목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

표기 규칙

네트워크 다이어그램

배경 정보

구성에 추가 L2L 터널 추가

단계별 지침

컨피그레이션 예

구성에 원격 액세스 VPN 추가

단계별 지침

컨피그레이션 예

다음을 확인합니다.

문제 해결

관련 정보

소개

이 문서에서는 IOS 라우터에 이미 존재하는 L2L VPN 구성에 새 L2L VPN 터널 또는 원격 액세스 VPN을 추가하는 데 필요한 단계를 제공합니다.

사전 요구 사항

요구 사항

이 컨피그레이션을 시도하기 전에 현재 작동 중인 L2L IPSec VPN 터널을 올바르게 구성해야 합니다.

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

- 소프트웨어 버전 12.4 및 12.2를 실행하는 2개의 IOS 라우터

- 소프트웨어 버전 8.0을 실행하는 Cisco ASA(Adaptive Security Appliance) 1개

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다.이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다.현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

표기 규칙

문서 규칙에 대한 자세한 내용은 Cisco 기술 팁 규칙을 참조하십시오.

네트워크 다이어그램

이 문서에서는 다음 네트워크 설정을 사용합니다.

이러한 출력은 HQ(허브) 라우터 및 BO1(Branch Office 1) ASA의 현재 실행 중인 컨피그레이션입니다.이 컨피그레이션에는 HQ와 BO1 ASA 간에 구성된 IPSec L2L 터널이 있습니다.

현재 HQ(허브) 라우터 컨피그레이션

HQ_HUB#show running-config

Building configuration...

Current configuration : 1680 bytes

!

version 12.4

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname HQ_HUB

!

boot-start-marker

boot-end-marker

!

!

no aaa new-model

!

resource policy

!

!--- Output is suppressed.

!

ip cef

!

!

crypto isakmp policy 10

encr 3des

authentication pre-share

group 2

crypto isakmp key cisco123 address 192.168.11.2

!

!

crypto ipsec transform-set newset esp-3des esp-md5-hmac

!

crypto map map1 5 ipsec-isakmp

set peer 192.168.11.2

set transform-set newset

match address VPN_BO1

!

!

!

!

interface Ethernet0/0

ip address 10.10.10.1 255.255.255.0

ip nat inside

interface Serial2/0

ip address 192.168.10.10 255.255.255.0

ip nat outside

ip virtual-reassembly

clock rate 64000

crypto map map1

!

interface Serial2/1

no ip address

shutdown

!

ip http server

no ip http secure-server

!

ip route 0.0.0.0 0.0.0.0 192.168.10.1

!

ip nat inside source route-map nonat interface Serial2/0 overload

!

ip access-list extended NAT_Exempt

deny ip 10.10.10.0 0.0.0.255 172.16.1.0 0.0.0.255

permit ip 10.10.10.0 0.0.0.255 any

ip access-list extended VPN_BO1

permit ip 10.10.10.0 0.0.0.255 172.16.1.0 0.0.0.255

!

route-map nonat permit 10

match ip address NAT_Exempt

!

!

control-plane

!

line con 0

line aux 0

line vty 0 4

!

!

end

HQ_HUB#

BO1 ASA 컨피그레이션

CiscoASA#show running-config

: Saved

:

ASA Version 8.0(2)

!

hostname CiscoASA

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet0

nameif inside

security-level 100

ip address 172.16.1.1 255.255.255.0

!

interface Ethernet1

nameif outside

security-level 0

ip address 192.168.11.2 255.255.255.0

!

!--- Output is suppressed.

!

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

access-list 100 extended permit ip 172.16.1.0 255.255.255.0 10.10.10.0 255.255.255.0

access-list nonat extended permit ip 172.16.1.0 255.255.255.0 10.10.10.0 255.255.255.0

access-list ICMP extended permit icmp any any

pager lines 24

mtu outside 1500

mtu inside 1500

no failover

icmp unreachable rate-limit 1 burst-size 1

asdm image flash:/asdm-602.bin

no asdm history enable

arp timeout 14400

global (outside) 1 interface

nat (inside) 0 access-list nonat

nat (inside) 1 10.10.10.0 255.255.255.0

access-group ICMP in interface outside

route outside 0.0.0.0 0.0.0.0 192.168.11.1 1

snmp-server enable traps snmp authentication linkup linkdown coldstart

crypto ipsec transform-set newset esp-3des esp-md5-hmac

crypto map map1 5 match address 100

crypto map map1 5 set peer 192.168.10.10

crypto map map1 5 set transform-set newset

crypto map map1 interface outside

crypto isakmp enable outside

crypto isakmp policy 1

authentication pre-share

encryption 3des

hash sha

group 2

lifetime 86400

crypto isakmp policy 65535

authentication pre-share

encryption 3des

hash sha

group 2

lifetime 86400

telnet timeout 5

ssh timeout 5

console timeout 0

threat-detection basic-threat

threat-detection statistics access-list

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect h323 h225

inspect h323 ras

inspect netbios

inspect rsh

inspect rtsp

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

inspect sip

inspect xdmcp

!

service-policy global_policy global

tunnel-group 192.168.10.10 type ipsec-l2l

tunnel-group 192.168.10.10 ipsec-attributes

pre-shared-key *

prompt hostname context

Cryptochecksum:d41d8cd98f00b204e9800998ecf8427e

: end

CiscoASA#

배경 정보

현재 HQ 사무실과 BO1 사무실 사이에 설치된 기존 L2L 터널이 있습니다.귀사는 최근 새로운 지사(BO2)를 개설했습니다. 이 새 사무소는 본사 사무실에 있는 로컬 리소스에 연결해야 합니다.또한 직원이 재택 근무 기회를 제공하고 내부 네트워크에 원격으로 있는 리소스에 안전하게 액세스할 수 있도록 해야 하는 추가적인 요구 사항이 있습니다.이 예에서는 새 VPN 터널과 HQ 사무실에 있는 원격 액세스 VPN 서버가 구성됩니다.

구성에 추가 L2L 터널 추가

이 구성에 대한 네트워크 다이어그램입니다.

단계별 지침

이 섹션에서는 허브 HQ 라우터에서 수행해야 하는 필수 절차를 제공합니다.

다음 단계를 완료하십시오.

1. 흥미로운 트래픽을 정의하기 위해 암호화 맵에서 사용할 이 새 액세스 목록을 생성합니다.

HQ_HUB(config)#ip access-list extended VPN_BO2

HQ_HUB(config-ext-nacl)#permit ip 10.10.10.0 0.0.0.255 10.20.20.0 0.0.0.255

HQ_HUB(config-ext-nacl)#exit

경고: 통신이 이루어지려면 터널의 반대쪽에 해당 특정 네트워크에 대한 이 ACL(Access Control List) 항목의 반대편이 있어야 합니다.

2. 이러한 네트워크 간의 연결을 제외하려면 no nat 문에 다음 항목을 추가합니다.

HQ_HUB(config)#ip access-list extended NAT_Exempt

HQ_HUB(config-ext-nacl)#deny ip 10.10.10.0 0.0.0.255 10.20.20.0 0.0.0.255

HQ_HUB(config-ext-nacl)#permit ip 10.10.10.0 0.0.0.255 any

다음 ACL을 기존 경로 맵에 비:

HQ_HUB(config)#route-map nonat permit 10

HQ_HUB(config-route-map)#match ip address NAT_Exempt

HQ_HUB(config)#ip nat inside source route-map nonat interface Serial2/0 overload

경고: 통신이 이루어지려면 터널의 반대쪽에 해당 특정 네트워크에 대한 이 ACL 항목의 반대편이 있어야 합니다.

3. 다음과 같이 1단계 컨피그레이션에서 피어 주소를 지정합니다.

HQ_HUB(config)#crypto isakmp key cisco123 address 192.168.12.2

참고: 사전 공유 키는 터널의 양쪽에서 정확히 일치해야 합니다.

4. 새 VPN 터널에 대한 암호화 맵 컨피그레이션을 생성합니다.모든 2단계 설정이 동일하므로 첫 번째 VPN 컨피그레이션에서 사용된 것과 동일한 변형 집합을 사용합니다.

HQ_HUB(config)#crypto map map1 10 ipsec-isakmp

HQ_HUB(config-crypto-map)#set peer 192.168.12.2

HQ_HUB(config-crypto-map)#set transform-set newset

HQ_HUB(config-crypto-map)#match address VPN_BO2

5. 이제 새 터널을 구성했으므로 터널을 작동하려면 흥미로운 트래픽을 터널을 통과해야 합니다.이를 수행하려면 extended ping 명령을 실행하여 원격 터널 내부 네트워크에서 호스트를 ping합니다.

이 예에서는 10.20.20.16 주소가 있는 터널의 반대쪽에 있는 워크스테이션에 ping이 수행됩니다.그러면 HQ와 BO2 간에 터널이 연결되며, 이제 HQ 사무실에 두 개의 터널이 연결됩니다.터널 뒤에 있는 시스템에 액세스할 수 없는 경우 Most Common L2L and Remote Access IPSec VPN Troubleshooting Solutions(가장 일반적인 L2L 및 원격 액세스 IPSec VPN 문제 해결 솔루션)를 참조하여 관리 액세스를 사용하여 대체 솔루션을 찾으십시오.

컨피그레이션 예

HUB_HQ - 새 L2L VPN 터널 구성 추가

HQ_HUB#show running-config

Building configuration...

Current configuration : 2230 bytes

!

version 12.4

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname HQ_HUB

!

boot-start-marker

boot-end-marker

!

!

no aaa new-model

!

resource policy

!

ip cef

!

crypto isakmp policy 10

authentication pre-share

encryption 3des

group 2

crypto isakmp key cisco123 address 192.168.11.2

crypto isakmp key cisco123 address 192.168.12.2

!

!

crypto ipsec transform-set newset esp-3des esp-md5-hmac

!

crypto map map1 5 ipsec-isakmp

set peer 192.168.11.2

set transform-set newset

match address VPN_BO1

crypto map map1 10 ipsec-isakmp

set peer 192.168.12.2

set transform-set newset

match address VPN_BO2

!

!

interface Ethernet0/0

ip address 10.10.10.1 255.255.255.0

ip nat inside

ip virtual-reassembly

!

interface Serial2/0

ip address 192.168.10.10 255.255.255.0

ip nat outside

ip virtual-reassembly

clock rate 64000

crypto map map1

!

!

ip http server

no ip http secure-server

!

ip route 0.0.0.0 0.0.0.0 192.168.10.1

!

ip nat inside source route-map nonat interface Serial2/0 overload

!

ip access-list extended NAT_Exempt

deny ip 10.10.10.0 0.0.0.255 172.16.1.0 0.0.0.255

deny ip 10.10.10.0 0.0.0.255 10.20.20.0 0.0.0.255

permit ip 10.10.10.0 0.0.0.255 any

ip access-list extended VPN_BO1

permit ip 10.10.10.0 0.0.0.255 172.16.1.0 0.0.0.255

ip access-list extended VPN_BO2

permit ip 10.10.10.0 0.0.0.255 10.20.20.0 0.0.0.255

!

route-map nonat permit 10

match ip address NAT_Exempt

!

!

control-plane

!

!

!

line con 0

line aux 0

line vty 0 4

!

!

end

HQ_HUB#

BO2 L2L VPN 터널 구성

BO2#show running-config

Building configuration...

3w3d: %SYS-5-CONFIG_I: Configured from console by console

Current configuration : 1212 bytes

!

version 12.1

no service single-slot-reload-enable

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname BO2

!

!

!

!

!

!

ip subnet-zero

!

!

!

crypto isakmp policy 10

authentication pre-share

encryption 3des

group 2

crypto isakmp key cisco123 address 192.168.10.10

!

!

crypto ipsec transform-set newset esp-3des esp-md5-hmac

!

crypto map map1 5 ipsec-isakmp

set peer 192.168.10.10

set transform-set newset

match address 100

!

!

!

!

interface Ethernet0

ip address 10.20.20.10 255.255.255.0

ip nat inside

!

!

interface Ethernet1

ip address 192.168.12.2 255.255.255.0

ip nat outside

crypto map map1

!

interface Serial0

no ip address

no fair-queue

!

interface Serial1

no ip address

shutdown

!

ip nat inside source route-map nonat interface Ethernet1 overload

ip classless

ip route 0.0.0.0 0.0.0.0 192.168.12.1

ip http server

!

access-list 100 permit ip 10.20.20.0 0.0.0.255 10.10.10.0 0.0.0.255

access-list 150 deny ip 10.20.20.0 0.0.0.255 10.10.10.0 0.0.0.255

access-list 150 permit ip 10.20.20.0 0.0.0.255 any

route-map nonat permit 10

match ip address 150

!

!

!

line con 0

line aux 0

line vty 0 4

login

!

end

BO2#

구성에 원격 액세스 VPN 추가

이 구성에 대한 네트워크 다이어그램입니다.

이 예에서는 스플릿 터널링이라는 기능이 사용됩니다.이 기능을 사용하면 원격 액세스 IPSec 클라이언트가 IPSec 터널을 통해 암호화된 형식으로 또는 일반 텍스트 형식으로 네트워크 인터페이스에 패킷을 조건부로 전달할 수 있습니다.스플릿 터널링이 활성화되면 IPSec 터널의 반대쪽에 있는 대상에 대해 바인딩되지 않은 패킷은 암호화되지 않아도 되며 터널을 통해 전송되거나 해독된 다음 최종 대상으로 라우팅될 수 있습니다.이 개념은 스플릿 터널링 정책을 지정된 네트워크에 적용합니다.기본값은 모든 트래픽을 터널링하는 것입니다.스플릿 터널링 정책을 설정하려면 인터넷에 대한 트래픽에 대해 언급할 수 있는 ACL을 지정합니다.

단계별 지침

이 섹션에서는 원격 액세스 기능을 추가하고 원격 사용자가 모든 사이트에 액세스할 수 있도록 하는 데 필요한 절차를 제공합니다.

다음 단계를 완료하십시오.

1. VPN 터널을 통해 연결하는 클라이언트에 사용할 IP 주소 풀을 생성합니다.또한 컨피그레이션이 완료되면 VPN에 액세스하기 위해 기본 사용자를 생성합니다.

- HQ_HUB(config)#ip local pool ippool 10.10.120.10 10.10.120.50

- HQ_HUB(config)#username vpnuser password 0 vpnuser123

2. 특정 트래픽이 시작되지 않도록 합니다.

HQ_HUB(config)#ip access-list extended NAT_Exempt

HQ_HUB(config-ext-nacl)#deny ip 10.10.10.0 0.0.0.255 10.10.120.0 0.0.0.255

HQ_HUB(config-ext-nacl)#deny ip 10.10.120.0 0.0.0.255 10.20.20.0 0.0.0.255

HQ_HUB(config-ext-nacl)#deny ip 10.10.120.0 0.0.0.255 172.16.1.0 0.0.0.255

HQ_HUB(config-ext-nacl)#permit ip host 10.10.10.0 any

HQ_HUB(config-ext-nacl)#exit

다음 ACL을 기존 경로 맵에 비:

HQ_HUB(config)#route-map nonat permit 10

HQ_HUB(config-route-map)#match ip address NAT_Exempt

HQ_HUB(config)#ip nat inside source route-map nonat interface Serial2/0 overload

이 예에서는 VPN 터널 간의 nat 통신이 면제됩니다.

3. 기존 L2L 터널과 원격 액세스 VPN 사용자 간의 통신을 허용합니다.

HQ_HUB(config)#ip access-list extended VPN_BO1

HQ_HUB(config-ext-nacl)#permit ip 10.10.120.0 0.0.0.255 172.16.1.0 0.0.0.255

HQ_HUB(config-ext-nacl)#exit

HQ_HUB(config)#ip access-list extended VPN_BO2

HQ_HUB(config-ext-nacl)#permit ip 10.10.120.0 0.0.0.255 10.20.20.0 0.0.0.255

HQ_HUB(config-ext-nacl)#exit

이렇게 하면 원격 액세스 사용자가 지정된 터널 뒤의 네트워크와 통신할 수 있습니다.

경고: 통신이 이루어지려면 터널의 반대쪽에 해당 특정 네트워크에 대한 이 ACL 항목의 반대편이 있어야 합니다.

4. 스플릿 터널링 구성

VPN 연결에 대해 스플릿 터널링을 활성화하려면 라우터에서 ACL을 구성해야 합니다.이 예에서 access-list split_tunnel 명령은 스플릿 터널링을 위해 그룹과 연결되며 터널은 10.10.10.0 /24 및 10.20.20.0/24 및 172.16.1.0/24 네트워크로 구성됩니다.트래픽은 ACL 스플릿 터널에 없는 디바이스(예: 인터넷)로 암호화되지 않은 상태로 이동합니다.

HQ_HUB(config)#ip access-list extended split_tunnel

HQ_HUB(config-ext-nacl)#permit ip 10.10.10.0 0.0.0.255 10.10.120.0 0.0.0.255

HQ_HUB(config-ext-nacl)#permit ip 10.20.20.0 0.0.0.255 10.10.120.0 0.0.0.255

HQ_HUB(config-ext-nacl)#permit ip 172.16.1.0 0.0.0.255 10.10.120.0 0.0.0.255

HQ_HUB(config-ext-nacl)#exit

5. 로컬 인증, 권한 부여 및 클라이언트 구성 정보(예: wins, dns)를 구성합니다.VPN 클라이언트에 대한 흥미로운 트래픽 acl 및 ip 풀

HQ_HUB(config)#aaa new-model

HQ_HUB(config)#aaa authentication login userauthen local

HQ_HUB(config)#aaa authorization network groupauthor local

HQ_HUB(config)#crypto isakmp client configuration group vpngroup

HQ_HUB(config-isakmp-group)#key cisco123

HQ_HUB(config-isakmp-group)#dns 10.10.10.10

HQ_HUB(config-isakmp-group)#wins 10.10.10.20

HQ_HUB(config-isakmp-group)#domain cisco.com

HQ_HUB(config-isakmp-group)#pool ippool

HQ_HUB(config-isakmp-group)#acl split_tunnel

HQ_HUB(config-isakmp-group)#exit

6. VPN 터널 생성에 필요한 동적 맵 및 암호화 맵 정보를 구성합니다.

HQ_HUB(config)#crypto isakmp profile vpnclient

HQ_HUB(config-isakmp-group)#match identity group vpngroup

HQ_HUB(config-isakmp-group)#client authentication list userauthen

HQ_HUB(config-isakmp-group)#isakmp authorization list groupauthor

HQ_HUB(config-isakmp-group)#client configuration address respond

HQ_HUB(config-isakmp-group)#exit

HQ_HUB(config)#crypto dynamic-map dynmap 10

HQ_HUB(config-crypto-map)#set transform-set newset

HQ_HUB(config-crypto-map)#set isakmp-profile vpnclient

HQ_HUB(config-crypto-map)#reverse-route

HQ_HUB(config-crypto-map)#exit

HQ_HUB(config)#crypto map map1 65535 ipsec-isakmp dynamic dynmap

HQ_HUB(config)#interface serial 2/0

HQ_HUB(config-if)#crypto map map1

컨피그레이션 예

구성 예 2

HQ_HUB#show running-config

Building configuration...

Current configuration : 3524 bytes

!

version 12.4

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname HQ_HUB

!

boot-start-marker

boot-end-marker

!

!

aaa new-model

!

!

aaa authentication login userauthen local

aaa authorization network groupauthor local

!

aaa session-id common

!

resource policy

!

!

!

ip cef

!

!

!--- Output is suppressed

!

username vpnuser password 0 vpnuser123

!

!

!

crypto isakmp policy 10

authentication pre-share

encryption 3des

group 2

crypto isakmp key cisco123 address 192.168.11.2

crypto isakmp key cisco123 address 192.168.12.2

!

crypto isakmp client configuration group vpngroup

key cisco123

dns 10.10.10.10

wins 10.10.10.20

domain cisco.com

pool ippool

acl split_tunnel

crypto isakmp profile vpnclient

match identity group vpngroup

client authentication list userauthen

isakmp authorization list groupauthor

client configuration address respond

!

!

crypto ipsec transform-set newset esp-3des esp-md5-hmac

crypto ipsec transform-set remote-set esp-3des esp-md5-hmac

!

crypto dynamic-map dynmap 10

set transform-set remote-set

set isakmp-profile vpnclient

reverse-route

!

!

crypto map map1 5 ipsec-isakmp

set peer 192.168.11.2

set transform-set newset

match address VPN_BO1

crypto map map1 10 ipsec-isakmp

set peer 192.168.12.2

set transform-set newset

match address VPN_BO2

crypto map map1 65535 ipsec-isakmp dynamic dynmap

!

!

interface Ethernet0/0

ip address 10.10.10.1 255.255.255.0

ip nat inside

ip virtual-reassembly

!

interface Serial2/0

ip address 192.168.10.10 255.255.255.0

ip nat outside

ip virtual-reassembly

clock rate 64000

crypto map map1

!

!

ip local pool ippool 10.10.120.10 10.10.120.50

ip http server

no ip http secure-server

!

ip route 0.0.0.0 0.0.0.0 192.168.10.1

!

ip nat inside source route-map nonat interface Serial2/0 overload

!

ip access-list extended NAT_Exempt

deny ip 10.10.10.0 0.0.0.255 172.16.1.0 0.0.0.255

deny ip 10.10.10.0 0.0.0.255 10.20.20.0 0.0.0.255

deny ip 10.10.10.0 0.0.0.255 10.10.120.0 0.0.0.255

deny ip 10.10.120.0 0.0.0.255 10.20.20.0 0.0.0.255

deny ip 10.10.120.0 0.0.0.255 172.16.1.0 0.0.0.255

permit ip host 10.10.10.0 any

ip access-list extended VPN_BO1

permit ip 10.10.10.0 0.0.0.255 172.16.1.0 0.0.0.255

permit ip 10.10.120.0 0.0.0.255 172.16.1.0 0.0.0.255

ip access-list extended VPN_BO2

permit ip 10.10.10.0 0.0.0.255 10.20.20.0 0.0.0.255

permit ip 10.10.120.0 0.0.0.255 10.20.20.0 0.0.0.255

ip access-list extended split_tunnel

permit ip 10.10.10.0 0.0.0.255 10.10.120.0 0.0.0.255

permit ip 10.20.20.0 0.0.0.255 10.10.120.0 0.0.0.255

permit ip 172.16.1.0 0.0.0.255 10.10.120.0 0.0.0.255

!

route-map nonat permit 10

match ip address NAT_Exempt

!

!

control-plane

!

line con 0

line aux 0

line vty 0 4

!

!

end

HQ_HUB#

다음을 확인합니다.

이 섹션을 사용하여 컨피그레이션이 제대로 작동하는지 확인합니다.

Output Interpreter 도구(등록된 고객만 해당)(OIT)는 특정 show 명령을 지원합니다.OIT를 사용하여 show 명령 출력의 분석을 봅니다.

- ping - 이 명령을 사용하면 표시된 대로 L2L VPN 터널을 시작할 수 있습니다.

확장 Ping

HQ_HUB#ping

!--- In order to make the L2L VPN tunnel with BO1 !--- to be established.

Protocol [ip]:

Target IP address: 172.16.1.2

Repeat count [5]:

Datagram size [100]:

Timeout in seconds [2]:

Extended commands [n]: y

Source address or interface: 10.10.10.1

Type of service [0]:

Set DF bit in IP header? [no]:

Validate reply data? [no]:

Data pattern [0xABCD]:

Loose, Strict, Record, Timestamp, Verbose[none]:

Sweep range of sizes [n]:

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.1.2, timeout is 2 seconds:

Packet sent with a source address of 10.10.10.1

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 132/160/172 ms

HQ_HUB#ping

!--- In order to make the L2L VPN tunnel with BO2 !--- to be established.

Protocol [ip]:

Target IP address: 10.20.20.10

Repeat count [5]:

Datagram size [100]:

Timeout in seconds [2]:

Extended commands [n]: y

Source address or interface: 10.10.10.1

Type of service [0]:

Set DF bit in IP header? [no]:

Validate reply data? [no]:

Data pattern [0xABCD]:

Loose, Strict, Record, Timestamp, Verbose[none]:

Sweep range of sizes [n]:

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.20.20.10, timeout is 2 seconds:

Packet sent with a source address of 10.10.10.1

....!

Success rate is 20 percent (1/5), round-trip min/avg/max = 64/64/64 ms

crypto isakmp sa 표시

HQ_HUB#show crypto isakmp sa

dst             src             state          conn-id slot status

192.168.12.2    192.168.10.10   QM_IDLE              2    0 ACTIVE

192.168.11.2    192.168.10.10   QM_IDLE              1    0 ACTIVE

crypto ipsec sa 표시

HQ_HUB#show crypto ipsec sa

interface: Serial2/0

Crypto map tag: map1, local addr 192.168.10.10

protected vrf: (none)

local  ident (addr/mask/prot/port): (10.10.120.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (172.16.1.0/255.255.255.0/0/0)

current_peer 192.168.11.2 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 192.168.10.10, remote crypto endpt.: 192.168.11.22

path mtu 1500, ip mtu 1500, ip mtu idb Serial2/0

current outbound spi: 0x0(0)

inbound esp sas:

inbound ah sas:

inbound pcp sas:

outbound esp sas:

outbound ah sas:

outbound pcp sas:

local crypto endpt.: 192.168.10.10, remote crypto endpt.: 192.168.12.2

path mtu 1500, ip mtu 1500, ip mtu idb Serial2/0

current outbound spi: 0x0(0)

inbound esp sas:

inbound ah sas:

inbound pcp sas:

outbound esp sas:

outbound ah sas:

outbound pcp sas:

protected vrf: (none)

local  ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.20.20.0/255.255.255.0/0/0)

current_peer 192.168.12.2 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 1, #pkts encrypt: 1, #pkts digest: 1

#pkts decaps: 1, #pkts decrypt: 1, #pkts verify: 1

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 4, #recv errors 0

local crypto endpt.: 192.168.10.10, remote crypto endpt.: 192.168.12.2

path mtu 1500, ip mtu 1500, ip mtu idb Serial2/0

current outbound spi: 0xF1328(987944)

inbound esp sas:

spi: 0xAD07C262(2902966882)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

conn id: 2004, flow_id: SW:4, crypto map: map1

sa timing: remaining key lifetime (k/sec): (4601612/3292)

IV size: 8 bytes

replay detection support: Y

Status: ACTIVE

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xF1328(987944)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

conn id: 2003, flow_id: SW:3, crypto map: map1

sa timing: remaining key lifetime (k/sec): (4601612/3291)

IV size: 8 bytes

replay detection support: Y

Status: ACTIVE

outbound ah sas:

outbound pcp sas:

protected vrf: (none)

local  ident (addr/mask/prot/port): (10.10.120.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.20.20.0/255.255.255.0/0/0)

current_peer 192.168.12.2 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 192.168.10.10, remote crypto endpt.: 192.168.12.2

path mtu 1500, ip mtu 1500, ip mtu idb Serial2/0

current outbound spi: 0x0(0)

inbound esp sas:

inbound ah sas:

inbound pcp sas:

outbound esp sas:

outbound ah sas:

outbound pcp sas:

protected vrf: (none)

local  ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (172.16.1.0/255.255.255.0/0/0)

current_peer 192.168.11.2 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest: 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify: 4

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 11, #recv errors 0

local crypto endpt.: 192.168.10.10, remote crypto endpt.: 192.168.11.2

path mtu 1500, ip mtu 1500, ip mtu idb Serial2/0

current outbound spi: 0x978B3F93(2542485395)

inbound esp sas:

spi: 0x2884F32(42487602)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

conn id: 2002, flow_id: SW:2, crypto map: map1

sa timing: remaining key lifetime (k/sec): (4421529/3261)

IV size: 8 bytes

replay detection support: Y

Status: ACTIVE

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0x978B3F93(2542485395)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

conn id: 2001, flow_id: SW:1, crypto map: map1

sa timing: remaining key lifetime (k/sec): (4421529/3261)

IV size: 8 bytes

replay detection support: Y

Status: ACTIVE

outbound ah sas:

outbound pcp sas:

local crypto endpt.: 192.168.10.10, remote crypto endpt.: 192.168.12.2

path mtu 1500, ip mtu 1500, ip mtu idb Serial2/0

current outbound spi: 0x0(0)

inbound esp sas:

inbound ah sas:

inbound pcp sas:

outbound esp sas:

outbound ah sas:

outbound pcp sas:

protected vrf: (none)

local  ident (addr/mask/prot/port): (172.16.1.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.20.20.0/255.255.255.0/0/0)

current_peer 192.168.12.2 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 192.168.10.10, remote crypto endpt.: 192.168.12.2

path mtu 1500, ip mtu 1500, ip mtu idb Serial2/0

current outbound spi: 0x0(0)

inbound esp sas:

inbound ah sas:

inbound pcp sas:

outbound esp sas:

outbound ah sas:

outbound pcp sas:

protected vrf: (none)

local  ident (addr/mask/prot/port): (10.20.20.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (172.16.1.0/255.255.255.0/0/0)

current_peer 192.168.11.2 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 192.168.10.10, remote crypto endpt.: 192.168.11.2

path mtu 1500, ip mtu 1500, ip mtu idb Serial2/0

current outbound spi: 0x0(0)

inbound esp sas:

inbound ah sas:

inbound pcp sas:

outbound esp sas:

outbound ah sas:

outbound pcp sas:

local crypto endpt.: 192.168.10.10, remote crypto endpt.: 192.168.12.2

path mtu 1500, ip mtu 1500, ip mtu idb Serial2/0

current outbound spi: 0x0(0)

inbound esp sas:

inbound ah sas:

inbound pcp sas:

outbound esp sas:

outbound ah sas:

outbound pcp sas:

HQ_HUB#

문제 해결

컨피그레이션 트러블슈팅을 위해 사용할 수 있는 정보는 다음 문서를 참조하십시오.

- 가장 일반적인 L2L 및 원격 액세스 IPSec VPN 문제 해결 솔루션

- IP 보안 문제 해결 - 디버그 명령 이해 및 사용

팁: 보안 연결을 지운 경우 IPsec VPN 문제를 해결하지 않은 다음 관련 암호화 맵을 제거하고 다시 적용하여 다양한 문제를 해결하십시오.

경고: 인터페이스에서 암호화 맵을 제거하면 해당 암호화 맵과 연결된 IPSec 터널이 다운됩니다.이 단계를 신중하게 수행하고 계속하기 전에 조직의 변경 제어 정책을 고려하십시오.

예

HQ_HUB(config)#interface s2/0

HQ_HUB(config-if)#no crypto map map1

*Sep 13 13:36:19.449: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is OFF

HQ_HUB(config-if)#crypto map map1

*Sep 13 13:36:25.557: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

관련 정보

- IPSec(IP Security) 암호화 소개

- IPSec 협상/IKE 프로토콜 지원 페이지

- IPsec 라우터 동적 LAN-to-LAN 피어 및 VPN 클라이언트 구성

- 기술 지원 및 문서 − Cisco Systems