルト）をForceKeepAlives=1に変更します。 キープアライブは Cisco 独自のものであり、サード パーティ製デバイスによってサポートされていません。
事前共有キーを再入力するか元に戻す
多くの場合、IPSec VPNトンネルが機能しない場合は、単純な入力エラーが原因である可能性があります。たとえば、セキュリティ アプライアンスでは、事前共有キーは入力されると非表示になります。このため、キーが誤っていることがわかりません。各VPNエンドポイントで事前共有鍵が正しく入力されていることを確認します。
リモートアクセスVPNでは、有効なグループ名と事前共有キーがCiscoVPN Clientに入力されていることを確認します。このエラーは、VPN Clientとヘッドエンドデバイスの間でグループ名または事前共有キーが一致しない場合に発生することがあります。
1 12:41:51.900 02/18/06 Sev=Warning/3 IKE/0xE3000056 The received HASH payload cannot be verified 2 12:41:51.900 02/18/06 Sev=Warning/2 IKE/0xE300007D Hash verification failed 3 14:37:50.562 10/05/06 Sev=Warning/2 IKE/0xE3000099 Failed to authenticate peer (Navigator:904) 4 14:37:50.593 10/05/06 Sev=Warning/2 IKE/0xE30000A5 Unexpected SW error occurred while processing Aggressive Mode negotiator:(Navigator:2202) 5 14:44:15.937 10/05/06 Sev=Warning/2 IKE/0xA3000067 Received Unexpected InitialContact Notify (PLMgrNotify:888) 6 14:44:36.578 10/05/06 Sev=Warning/3 IKE/0xE3000056 The received HASH payload cannot be verified 7 14:44:36.593 10/05/06 Sev=Warning/2 IKE/0xE300007D Hash verification failed... possibly be configured with invalid group password. 8 14:44:36.609 10/05/06 Sev=Warning/2 IKE/0xE3000099 Failed to authenticate peer (Navigator:904) 9 14:44:36.640 10/05/06 Sev=Warning/2 IKE/0xE30000A5 Unexpected SW error occurred while processing Aggressive Mode negotiator:(Navigator:2202)
警告：暗号化関連のコマンドを削除すると、1つまたはすべてのVPNトンネルをダウン状態にできます。これらのコマンドは慎重に使用し、暗号化関連のコマンドを削除する前に組織の変更管理ポリシーを参照してください。
次のコマンドを実行して、ピア10.0.0.1またはgroupvpngroupin Cisco IOS®に対する事前共有keysecretkeyyを削除および再入力します。
Cisco LAN-to-LAN VPN:
router(config)#no crypto isakmp key secretkey address 10.0.0.1 router(config)#crypto isakmp key secretkey address 10.0.0.1
Cisco リモート アクセス VPN:
router(config)#crypto isakmp client configuration group vpngroup router(config-isakmp-group)#no key secretkey router(config-isakmp-group)#key secretkey
次のコマンドを実行して、/ASAセキュリティアプライアンスでピア10.0.0.1に対する事前共有キーの秘密キーを削除および再入力します。
Cisco 6.x:
(config)#no isakmp key secretkey address 10.0.0.1 (config)#isakmp key secretkey address 10.0.0.1
Cisco/ASA 7.x以降：
securityappliance(config)#tunnel-group 10.0.0.1 ipsec-attributes securityappliance(config-tunnel-ipsec)#no ikev1 pre-shared-key securityappliance(config-tunnel-ipsec)# ikev1 pre-shared-key secretkey
事前共有鍵が一致しない
VPNトンネルの開始が切断されます。この問題は、フェーズIネゴシエーション中の事前共有キーの不一致が原因で発生します。show crypto isakmp コマンドのMM_WAIT_MSG_6メッセージは、次の例で示すように事前共有鍵の不一致を示しています。
ASA#show crypto isakmp sa
Active SA: 1
Rekey SA: 0 (A tunnel reports 1 Active and 1 Rekey SA during rekey)
Total IKE SA: 1
1 IKE Peer: 10.7.13.20
Type : L2L Role : initiator
Rekey : no State : MM_WAIT_MSG_6
この問題を解決するには、両方のアプライアンスで事前共有キーを再入力します。事前共有キーは一意で一致している必要があります。詳細は、「事前共有キーを再入力するか元に戻す」を参照してください。
クリプト マップを削除してから再適用する
セキュリティアソシエーションをクリアしても、IPSec VPNの問題が解決されない場合、VPNトンネルの散発的なドロップおよび一部のVPNサイトの障害を含む広範囲な問題を解決するために、関連するクリプトマップを削除してから再適用します。
警告：インターフェイスからクリプトマップを削除すると、そのクリプトマップに関連付けられているすべてのIPSecトンネルが削除されます。先に進む前に、注意して次の手順を参照し、組織の変更管理ポリシーを考慮してください。
Cisco IOS®でクリプトマップを削除および置き換えるには、次のコマンドを実行します。
まず、インターフェイスからクリプト マップを削除します。次のように、crypto mapcommandのno形式を実行します。
router(config-if)#no crypto map mymap
引き続きthenoformを実行して暗号マップ全体を削除します。
router(config)#no crypto map mymap 10
ピア 10.0.0.1 の Ethernet0/0 インターフェイスのクリプト マップを置き換えます。次の例ではクリプト マップの必要最小限の設定を行っています。
router(config)#crypto map mymap 10 ipsec-isakmp router(config-crypto-map)#match address 101 router(config-crypto-map)#set transform-set mySET router(config-crypto-map)#set peer 10.0.0.1 router(config-crypto-map)#exit router(config)#interface ethernet0/0 router(config-if)#crypto map mymap
次のコマンドを実行して、ASAのクリプトマップの削除と置き換えを行います。まず、インターフェイスからクリプト マップを削除します。次のように、crypto mapcommandのno形式を実行します。
securityappliance(config)#no crypto map mymap interface outside
引き続きthenoformを実行して、他の暗号マップコマンドを削除します。
securityappliance(config)#no crypto map mymap 10 match address 101 securityappliance(config)#no crypto map mymap set transform-set mySET securityappliance(config)#no crypto map mymap set peer 10.0.0.1
ピア10.0.0.1のクリプトマップを置き換えます。次の例ではクリプト マップの必要最小限の設定を行っています。
securityappliance(config)#crypto map mymap 10 ipsec-isakmp securityappliance(config)#crypto map mymap 10 match address 101 securityappliance(config)#crypto map mymap 10 set transform-set mySET securityappliance(config)#crypto map mymap 10 set peer 10.0.0.1 securityappliance(config)#crypto map mymap interface outside
暗号化マップを削除して再適用すると、ヘッドエンドのIPアドレスが変更された場合の接続の問題も解決されます。
sysoptコマンドが存在することの確認（ASAのみ）
コマンドdssysopt connection permit-ipsecandsysopt connection permit-vpnallowは、IPSecトンネルからのパケットとそのペイロードに関し、セキュリティアプライアンスのインターフェイスACLをバイパスします。セキュリティ アプライアンスで終端される IPSec トンネルでは、これらのコマンドのどちらかがイネーブルになっていないと失敗する確立が高くなります。
- セキュリティアプライアンスソフトウェアバージョン7.0以前では、この状況に関連するsysoptコマンドはissysopt connection permit-ipsecです。
- セキュリティアプライアンスソフトウェアバージョン7.1(1)以降では、この状況に関連するsysoptコマンドはsysopt connection permit-vpnです。
- 6.xでは、この機能はデフォルトで無効になっています。/ASA 7.0(1)以降では、この機能はデフォルトで有効になっています。次のshowコマンドを実行して、使用しているデバイスで対応するsysoptcommandが有効になっているかどうかを確認します。
Cisco ASA:
securityappliance# show running-config all sysopt no sysopt connection timewait sysopt connection tcpmss 1380 sysopt connection tcpmss minimum 0 no sysopt nodnsalias inbound no sysopt nodnsalias outbound no sysopt radius ignore-secret sysopt connection permit-vpn !--- sysopt connection permit-vpn is enabled !--- This device is running 7.2(2)
次のコマンドを実行して、デバイスに対するcorrectsysoptcommandを有効にします。
Cisco ASA:
securityappliance(config)#sysopt connection permit-vpn
sysopt connectioncommandを実行しない場合は、送信元から宛先への必要なトラフィックを明示的に許可します。たとえば、リモートデバイスのリモートからローカルLAN、およびリモートデバイスの外部インターフェイスからローカルデバイスの外部インターフェイスへの「UDPポート500」は、外部ACLに記述されます。
ISAKMP 識別情報を確認する
IPSec VPNでのIKEネゴシエーションの失敗は、多くの場合、ピアがパートナーのIDを認識できなかったために発生します。この方法です。 2 つのピアで IPSec セキュリティ アプライアンスの確立に IKE を使用している場合は、各ピアがリモート ピアに対して自身の ISAKMP 識別情報を送信します。ピアは保持している ISAKMP 識別情報に応じて、自身の IP アドレスまたはホスト名を送信します。デフォルトでは、ファイアウォールユニットのISAKMP IDはIPアドレスに設定されます。
一般的な規則として、IKEネゴシエーションの失敗を回避するために、セキュリティアプライアンスとそのピアのIDを同じ方法で設定します。ピアに送信するフェーズ2 IDを設定するには、グローバルコンフィギュレーションモードでtheisakmp identitycommandを実行します。
crypto isakmp identity address !--- If the RA or L2L (site-to-site) VPN tunnels connect !--- with pre-shared key as authentication type
または
crypto isakmp identity auto !--- If the RA or L2L (site-to-site) VPN tunnels connect !--- with ISAKMP negotiation by connection type; IP address for !--- preshared key or cert DN for certificate authentication.
または
crypto isakmp identity hostname !--- Uses the fully-qualified domain name of !--- the host exchange ISAKMP identity information (default). !--- This name comprises the hostname and the domain name.
ASA設定移行ツールを使用してASAから設定を移行した後にVPNトンネルを起動できない場合、ログに次のメッセージが表示されます。
[IKEv1]：グループ= x.x.x.x、IP = x.x.x.x、古いPeerTblEntryが見つかりました、削除します！
[IKEv1]：グループ= x.x.x.x, IP = x.x.x.x, Removing peer from correlator table failed, no match!
[IKEv1]: Group = x.x.x.x, IP = x.x.x.x, construct_ipsec_delete()：フェーズ2 SAを識別するSPIがありません！
[IKEv1]：グループ= x.x.x.x, IP = x.x.x.x, Removing peer from correlator table failed, no match!
アイドル/セッション タイムアウトを確認する
アイドルタイムアウトが30分（デフォルト）に設定されている場合、トラフィックが通過しなければ、30分後にトンネルがドロップされます。VPNクライアントは、アイドルタイムアウトパラメータにかかわらず30分後に接続解除され、PEER_DELETE-IKE_DELETE_UNSPECIFIEDエラーを受信します。
サードパーティ製デバイスを使用してもトンネルがドロップされないように、idle timeoutandsession timeoutasnoneを設定してトンネルをalwaysupにします。
ASA
次のように、グループポリシーコンフィギュレーションモードかユーザ名コンフィギュレーションモードでvpn-idle-timeoutcommandコマンドを実行して、ユーザのタイムアウト期間を設定します。
hostname(config)#group-policy DfltGrpPolicy attributes hostname(config-group-policy)#vpn-idle-timeout none
次のように、グループポリシーコンフィギュレーションモードかユーザ名コンフィギュレーションモードでvpn-session-timeoutcommandコマンドにより、VPN接続に対する最大総時間を設定します。
hostname(config)#group-policy DfltGrpPolicy attributes hostname(config-group-policy)#vpn-session-timeout none
tunnel-allが設定されている場合、VPNアイドルタイムアウトが設定されていても、（tunnel-allが設定されているため）トンネルを通過するすべてのトラフィックが処理されるわけではないため、idle-timeoutを設定する必要はありません。
したがって、トラフィック（またはPCによって生成されたトラフィック）によってアイドルタイムアウトが発生することはありません。
Cisco IOS®ルータ
IPSec SAアイドルタイマーを設定するには、グローバルコンフィギュレーションモードかクリプトマップ設定モードでcrypto ipsec security-association idle-timecommandコマンドを実行します。デフォルトでは、IPsec SAアイドルタイマーは無効になっています。
crypto ipsec security-association idle-time seconds
時間は秒単位で測定され、このアイドルタイマーにより非アクティブなピアでSAが維持できます。引数 seconds の有効な値の範囲は 60 から 86400 です。
ACLが正しいこと、およびクリプトマップにバインドされていることを確認する
通常の IPSec VPN 設定ではアクセス リストを 2 つ使用します。一方のアクセス リストは、VPN トンネルに宛てられたトラフィックを NAT プロセスから除外するために使用します。もう1つのアクセスリストでは、暗号化するトラフィックを定義します。これには、LAN-to-LANセットアップのクリプトACLまたはリモートアクセス設定のスプリットトンネルACLが含まれます。これらのACLが誤って設定されているか、または欠落している場合、トラフィックはVPNトンネルを一方向に流れるか、またはトンネルにまったく送信されません。
グローバルコンフィギュレーションモードでcrypto map match addressコマンドを実行して、クリプトACLをクリプトマップに確実にバインドします。IPSec VPNの設定を完了するためにすべてのアクセスリストを設定し、それらのアクセスリストで正しいトラフィックが定義されていることを確認します。このリストには、IPSec VPNの問題の原因がACLにあると疑われる場合に検証すべき項目が含まれています。
NAT免除ACLとクリプトACLでトラフィックが正しく指定されていることを確認します。複数のVPNトンネルと複数のクリプトACLがある場合は、それらのACLが重複していないことを確認します。また、NAT免除ACLを使用するようにデバイスが設定されていることも確認します。ルータの場合、これはroute-mapcommandを実行していることを意味します。ASAでthenat (0)コマンドを実行している。NAT 免除 ACL は、LAN-to-LAN 設定とリモート アクセス設定の両方に必要です。
次の例では、Cisco IOS®ルータで192.168.100.0 /24と192.168.200.0 /24または192.168.1.0 /24との間で送信されるトラフィックをNAT処理から除外するよう設定しています。他を宛先とするトラフィックは、NAT オーバーロードの対象となります。
access-list 110 deny ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255 access-list 110 deny ip 192.168.100.0 0.0.0.255 192.168.1.0 0.0.0.255 access-list 110 permit ip 192.168.100.0 0.0.0.255 any route-map nonat permit 10 match ip address 110 ip nat inside source route-map nonat interface FastEthernet0/0 overload
NAT除外ACLは、前述の例(access-list noNAT)のように、IPアドレスまたはIPネットワークだけで機能し、クリプトマップACLと同一である必要があります。NAT除外ACLは、ポート番号（23、25など）では機能しません。 ネットワーク間の音声コールがVPN経由で通信されるVoIP環境では、NAT 0 ACLが適切に設定されていないと、音声コールは動作しません。NAT免除ACLの設定ミスが原因で問題が発生する可能性があるため、トラブルシューティングを行う前にVPN接続のステータスを確認することをお勧めします。
NAT免除(nat 0)ACLに設定ミスがある場合は、次に示すエラーメッセージが表示されることがあります。
%ASA-3-305005: No translation group found for udp src Outside:x.x.x.x/p dst Inside:y.y.y.y/p
誤った例：
access-list noNAT extended permit ip 192.168.100.0 255.255.255.0 192.168.200.0 255.255.255.0 eq 25
NAT免除(nat 0)が正しく機能しない場合、それを削除してからNAT 0コマンドを実行してみてください。ACLが逆方向ではなく、正しいタイプであることを確認します。LAN-to-LAN設定用の暗号化ACLおよびNAT免除ACLは、ACLが設定されているデバイスの観点から記述する必要があります。したがって、ACLは他のACLと一致する必要があります。この例では、LAN-to-LANトンネルが192.168.100.0 /24と192.168.200.0 /24との間に設定されます。
Router A のクリプト ACL:
access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255
Router B のクリプト ACL:
access-list 110 permit ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255
説明していませんが、同じ概念がASAセキュリティアプライアンスにも適用されます。ASAでは、リモートアクセス設定のためのスプリットトンネルACLは、VPNクライアントがアクセスを必要とするネットワークへのトラフィックを許可するアクセスリストである必要があります。Cisco IOS®ルータは、スプリットトンネルに拡張ACLを使用できます。拡張アクセスリストにおいて、スプリットトンネルACLの発信元に「any」を指定することは、スプリットトンネルをディセーブルにすることと同じです。スプリットトンネルには、拡張ACL内の送信元ネットワークのみを使用します。
正しい例：
access-list 140 permit ip 10.1.0.0 0.0.255.255 10.18.0.0 0.0.255.255
誤った例：
access-list 140 permit ip any 10.18.0.0 0.0.255.255
Cisco IOS®
router(config)#access-list 10 permit ip 192.168.100.0 router(config)#crypto isakmp client configuration group MYGROUP router(config-isakmp-group)#acl 10
Cisco ASA
securityappliance(config)#access-list 10 standard permit 192.168.100.0 255.255.255.0 securityappliance(config)#group-policy MYPOLICY internal securityappliance(config)#group-policy MYPOLICY attributes securityappliance(config-group-policy)#split-tunnel-policy tunnelspecified securityappliance(config-group-policy)#split-tunnel-network-list value 10
サイト間 VPN トンネル用の ASA バージョン 8.3 の NAT 免除の設定：
バージョン8.3の両方のASAを使用して、HOASAとBOASA間にサイト間VPNを確立する必要があります。HOASA での NAT 免除設定は次のようになります。
object network obj-local subnet 192.168.100.0 255.255.255.0 object network obj-remote subnet 192.168.200.0 255.255.255.0 nat (inside,outside) 1 source static obj-local obj-local destination static obj-remote objremote
ISAKMP ポリシーを確認する
IPSecトンネルがアップ状態でない場合は、ISAKMPポリシーがリモートピアと一致するかどうかを確認します。この ISAKMP ポリシーは、サイト間（L2L）とリモート アクセス IPSec VPN の両方に適用されます。Cisco VPN Clientまたはサイト間VPNがリモートエンドデバイスとのトンネルを確立できない場合は、2つのピアに同じ暗号化、ハッシュ、認証、およびDiffie-Hellman(DH)パラメータ値が含まれていることを確認します。 リモートピアポリシーで、イニシエータが送信したポリシーのライフタイム以下のライフタイムが指定されていることを確認します。ライフタイムが同じでない場合、セキュリティ アプライアンスでは短い方のライフタイムが使用されます。一致の条件が満たされない場合、ISAKMP はネゴシエーションを拒否し、SA は確立されません。
"Error: Unable to remove Peer TblEntry, Removing peer from peer table failed, no match!"
詳細なログメッセージの例を次に示します。
4|Mar 24 2010 10:21:50|713903: IP = X.X.X.X, Error: Unable to remove PeerTblEntry 3|Mar 24 2010 10:21:50|713902: IP = X.X.X.X, Removing peer from peer table failed, no match! 3|Mar 24 2010 10:21:50|713048: IP = X.X.X.X, Error processing payload: Payload ID: 1 4|Mar 24 2010 10:21:49|713903: IP = X.X.X.X, Information Exchange processing failed 5|Mar 24 2010 10:21:49|713904: IP = X.X.X.X, Received an un-encrypted NO_PROPOSAL_CHOSEN notify message, drop
このメッセージは通常、ISAKMPポリシーの不一致またはNAT 0文の欠落が原因で表示されます。また、次のメッセージも表示されます。
Error Message %ASA-6-713219: Queueing KEY-ACQUIRE messages to be processed when P1 SA is complete.
このメッセージは、フェーズ1の完了後にフェーズ2のメッセージがキューに入っていることを示しています。このエラーメッセージは、次のいずれかの原因で発生します。
-
いずれかのピア上でフェーズが一致していない
-
ACLはピアのフェーズ1の完了をブロックする
このメッセージは通常、エラーメッセージ「Removing peer from peer table failed, no match!」の後に表示されます。Cisco VPN Clientがヘッドエンドデバイスに接続できない場合は、ISAKMPポリシーのミスマッチが問題である可能性があります。ヘッドエンドデバイスは、Cisco VPN ClientのIKEプロポーザルのいずれかに一致している必要があります。ASAで使用されるISAKMPポリシーとIPsecトランスフォームセットに関して、Cisco VPN ClientではDESとSHAを組み合わせたポリシーは使用できません。DESを使用する場合は、ハッシュアルゴリズムにMD5を使用する必要があります。3DESとSHA、3DESとMD5など、他の組み合わせを使用することもできます。
ルーティングが正しいことを確認する
ルータやASAセキュリティアプライアンスなどの暗号化デバイスに、VPNトンネル経由でトラフィックを送信するための適切なルーティング情報があることを確認します。ゲートウェイデバイスの背後に他のルータが存在する場合は、それらのルータがトンネルに到達でき、反対側にどのネットワークがあるかを確認します。 VPN の展開において、ルーティングのキーとなるコンポーネントの 1 つに Reverse Route Injection（RRI）があります。 RRI により、リモート ネットワークまたは VPN クライアントに対するエントリが VPN ゲートウェイのルーティング テーブルにダイナミックにインポートされます。RRIによってインストールされたルートはEIGRPやOSPFなどのルーティングプロトコルを介して再配布できるため、これらのルートは、それらがインストールされているデバイスやネットワーク上の他のデバイスにとって便利です。
LAN-to-LAN設定では、各エンドポイントにネットワークへのルートを設定し、そこでトラフィックを暗号化することが重要です。たとえば、Router A は、Router B の背後にあるネットワークを 10.89.129.2 経由するルートとして認識している必要があります。ルータBには192.168.100.0 /24への同様のルートが必要です。 各ルータが適切なルートを認識していることを確認する最初の方法は、各宛先ネットワークのスタティックルートを設定することです。たとえば、Router A では次のような route 文を設定できます。
ip route 0.0.0.0 0.0.0.0 172.22.1.1 ip route 192.168.200.0 255.255.255.0 10.89.129.2 ip route 192.168.210.0 255.255.255.0 10.89.129.2 ip route 192.168.220.0 255.255.255.0 10.89.129.2 ip route 192.168.230.0 255.255.255.0 10.89.129.2
ルータAをASAに置き換えると、設定は次のようになります。
route outside 0.0.0.0 0.0.0.0 172.22.1.1 route outside 192.168.200.0 255.255.255.0 10.89.129.2 route outside 192.168.200.0 255.255.255.0 10.89.129.2 route outside 192.168.200.0 255.255.255.0 10.89.129.2 route outside 192.168.200.0 255.255.255.0 10.89.129.2
各エンドポイントの背後に多数のネットワークが存在する場合、スタティックルートの設定を維持することは困難になります。代わりに、Reverse Route Injection(RRI)を使用することをお勧めします。RRIは、クリプトACLにリストされているすべてのリモートネットワークのルーティングテーブルルートを配置します。たとえば、暗号化マップ用 ACL とルータ A の暗号化マップは次のようになります。
access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255 access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.210.0 0.0.0.255 access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.220.0 0.0.0.255 access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.230.0 0.0.0.255 crypto map myMAP 10 ipsec-isakmp set peer 10.89.129.2 reverse-route set transform-set mySET match address 110
ルータAをASAに置き換えると、設定は次のようになります。
access-list cryptoACL extended permit ip 192.168.100.0 255.255.255.0 192.168.200.0 255.255.255.0 access-list cryptoACL extended permit ip 192.168.100.0 255.255.255.0 192.168.210.0 255.255.255.0 access-list cryptoACL extended permit ip 192.168.100.0 255.255.255.0 192.168.220.0 255.255.255.0 access-list cryptoACL extended permit ip 192.168.100.0 255.255.255.0 192.168.230.0 255.255.255.0 crypto map myMAP 10 match address cryptoACL crypto map myMAP 10 set peer 10.89.129.2 crypto map myMAP 10 set transform-set mySET crypto map mymap 10 set reverse-route
リモート アクセスの設定では、ルーティングの変更は常に必要とは限りません。ただし、VPNゲートウェイルータまたはセキュリティアプライアンスの背後に他のルータがある場合、これらのルータはVPNクライアントへのパスを学習する必要があります。この例では、VPNクライアントが接続する際に10.0.0.0 /24の範囲のアドレスを付与されると仮定しています。
ゲートウェイと他のルータとの間でルーティング プロトコルが使用されていない場合は、Router 2 などのルータでスタティック ルートを使用できます。
ip route 10.0.0.0 255.255.255.0 192.168.100.1
ゲートウェイと他のルータとの間で EIGRP や OSPF などのルーティング プロトコルを使用している場合は、先に説明したように Reverse Route Injection（RRI）を使用することを推奨します。RRI により、VPN クライアントへのルートがゲートウェイのルーティング テーブルに自動的に追加されます。この後、これらのルートはネットワーク上の他のルータに配信されます。
Cisco IOS®ルータ：
crypto dynamic-map dynMAP 10 set transform-set mySET reverse-route crypto map myMAP 60000 ipsec-isakmp dynamic dynMAP
Cisco ASAセキュリティアプライアンス：
crypto dynamic-map dynMAP 10 set transform-set mySET crypto dynamic-map dynMAP 10 set reverse-route crypto map myMAP 60000 ipsec-isakmp dynamic dynMAP
VPNクライアントに割り当てられたIPアドレスのプールが、ヘッドエンドデバイスの内部ネットワークと重複していると、ルーティングの問題が発生します。詳細は、「プライベートネットワークのオーバーラップ」のセクションを参照してください。
トランスフォームセットが正しいことを確認する
両端のトランスフォームセットで使用されるIPsec暗号化アルゴリズムとハッシュアルゴリズムが同じであることを確認します。詳細については、『Ciscoセキュリティアプライアンスコンフィギュレーションガイド』の「コマンドリファレンス」を参照してください。ASAで使用されるISAKMPポリシーとIPsecトランスフォームセットに関して、Cisco VPN ClientではDESとSHAを組み合わせたポリシーは使用できません。DES を使用している場合は、ハッシュ アルゴリズムに MD5 を使用する必要があります。または、3DES と SHA、および 3DES と MD5 といった他の組み合わせも使用できます。
IPSecトンネルが開始/終了する正しいインターフェイスにクリプトマップのシーケンス番号、名前、およびクリプトマップが適用されていることの確認
スタティックおよびダイナミックピアが同じクリプトマップに設定されている場合、クリプトマップのエントリの順序が重要です。ダイナミッククリプトマップエントリのシーケンス番号は、他のすべてのスタティッククリプトマップエントリよりも大きい必要があります。スタティックエントリにダイナミックエントリよりも大きな番号付けがされている場合、これらのピアとの接続は失敗し、デバッグは次のように表示されます。
IKEv1]: Group = x.x.x.x, IP = x.x.x.x, QM FSM error (P2 struct &0x49ba5a0, mess id 0xcd600011)! [IKEv1]: Group = x.x.x.x, IP = x.x.x.x, Removing peer from correlator table failed, no match!
セキュリティアプライアンスのインターフェイスごとに1つのダイナミック暗号マップのみが許可されます。これは、スタティックエントリとダイナミックエントリを含む、正しく番号付けされたクリプトマップの例です。ダイナミックエントリは最も大きなシーケンス番号を持ち、追加のスタティックエントリを追加できる余地があります。
crypto dynamic-map cisco 20 set transform-set myset crypto map mymap 10 match address 100 crypto map mymap 10 set peer 172.16.77.10 crypto map mymap 10 set transform-set myset crypto map mymap interface outside crypto map mymap 60000 ipsec-isakmp dynamic ciscothe
クリプト マップ名では大文字と小文字が区別されます。このエラーメッセージは、ダイナミック暗号マップのシーケンスが正しくないため、ピアが誤った暗号マップをヒットした場合にも表示されます。また、トラフィックを定義するクリプトアクセスリストの不一致によっても発生します：%ASA-3-713042: IKE Initiator unable to find policy:
複数のVPNトンネルが同じインターフェイスで終端されているシナリオでは、シーケンス番号が異なる同じ名前のクリプトマップを作成します（インターフェイスごとに1つのクリプトマップのみが許可されます）。これは、ルータとASAに当てはまります。L2LとリモートアクセスVPNのシナリオでのクリプトマップ設定についての詳細は、『ASA：既存のL2L VPNへの新しいトンネルやリモートアクセスの追加：シスコ』を参照してください。
ピアのIPアドレスが正しいことを確認する
IPsecの接続固有レコードのデータベースを作成および管理します。ASAセキュリティアプライアンスLAN-to-LAN(L2L)IPsec VPN設定の場合、tunnel-group <name> type ipsec-l2コマンドで、トンネルグループの<name>にリモートピアのIPアドレス（リモートトンネルエンド）を指定します。ピアのIPアドレスはtunnel groupコマンドとCrypto map setアドレスのコマンドに一致している必要があります。ASDMでVPNを設定すると、トンネルグループ名が正しいピアIPアドレスで自動的に生成されます。ピアのIPアドレスが正しく設定されていない場合、ログに次のメッセージが含まれている可能性があります。その場合は、ピアのIPアドレスを正しく設定すると、解決できます。
[IKEv1]: Group = DefaultL2LGroup, IP = x.x.x.x, ERROR, had problems decrypting packet, probably due to mismatched pre-shared key. Aborting
ピアのIPアドレスがASA暗号設定で正しく設定されていない場合、ASAはVPNトンネルを確立できず、MM_WAIT_MSG4段階だけでハングします。この問題を解決するには、設定でピアのIPアドレスを修正します。次に示すのは、VPNトンネルがMM_WAIT_MSG4状態でハングする場合のshow crypto isakmp コマンドの出力です。
hostname#show crypto isakmp sa
1 IKE Peer: XX.XX.XX.XX
Type : L2L Role : initiator
Rekey : no State : MM_WAIT_MSG4
トンネル グループおよびグループ名を確認する
%ASA-3-713206: Tunnel Rejected: Conflicting protocols specified by tunnel-group and group-policy
このメッセージは、グループポリシーで指定されている許可されたトンネルが、トンネルグループ設定の許可されたトンネルと異なるためにトンネルがドロップされると表示されます。
group-policy hf_group_policy attributes vpn-tunnel-protocol l2tp-ipsec username hfremote attributes vpn-tunnel-protocol l2tp-ipsec Both lines read: vpn-tunnel-protocol ipsec l2tp-ipsec
IPSecを有効にする：デフォルトのグループポリシー内の既存のプロトコルに対して、デフォルトのグループポリシー内のIPSecを有効にします。
group-policy DfltGrpPolicy attributes vpn-tunnel-protocol L2TP-IPSec IPSec webvpn
L2L ピアについて XAUTH をディセーブルにする
LAN-to-LANトンネルとリモートアクセスVPNが同じクリプトマップに設定されていると、LAN-to-LANピアにXAUTH情報の入力を求めるメッセージが表示され、show crypto isakmp コマンドの出力の「CONF_XAUTH」でLAN-to-LANトンネルに障害が発生します。SAの出力例を次に示します。
Router#show crypto isakmp sa IPv4 Crypto ISAKMP SA dst src state conn-id slot status X.X.X.X Y.Y.Y.Y CONF_XAUTH 10223 0 ACTIVE X.X.X.X Z.Z.Z.Z CONF_XAUTH 10197 0 ACTIVE
この問題は、トンネルグループを使用するため、ASAがこの問題の影響を受けないCisco IOS®にのみ該当します。ISAKMPキーを入力するときにtheno-xauthkeywordを実行すると、デバイスからピアに対してXAUTH情報（ユーザ名とパスワード）の入力を求められなくなります。 このキーワードによって、スタティックな IPSec ピアに対する XAUTH がディセーブルになります。L2LとRA VPNの両方が同じクリプトマップで設定されているデバイスで、次のようなコマンドを実行します。
router(config)#crypto isakmp key cisco123 address 172.22.1.164 no-xauth
ASAがEasy VPNサーバとして動作するシナリオでは、Xauthの問題が原因でEasy VPNクライアントがヘッドエンドに接続できません。この問題を解決するには、ASAでユーザ認証を無効にします。
ASA(config)#tunnel-group example-group type ipsec-ra ASA(config)#tunnel-group example-group ipsec-attributes ASA(config-tunnel-ipsec)#isakmp ikev1-user-authentication none
isakmp ikev1-user-authenticationcommandの詳細は、このドキュメントの「Miscellaneous」セクションを参照してください。
VPNプールの枯渇
VPN プールに割り当てられている IP アドレスの範囲が不十分の場合、次の 2 つの方法で IP アドレスのアベイラビリティを拡張できます。
-
既存の範囲を削除し、新しい範囲を定義します。
CiscoASA(config)#no ip local pool testvpnpool 10.76.41.1-10.76.41.254 CiscoASA(config)#ip local pool testvpnpool 10.76.41.1-10.76.42.254
-
隣接していないサブネットをVPNプールに追加する必要がある場合は、2つの別個のVPNプールを定義し、「tunnel-group attributes」の下でそれらを指定できます。 次に例を示します。
CiscoASA(config)#ip local pool testvpnpoolAB 10.76.41.1-10.76.42.254 CiscoASA(config)#ip local pool testvpnpoolCD 10.76.45.1-10.76.45.254 CiscoASA(config)#tunnel-group test type remote-access CiscoASA(config)#tunnel-group test general-attributes CiscoASA(config-tunnel-general)#address-pool (inside) testvpnpoolAB testvpnpoolCD CiscoASA(config-tunnel-general)#exit
プールを指定する順序は重要です。これは、ASAが、このコマンドでプールが表示される順序でこれらのプールからアドレスを割り当てるためです。group policy address poolsコマンドのアドレスプール設定は、tunnel-group address-poolコマンドのローカルプール設定を常に上書きします。
VPN Client トラフィックの遅延による問題
VPN接続で遅延の問題がある場合は、次の条件を確認して問題を解決します。
-
パケットの MSS をさらに削減できるかどうかを確認します。
-
IPsec/udpの代わりにIPsec/tcpが使用されている場合は、configurepreserve-vpn-flowを設定します。
-
Cisco ASA をリロードします。
VPNクライアントがASAに接続できない
問題
XauthがRadiusサーバで使用されていると、Cisco VPN Clientは認証できません。
ソリューション
場合によっては、Xauthがタイムアウトし、AAAサーバのタイムアウト値を大きくしてこの問題を解決できます。例：
Hostname(config)#aaa-server test protocol radius hostname(config-aaa-server-group)#aaa-server test host 10.2.3.4 hostname(config-aaa-server-host)#timeout 10
問題
X-auth が Radius サーバで使用されていると、Cisco VPN Client では認証ができません。
ソリューション
最初に、認証が正しく動作していることを確認します。問題を絞り込むには、最初にASAのローカルデータベースで認証を確認します。
tunnel-group tggroup general-attributes
authentication-server-group none
authentication-server-group LOCAL
exit
これが機能する場合、問題はRADIUSサーバの設定に関連しています。ASA から Radius サーバの接続を確認します。pingが問題なく実行される場合は、ASA上のRADIUS関連の設定とRadiusサーバ上のデータベース設定を確認します。RADIUSに関する問題のトラブルシューティングを行うには、debug radiusコマンドを実行できます。sampledebug radiusoutputの例については、次の出力例を参照してください。ASAでdebugコマンドを使用する前に、『ドキュメント警告メッセージ』を参照してください。
「VPN Client Drops Connection Frequently on First Attempt」または「Security VPN Connection terminated by peerReason 433」または「Secure VPN Connection terminated by Peer Reason 433:(Reason Not Specified by Peer)」
問題
Cisco VPN ClientユーザがヘッドエンドVPNデバイスとの接続を試みると、このエラーが発生します。
- VPNクライアントは、最初の試行時に頻繁に接続をドロップします。
- Security VPN Connection terminated by Peer Reason 433というエラーメッセージが表示されます。
- Secure VPN Connection terminated by Peer Reason 433:(Reason Not Specified by Peer)」というエラーメッセージが表示されます。
- ネットワークまたはブロードキャストIPアドレスの割り当てを試みましたが、プールから(x.x.x.x)を削除しました。
解決策 1
この問題は、ASA、RADIUSサーバ、DHCPサーバ、またはDHCPサーバとして機能するRADIUSサーバを介したIPプール割り当てに関連している可能性があります。debug暗号コマンドを実行して、ネットマスクとIPアドレスが正しいことを確認します。また、プールにネットワークアドレスとブロードキャストアドレスが含まれていないことも確認します。Radiusサーバは、適切なIPアドレスをクライアントに割り当てる必要があります。
解決策 2
この問題は、拡張認証の失敗によっても発生します。このエラーを修復するには、AAA サーバを確認する必要があります。サーバとクライアントのサーバ認証パスワードを確認します。AAAサーバをリロードすると、この問題を解決できます。
解決策 3
この問題のもう一つの回避策は、脅威検出機能をディセーブルにすることです。異なる不完全なセキュリティアソシエーション(SA)に対して複数の再送信がある場合、脅威検出機能が有効にされたASAではスキャン攻撃が発生したと見なされ、VPNポートが主な攻撃者としてマークされます。ASAの処理でオーバーヘッドの問題が発生する可能性があるため、脅威検出機能を無効にします。脅威検出を無効にするには、次のコマンドを実行します。
no threat-detection basic-threat no threat-detection scanning-threat shun no threat-detection statistics no threat-detection rate
これは、問題が解決したかどうかを確認するための回避策として使用できます。スキャンの試行の緩和、無効なSPIを使用したDoS、アプリケーションインスペクション(AIS)に失敗したパケット、および不完全なセッションなど、いくつかのセキュリティ機能を損なうため、Cisco ASAで脅威検出を無効にしてください。
解決 4
この問題は、トランスフォームセットが正しく設定されておらず、トランスフォームセットを正しく設定することで問題が解決した場合にも発生します。
リモート アクセス ユーザおよび EZVPN ユーザが、VPN には接続されるものの、外部リソースにアクセスできない
問題
- リモートアクセスユーザがVPNに接続すると、インターネットに接続できません。
- リモート アクセス ユーザが同じデバイス上の他の VPN の背後にあるリソースにアクセスできない。
- リモート アクセス ユーザがローカル ネットワークにしかアクセスできない。
解決方法
この問題を解決するには、次の解決策を試してください。
DMZ にあるサーバにアクセスできない
VPNクライアントが確立されると、VPNヘッドエンドデバイス(ASA/Cisco IOS®ルータ)を使用したIPSecトンネルでは、VPNクライアントユーザは内部ネットワーク(10.10.10.0/24)のリソースにアクセスできますが、DMZネットワーク(10.1.1.0/24)にはアクセスできません。
図
スプリットトンネルを確認します。DMZネットワークのリソースにアクセスするためのNAT設定がヘッドエンドデバイスに追加されていません。
ASA の設定
次の設定では、VPNユーザがDMZネットワークにアクセスできるようにDMZネットワークのNAT免除を設定する方法を示しています。
object network obj-dmz subnet 10.1.1.0 255.255.255.0 object network obj-vpnpool subnet 192.168.1.0 255.255.255.0 nat (inside,dmz) 1 source static obj-dmz obj-dmz destination static obj-vpnpool obj-vpnpool
NAT設定の新しいエントリを追加したら、NAT変換をクリアします。
Clear xlate Clear local
確認
トンネルが確立されている場合は、Cisco VPNクライアントに移動し、Status > Route Detailsの順に選択して、DMZと内部の両方のネットワークについて、セキュリティで保護されたルートが表示されていることを確認します。
既存のL2L VPN設定に新しいVPNトンネルやリモートアクセスVPNを追加するために必要な手順については、『ASA：既存のL2L VPNへの新しいトンネルやリモートアクセスの追加：シスコ』を参照してください。Cisco 5500シリーズ適応型セキュリティアプライアンス(ASA)にトンネリングされているときに、VPN Clientにインターネットへのアクセスを許可する方法の手順については、『ASA:ASAでVPN Clientのスプリットトンネリングを許可するための設定例』も参照してください。
VPN クライアントが DNS を解決できない
トンネルが確立された後、VPN ClientがDNSを解決できない場合、問題はヘッドエンドデバイス(ASA)のDNSサーバ設定に関連している可能性があります。 VPNクライアントとDNSサーバの間の接続を確認します。DNSサーバの設定は、グループポリシーで設定し、tunnel-groupの一般属性のグループポリシーの下で適用する必要があります。
!--- Create the group policy named vpn3000 and !--- specify the DNS server IP address(172.16.1.1) !--- and the domain name(cisco.com) in the group policy. group-policy vpn3000 internal group-policy vpn3000 attributes dns-server value 172.16.1.1 default-domain value cisco.com !--- Associate the group policy(vpn3000) to the tunnel group !--- with the default-group-policy. tunnel-group vpn3000 general-attributes default-group-policy vpn3000
VPN Clientが内部サーバに名前で接続できない
VPNクライアントは、リモートまたはヘッドエンドの内部ネットワークのホストまたはサーバに名前でpingを実行できません。この問題を解決するには、ASAでsplit-dns設定を有効にする必要があります。
スプリット トンネル：インターネットや除外されたネットワークにアクセスできない
スプリットトンネルでは、リモートアクセスIPSecクライアントが、条件に応じて、パケットをIPSecトンネル経由で、暗号化形式または平文で復号化された形式のネットワークインターフェイスに送信し、最終的な宛先にルーティングできます。
スプリットトンネルはデフォルトでディセーブルになっており、commandtunnelalltrafficコマンドを実行すると確認できます。
split-tunnel-policy {tunnelall | tunnelspecified | excludespecified}
オプション excludespecified は、Cisco VPN Client に対してのみサポートされており、EZVPN クライアントに対してはサポートされていません。
ciscoasa(config-group-policy)#split-tunnel-policy excludespecified
スプリットトンネルの詳細な設定例については、次のドキュメントを参照してください。
ヘアピンソリューション
この機能は、あるインターフェイスに着信した後に同じインターフェイスからルーティングされるVPNトラフィックに対して便利です。たとえば、ハブアンドスポークVPNネットワークでは、セキュリティアプライアンスがハブで、リモートVPNネットワークはスポークです。スポーク間の通信トラフィックは、セキュリティアプライアンスに着信した後、もう一方のスポークに再び発信される必要があります。トラフィックが同じインターフェイスから発着信できるようにするには、ame-security-traffic設定を実行します。
securityappliance(config)#same-security-traffic permit intra-interface
ローカル LAN へのアクセス
リモートアクセスユーザはVPNに接続し、ローカルネットワークにのみ接続できます。さらに詳細な設定例は、『ASA:VPNクライアントでローカルLANアクセスを許可するための設定例』を参照してください。
プライベート ネットワークのオーバーラップ
問題
トンネルが確立された後に内部ネットワークにアクセスできない場合は、VPNクライアントに割り当てられているIPアドレスが、ヘッドエンドデバイスの背後にある内部ネットワークと重複していないかを確認します。
ソリューション
VPN Clientに割り当てられたプール内のIPアドレス、ヘッドエンドデバイスの内部ネットワーク、およびVPN Clientの内部ネットワークが異なるネットワークにあることを確認します。同じメジャーネットワークに異なるサブネットを割り当てることはできますが、ルーティングの問題が発生する場合があります。詳細な例については、「DMZにあるサーバにアクセスできない」の項の「ダイアグラム」の例を参照してください。
接続できないm=3人を超えるVPN Clientユーザ
問題
ASA/に接続できるVPNクライアントは3つだけで、4つ目のクライアントの接続は失敗します。失敗した際には、次のエラー メッセージが表示されます。
Secure VPN Connection terminated locally by the client. Reason 413: User Authentication failed.
tunnel rejected; the maximum tunnel count has been reached
解決方法
ほとんどの場合、この問題は、グループポリシー内の同時ログイン設定と最大セッション制限に関連しています。この問題を解決するには、次の解決策を試してください。
同時ログインを設定する
ASDMのInheritcheckboxがチェックされている場合、ユーザに許可されるのはデフォルトの同時ログイン数だけです。同時ログインのデフォルト値は3です。この問題を解決するには、同時ログインの値を大きくします。
-
ASDMを起動し、Configuration > VPN > Group Policyの順に選択します。
-
適切なGroupgroupを選択し、Editbuttonをクリックします。
-
Generaltabで、Simultaneous LoginsunderConnection SettingsのInheritcheckボックスを元に戻します。フィールドに適切な値を選択します。
このフィールドの最小値は0です。この値にすると、ログインが無効になり、ユーザアクセスができなくなります。別のPCの同じユーザアカウントでログインすると、現在のセッション（同じユーザアカウントを持つ別のPCから確立された接続）が終了し、新しいセッションが確立されます。 これはデフォルトの動作であり、VPNの同時ログインには依存しません。
CLI による ASA の設定
同時ログインの必要数を設定するには、次の手順を実行します。この例では、目的の値として20が選択されています。
ciscoasa(config)#group-policy Bryan attributes ciscoasa(config-group-policy)#vpn-simultaneous-logins 20
このコマンドの詳細は、『Ciscoセキュリティアプライアンスコマンドリファレンス』を参照してください。グローバルコンフィギュレーションモードでvpn-sessiondb max-session-limitコマンドを実行し、VPNセッションをセキュリティアプライアンスで許可されているよりも低い値に制限します。セッションの制限を削除するには、このコマンドのenoversion を実行し、現在の設定を上書きするには、このコマンドを再実行します。
vpn-sessiondb max-session-limit {session-limit}
次の例には、最大 VPN セッションの制限を 450 に設定する方法が示されています。
hostname#vpn-sessiondb max-session-limit 450
設定
エラー メッセージ：
20932 10/26/2007 14:37:45.430 SEV=3 AUTH/5 RPT=1863 10.19.187.229 Authentication rejected: Reason = Simultaneous logins exceeded for user handle = 623, server = (none), user = 10.19.187.229, domain = <not specified>
ソリューション
同時ログインの必要数を設定するには、次の手順を実行します。また、このSAの同時ログインを5に設定することもできます。Configuration > User Management > Groups > Modify 10.19.187.229 > General > Simultaneous Loginsの順に選択し、ログイン数を5に変更します。
トンネルが確立されるとセッションやアプリケーションを開始できず転送が遅くなる
問題
IPSec トンネルを確立した後に、トンネル経由でアプリケーションやセッションを開始できなくなることがあります。
解決方法
thepingcommandを実行してネットワークを確認するか、またはネットワークからアプリケーションサーバに到達できるかどうかを確認します。これは、ルータまたは/ASAデバイスを通過する一時的なパケットの最大セグメントサイズ(MSS)、特にSYNビットが設定されたTCPセグメントに関する問題である可能性があります。
Cisco IOS®ルータ：ルータの外部インターフェイス（トンネル終端インターフェイス）のMSS値の変更
ルータのOutsideインターフェイス（トンネル終端インターフェイス）のMSS値を変更するには、次のコマンドを実行します。
Router>enable Router#configure terminal Router(config)#interface ethernet0/1 Router(config-if)#ip tcp adjust-mss 1300 Router(config-if)#end
次のメッセージは、TCP MSSのデバッグ出力を表示します。
Router#debug ip tcp transactions Sep 5 18:42:46.247: TCP0: state was LISTEN -> SYNRCVD [23 -> 10.0.1.1(38437)] Sep 5 18:42:46.247: TCP: tcb 32290C0 connection to 10.0.1.1:38437, peer MSS 1300, MSS is 1300 Sep 5 18:42:46.247: TCP: sending SYN, seq 580539401, ack 6015751 Sep 5 18:42:46.247: TCP0: Connection to 10.0.1.1:38437, advertising MSS 1300 Sep 5 18:42:46.251: TCP0: state was SYNRCVD -> ESTAB [23 -> 10.0.1.1(38437)]
設定に従って、ルータのMSSを1300に調整します。詳細については、『ASAとCisco IOS®:VPNフラグメンテーション』を参照してください。
ASA:/ASAのドキュメントを参照
MTUサイズエラーメッセージとMSSの問題が発生するため、インターネットに正常にアクセスできない、またはトンネル経由での転送が遅くなる。この問題を解決するには、次のドキュメントを参照してください。
ASAからVPNトンネルを開始できない
問題
ASAインターフェイスから、トンネルの確立後にVPNトンネルを開始することはできません。リモートエンド/VPNクライアントがVPNトンネル上のASAの内部インターフェイスにpingを実行できない。たとえば、VPNクライアントは、VPNトンネル経由でインターフェイス内のASAへのSSHまたはHTTP接続を開始できません。
ソリューション
グローバルコンフィギュレーションモードでmanagement-accessコマンドが設定されていない限り、トンネルの反対側から内部インターフェイスにpingを送信できません。
ASA-02(config)#management-access inside ASA-02(config)#show management-access management-access inside
このコマンドは、VPNトンネル経由でのASAのInsideインターフェイスのSSHの開始またはHTTP接続も支援します。この情報は、DMZインターフェイスにも当てはまります。たとえば、/ASAのDMZインターフェイスに対してpingを実行する場合や、DMZインターフェイスからトンネルを起動する場合は、management-access DMZコマンドの実行が必要です。
ASA-02(config)#management-access DMZ
VPNクライアントが接続できない場合は、ESPおよびUDPポートが開いていることを確認します。ただし、これらのポートが開いていない場合は、VPNクライアント接続エントリでこのポートを選択して、TCP 10000での接続を試みてください。Modify > Transport Tab > IPsec over TCPの順に右クリックします。
VPN トンネルを介してトラフィックを渡すことができない
問題
VPNトンネルを介してトラフィックを渡すことはできません。
ソリューション
この問題は、ESPパケットがブロックされている場合にも発生する可能性があります。この問題を解決するには、VPNトンネルを再設定します。また、次の出力に示すように、データが暗号化されておらず、VPNトンネル経由でのみ復号化される場合にも発生する可能性があります。
ASA# sh crypto ipsec sa peer x.x.x.x
peer address: y.y.y.y
Crypto map tag: IPSec_map, seq num: 37, local addr: x.x.x.x
access-list test permit ip host xx.xx.xx.xx host yy.yy.yy.yy
local ident (addr/mask/prot/port): (xx.xx.xx.xx/255.255.255.255/0/0)
remote ident (addr/mask/prot/port): (yy.yy.yy.yy/255.255.255.255/0/0)
current_peer: y.y.y.y
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 393, #pkts decrypt: 393, #pkts verify: 393
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#send errors: 0, #recv errors: 0
この問題を解決するには、次の条件を確認します。
-
暗号アクセスリストがリモートサイトと一致し、NAT 0アクセスリストが正しいかどうか。
-
ルーティングが正しく、トラフィックが内部を通過するインターフェイスの外部をヒットする場合、サンプル出力は復号化が完了したことを示しますが、暗号化は行われません。
-
ASAでsimple permit connection-vpnコマンドが設定されているかどうか。設定されていない場合は、このコマンドを設定します。このコマンドは、インターフェイスACLチェックからASAへの暗号化/VPNトラフィックを除外するためです。
同じクリプトマップでのVPNトンネルのバックアップピアの設定
問題
単一の VPN トンネルで複数のバックアップ ピアを使用する必要があります。
ソリューション
複数のピアの設定は、フォールバックリストのプロビジョニングと同じです。トンネルごとに、セキュリティ アプライアンスはリスト内の最初のピアとネゴシエートしようとします。ピアが応答しない場合、セキュリティ アプライアンスはピアが応答するか、またはリストにピアがなくなるまで下に向かってリストを検索します。ASAには、プライマリピアとして設定されている暗号マップがあります。セカンダリピアは、プライマリピアの後に追加できます。この設定例では、プライマリ ピアが X.X.X.X、バックアップ ピアが Y.Y.Y.Y と示されています。
ASA(config)#crypto map mymap 10 set peer X.X.X.X Y.Y.Y.Y
VPN トンネルのディセーブル/再起動
問題
VPNトンネルを一時的に無効にしてサービスを再起動するには、このセクションで説明する手順を実行します。
ソリューション
グローバルコンフィギュレーションモードでcrypto map interfaceコマンドを実行し、インターフェイスに対する定義済みのクリプトマップセットを削除します。このコマンドのメモ型を実行して、クリプトマップセットをインターフェイスから削除します。
hostname(config)#no crypto map map-name interface interface-name
このコマンドは、アクティブなセキュリティアプライアンスインターフェイスに設定されている暗号マップセットを削除し、インターフェイス内のIPSec VPNトンネルを非アクティブに変更します。インターフェイス上で IPSec トンネルを再起動するには、該当インターフェイスが IPSec サービスを提供できるように、該当インターフェイスにクリプト マップ セットを割り当てる必要があります。
hostname(config)#crypto map map-name interface interface-name
一部のトンネルが暗号化されていない
問題
VPN ゲートウェイで、膨大な数のトンネルが設定されている場合、トンネルがトラフィックを渡さない場合があります。ASA は、これらのトンネルの暗号化パケットを受信しません。
ソリューション
この問題は、ASA がトンネルを介して暗号化パケットを渡すことができないためです。重複する暗号化ルールが ASP テーブル内に作成されます。
エラー：「%ASA-5-713904: Group = DefaultRAGroup, IP = x.x.x.x, ... unsupported Transaction Mode v2 version.Tunnel terminated」
問題
%ASA-5-713904: Group = DefaultRAGroup, IP = 192.0.2.0,... unsupported Transaction Mode v2 version.Tunnel terminatederrorメッセージが表示されます。
ソリューション
Transaction Mode v2エラーメッセージが表示される理由は、ASAがIKE Mode Config v6のみをサポートしており、旧v2モードバージョンをサポートしていないためです。IKE Mode Config v6を使用して、このエラーを解決します。
エラー:- %ASA-6-722036: Group client-group User xxxx IP x.x.x.x Transmitting large packet 1220 (threshold 1206)
問題
%ASA-6-722036: Group < client-group > User < xxxx > IP < x.x.x.x> Transmitting large packet 1220 (threshold 1206)エラーメッセージがASAのログに出力されます。このログの意味と解決方法を教えてください。
ソリューション
このログメッセージは、大きなパケットがクライアントに送信されたことを示します。パケットの送信元は、クライアントのMTUを認識していません。これは、圧縮不可能なデータの圧縮が原因である可能性があります。thesvc compression noneコマンドを使用して、SVC圧縮を無効にすることができます。これにより、問題が解決します。
VPNトンネルの一端でQoSが有効になっている場合のエラーメッセージ
問題
VPNトンネルの一端でQoSをイネーブルにすると、次のエラーメッセージを受け取る場合があります。
IPSEC: Received an ESP packet (SPI= 0xDB6E5A60, sequence number= 0x7F9F) from 10.18.7.11 (user= ghufhi) to 172.16.29.23 that failed anti-replay check
ソリューション
通常、このメッセージは、トンネルの一端でQoSが実行されている場合に発生します。これは、パケットが故障していると検出された場合に発生します。QoSをディセーブルにしてこれを停止することもできますが、トラフィックがトンネルを通過できる限り、無視してかまいません。
警告：クリプトマップエントリが不完全です
問題
crypto map mymap 20 ipsec-isakmpcommandを実行すると、「WARNING: crypto map entry incomplete
例：
ciscoasa(config)#crypto map mymap 20 ipsec-isakmp WARNING: crypto map entry incomplete
ソリューション
これは、新しいクリプトマップを定義するときの通常のアラートです。アクセスリスト(match address)、トランスフォームセット、ピアアドレスなどのパラメータは、正しく機能するように設定する前に設定する必要があることを示しています。暗号マップを定義するために入力する最初の行を確認することも標準であり、設定には表示されません。
エラー：- %ASA-4-400024: IDS:2151 Large ICMP Packet from the Interface Outside
問題
VPN トンネルを介して大きな ping パケットを渡すことができません。大きなpingパケットを渡そうとすると、「%ASA-4-400024: IDS:2151 Large ICMP packet from to on interface outside.
ソリューション
この問題を解決するには、シグニチャ2150および2151を無効にします。シグニチャを無効にすると、pingは正常に機能します。シグニチャを無効にするには、次のコマンドを実行します。
- ASA(config)#ip audit signature 2151 disable
- ASA(config)#ip audit signature 2150 disable
エラー：「%ASA-4-402119: IPSEC: Received a Protocol Packet (SPI=spi, sequence number= seq_num) from Remote_IP (username) to Local_IP that failed-anti-Replay Check」
問題
ASA のログ メッセージで次のエラーを受け取りました。
エラー：- %|ASA-4-402119: IPSEC：アンチリプレイチェックに失敗したプロトコルパケット(SPI=spi, sequence number= seq_num)をremote_IP (username)からlocal_IPに受信しました。
ソリューション
このエラーを解決するには、crypto to ipsec security-association replay window-sizeコマンドを実行して、ウィンドウサイズを変更します。
hostname(config)#crypto ipsec security-association replay window-size 1024
アンチリプレイの問題を排除するために、完全なウィンドウサイズ1024を使用することをお勧めします。
エラーメッセージ – %ASA-4-407001: Deny Traffic for local-host interface_name:inside_address, License Limit of Number Exceeded
問題
インターネットに接続できないホストがほとんどありません。このエラーメッセージは、syslogに表示されます：エラーメッセージ – %ASA-4-407001: Deny traffic for local-host interface_name:inside_address, license limit of number exceeded
ソリューション
このエラーメッセージは、ユーザ数が使用ライセンスのユーザ制限を超えたときに表示されます。このエラーは、ライセンスをアップグレードして、ユーザ数を増やすと解決できます。ユーザ ライセンスに含まれるユーザ数としては、50 名、100 名、または無制限を必要に応じて選択できます。
Error Message - %VPN_HW-4-PACKET_ERROR:
問題
エラーメッセージ「%VPN_HW-4-PACKET_ERROR:」のメッセージは、ルータが受信したHMACを含むESPパケットが一致していないことを示しています。このエラーは、次の問題が原因で発生する可能性があります。
-
欠陥のある VPN H/W モジュール
-
不正な ESP パケット
ソリューション
このエラーメッセージを解決するには、次の手順を実行します。
-
トラフィックの中断がない場合、エラー メッセージを無視します。
-
トラフィックの中断がある場合は、モジュールを交換します。
エラーメッセージ：コマンドが拒否されました：最初にVLAN XXXXとXXXXの間の暗号接続を削除してください
問題
スイッチのトランクポートに、許可されたVLANを追加しようとすると、このエラーメッセージが表示されます。Command rejected: delete crypto connection between VLAN XXXX and VLAN XXXX, first. WAN エッジ トランクは、追加の VLAN を許可するように変更できません。IPSEC VPN SPAトランクにVLANを追加できない場合。 このコマンドは、許可されたVLANリストに属する暗号化された接続インターフェイスVLANが発生するため拒否され、IPSecセキュリティ違反の可能性があります。
注：この動作はすべてのトランクポートに適用されます。
ソリューション
switchport trunk allowed vlan (vlanlist)コマンドの代わりに、switchport trunk allowed vlan nonecommandまたは"switchport trunk allowed vlan (vlanlist)"コマンドを実行します。
エラーメッセージ – % FW-3-RESPONDER_WND_SCALE_INI_NO_SCALE: Dropped Packet - Invalid Window Scale Option for Session x.x.x.x:27331 to x.x.x:23 [Initiator(flag 0,factor 0) Responder (flag 1, factor 2)]
問題
このエラーは、VPNトンネルの遠端のデバイスからTelnetを試行するか、ルータ自体からTelnetを試行した場合に発生します。エラーメッセージ – % FW-3-RESPONDER_WND_SCALE_INI+NO_SCALE: Dropped packet - Invalid Window Scale option for session x.x.x.x:27331 to x.x.x.x:23 pediaK[Initiator(flag 0,factor 0) Responder (flag 1, factor2)]
ソリューション
ユーザ ライセンスに含まれるユーザ数としては、50 名、100 名、または無制限を必要に応じて選択できます。ウィンドウスケール機能が追加され、ロングファットネットワーク(LFN)でのデータの高速伝送が可能になりました。 これらは通常、高帯域幅と高遅延の接続です。サテライト接続を使用するネットワークは、LFNの一例です。これは、サテライトリンクでは通常、高帯域幅で常に伝搬遅延が大きいためです。ウィンドウスケール機能でLFNをサポートするには、TCPウィンドウサイズが65,535を超える必要があります。このエラーメッセージは、TCPウィンドウサイズを65,535より大きくすれば解決できます。
%ASA-5-305013：非対称NATルールが順方向と逆方向で一致しました。Please update this issue flows
問題
VPNトンネルが起動すると、次のエラーメッセージが表示されます。%ASA-5-305013: Asymetric NAT rules matches for forward and reverse.この問題フローを更新してください。
ソリューション
NATを使用するホストと同じインターフェイス上にない場合にこの問題を解決するには、実際のアドレスの代わりにマッピングされたアドレスを使用してホストに接続します。また、アプリケーションにIPアドレスが埋め込まれている場合は、inspectcommandを有効にします。
%ASA-5-713068：非ルーチン通知メッセージを受信しました： notify_type
問題
VPNトンネルが起動に失敗すると、次のエラーメッセージが表示されます。%ASA-5-713068: Received non-routine Notify message: notify_type
ソリューション
このメッセージは、設定ミスが原因で発生します（ポリシーまたはACLがピアで同じ設定になっていない場合）。 ポリシーとACLが一致すると、トンネルは問題なく起動します。
%ASA-5-720012: (VPN-Secondary)スタンバイユニットでIPSecフェールオーバーランタイムデータを更新できませんでした（または） %ASA-6-720012: (VPN-unit)スタンバイユニットでIPSecフェールオーバーランタイムデータを更新できませんでした
問題
Cisco適応型セキュリティアプライアンス(ASA)をアップグレードしようとすると、次のいずれかのエラーメッセージが表示されます。
- %ASA-5-720012:(VPN-Secondary)スタンバイユニットでIPSecフェールオーバーランタイムデータの更新に失敗しました。
- %ASA-6-720012:(VPN-unit)スタンバイユニットでIPSecフェールオーバーランタイムデータの更新に失敗しました。
ソリューション
これらのエラーメッセージは有益な情報を提供するエラーであり、ASAまたはVPNの機能には影響しません。関連するIPsecトンネルがスタンバイユニットで削除されているために、VPNフェールオーバーサブシステムがIPsec関連のランタイムデータをアップデートできない場合に表示されます。これを解決するには、アクティブユニットでwr standbycommandを実行します。
エラー：「%ASA-3-713063: IKE Peer Address not configured for destination 0.0.0.0」
問題
%ASA-3-713063: IKE Peer address not configured for destination 0.0.0.0エラーメッセージが表示され、トンネルが表示されません。
ソリューション
このメッセージは、IKE ピア アドレスが L2L トンネルに対して設定されていない場合に表示されます。クリプトマップのシーケンス番号を変更した後、クリプトマップを削除してから再適用すると、エラーを解決できます。
エラー： %ASA-3-752006: Tunnel Manager Failed to Dispatch a KEY_ACQUIRE Message
問題
「%ASA-3-752006: Tunnel Manager failed to dispatch a KEY_ACQUIRE」メッセージCisco ASAにエラーメッセージが記録されます。
ソリューション
このエラー メッセージは、クリプト マップまたはトンネル グループの設定ミスによって発生する可能性があります。両方が正しく設定されていることを確認します。このエラーメッセージの詳細については、「エラー752006」を参照してください。
次に是正措置の一部を示します。
-
ダイナミックマップに関連付けられているクリプトACLを削除します。
-
未使用の IKEv2 関連の設定があれば削除します。
-
クリプトACLが正しく一致していることを確認します。
-
重複するアクセスリストエントリを削除します。
エラー： %ASA-4-402116: IPSEC: XX.XX.XX.XX (user= XX.XX.XX.XX)からYY.YY.YY.YYにESPパケット(SPI= 0x99554D4E、シーケンス番号= 0x9E)を受信しました
LAN-to-LAN VPN トンネルのセットアップでは、次のエラーが ASA の一端に表示されます。
カプセル化解除された内部パケットが、SAのネゴシエートされたポリシーと一致しません。
The packet specifies its destination as 10.32.77.67, its source as 10.105.30.1, and its protocol as icmp.
SAは、ローカルプロキシを10.32.77.67/255.255.255.255/ip/0と指定し、remote_proxyを10.105.42.192/255.255.255.224/ip/0と指定します。
ソリューション
VPNトンネルの両端で定義されている一意のトラフィックのアクセスリストを確認する必要があります。両方とも正確なミラーイメージとして一致している必要があります。
0xffffffffエラーにより、仮想アダプタをイネーブルにする64ビットVAインストーラを起動できない
問題
AnyConnectが接続に失敗すると、「failed to launch 64-bit VA installer to enable the virtual adapter due to error 0xffffffff」というログメッセージが表示されます。
ソリューション
この問題を解決するには、次の手順を実行します。
-
System > Internet Communication Management > Internet Communication settingsの順に選択し、Turn Off Automatic Root Certificates Updateis disabledになっていることを確認します。
-
ディセーブルになっている場合、影響を受けるマシンとテストに再度割り当てられたGPOのentireAdministrativeテンプレート部分をディセーブルにします。 詳細については、「自動ルート証明書アップデートをオフにする」を参照してください。
Cisco VPN ClientがWindows 7のデータカードで動作しない
問題
Cisco VPN Clientは、Windows 7のデータカードでは動作しません。
ソリューション
Windows 7にインストールされたCisco VPN Clientは、データカードがWindows 7マシンにインストールされたVPN Clientではサポートされていないため、3G接続では動作しません。
警告：「VPN機能がまったく動作しない可能性がある」
問題
ASAの外部インターフェイスでISAKMPを有効にしようとすると、次のアラートメッセージが表示されます。
ASA(config)# crypto isakmp enable outside WARNING, system is running low on memory. Performance may start to degrade. VPN functionality may not work at all.
SSHおよびHTTPSを介したASAへのアクセスが停止し、他のSSLクライアントも影響を受けます。
ソリューション
この問題は、ロガーやクリプトなどの異なるモジュールのメモリ要件が原因です。logging queue 0コマンドを使用していないことを確認します。これにより、キューサイズが8192に設定され、メモリ割り当てが増加します。ASA5505やASA5510などのプラットフォームでは、このメモリ割り当てによって他のモジュールのメモリが不足する傾向があります。
IPSec Padding エラー
問題
次のエラー メッセージが表示されます。
%ASA-3-402130: CRYPTO: Received an ESP packet (SPI = 0xXXXXXXX, sequence number= 0xXXXX) from x.x.x.x (user= user) to y.y.y.y with incorrect IPsec padding
ソリューション
この問題は、IPSec VPNがハッシュアルゴリズムなしでネゴシエートするために発生します。パケットハッシュにより、ESPチャネルの整合性チェックが保証されます。そのため、ハッシュがないと、不正なパケットはCisco ASAで検出されずに受け入れられ、これらのパケットの復号化が試みられます。ただし、これらのパケットは不正であるため、ASAはパケットの復号化中に欠陥を検出します。この結果、パディング エラー メッセージが表示されます。VPNのトランスフォームセットにハッシュアルゴリズムを含め、ピア間のリンクのパケットの最小変形量を確保することをお勧めします。
VPNトンネルが18時間ごとに接続解除される
問題
ライフタイムが24時間に設定されていても、VPNトンネルは18時間ごとに接続解除されます。
ソリューション
ライフタイムは、SAがキー再生成に使用できる最大時間です。設定でライフタイムとして入力する値は、SA の鍵再生成時間によって異なります。現在のSAが期限切れになる前に、新しいSA（IPSecの場合はSAペア）をネゴシエートする必要があります。最初のキー再生成が失敗した場合に複数回試行できるように、キー再生成時間はライフタイムよりも短くする必要があります。
RFCでは、キー再生成時間の計算方法は指定されていません。これはあなたの裁量に任されているので、時間はプラットフォームによって異なります。一部の実装では、鍵再生成タイマーを計算するために任意の係数を使用できます。たとえば、ASAがトンネルを開始する場合、64800秒= 86400の75 %でキー再生成するのは通常の動作です。ルータが開始する場合、ASAはキー再生成を開始するピアにより多くの時間を提供するまで、より長く待機できます。そのため、VPNネゴシエーションに別のキーを使用するために、VPNセッションが18時間ごとに接続解除されるのは正常です。
LAN-to-LANトンネルが再ネゴシエートされた後にトラフィックフローが維持されない
問題
LAN to LAN トンネルが再ネゴシエートされた後に、トラフィック フローが維持されません。
ソリューション
ASAは、通過するすべての接続を監視し、アプリケーションインスペクション機能に従って状態テーブルのエントリを維持します。VPNを通過する暗号化されたトラフィックの詳細は、セキュリティアソシエーション(SA)データベースの形式で維持されます。LAN to LAN VPN 接続では、2 つの異なるトラフィック フローが維持されます。1つは、VPNゲートウェイ間の暗号化されたトラフィックです。もう 1 つは VPN ゲートウェイの背後にあるネットワーク リソースと反対側の背後にあるエンド ユーザ間のトラフィック フローです。
VPN を終了すると、この特定 SA のフロー詳細は削除されます。ただし、この TCP 接続用に ASA によって維持されていた状態テーブル エントリは、アクティビティがないために古くなり、これがダウンロードを妨害します。つまり、ユーザアプリケーションが終了している間、ASAはその特定のフローのTCP接続を保持します。TCPアイドルタイマーの期限が切れると、TCP接続が異常になり、最終的にタイムアウトになります。この問題は、Persistent IPSec Tunneled Flowsと呼ばれる機能の導入で解決されています。新しいコマンドのsysopt connection preserve-vpn-flowsがCisco ASAに統合され、VPNトンネルの再ネゴシエーション時に状態テーブルの情報を保持するようになりました。
デフォルトでは、このコマンドはディセーブルです。これを可能にするために、L2L VPNが中断から回復してトンネルを再確立するときに、Cisco ASAはTCP状態テーブル情報を維持します。
エラー メッセージは帯域幅が暗号化機能のために達したことを示す
問題
次のエラー メッセージが 2900 シリーズ ルータで受信されます。
エラー： 3月20日10:51:29: %CERM-4-TX_BW_LIMIT: Maximum Tx Bandwidth limit of 8500 Kbps reached for Crypto functionality with securityk9 technology package license.
ソリューション
これは、米国政府によって発行された厳格なガイドラインのために発生する既知の問題です。securityk9ライセンスに従い、90 Mbpsに近いレートまでのペイロード暗号化のみを許可し、デバイスへの暗号化されたトンネル/TLSセッションの数を制限します。暗号化の輸出制限の詳細については、『Cisco ISR G2 SEC and HSEC Licensing』を参照してください。
シスコデバイスの場合、双方向の合計が170 MbpsのISR G2ルータで送受信される単方向トラフィックは85 Mbps未満と算出されます。この要件は、Cisco 1900、2900、および3900 ISR G2プラットフォームに適用されます。このコマンドは、次の制限を表示するのに役立ちます。
Router#show platform cerm-information Crypto Export Restrictions Manager(CERM) Information: CERM functionality: ENABLED ---------------------------------------------------------------- Resource Maximum Limit Available ---------------------------------------------------------------- Tx Bandwidth(in kbps) 85000 85000 Rx Bandwidth(in kbps) 85000 85000 Number of tunnels 225 225 Number of TLS sessions 1000 1000 ---Output truncated----
この問題を回避するには、HSECK9ライセンスを購入します。「hseck9」機能ライセンスは、強化されたペイロード暗号化機能と、増加したVPNトンネル数およびセキュアな音声セッションを提供します。Cisco ISRルータライセンスの詳細については、『ソフトウェアアクティベーション』を参照してください。
問題：着信復号トラフィックが動作しても、IPSecトンネルの発信暗号化トラフィックが失敗する
ソリューション
この問題は、複数のキー再生成後のIPSec接続で発生しますが、トリガー条件は不明です。この問題の存在は、theshow asp dropcommandの出力を調べて、Expired VPN contextカウンタが発信パケットごとに増加することを確認することで確立できます。
その他
show crypto isakmp sa コマンドと debug コマンドの出力に AG_INIT_EXCH メッセージが表示される
トンネルが始動されないと、AG_INIT_EXCHメッセージがtheshow crypto isakmp コマンドの出力とdebug出力にも表示されます。この理由は、ISAKMPポリシーの不一致、またはUDPポート500がブロックされているかどうかに関連している可能性があります。
「Received an IPC message during invalid state」というデバッグ メッセージが表示される
このメッセージは情報提供のためのものであり、VPN トンネルの接続解除に対応するものではありません。
関連情報
- ASAおよびCisco IOS®:VPNフラグメンテーション
- Cisco ASA 5500 シリーズ セキュリティ アプライアンス
- IPSec ネゴシエーション/IKE プロトコル
- テクニカル サポートとドキュメント – Cisco Systems
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
22-Jul-2026
|
スペル、文法、読みやすさを考慮したセクションへの水平線の挿入、CCWアラートの修正を更新。 |
1.0 |
31-Mar-2014
|
初版 |
フィードバック