Beveiligde opgeslagen vooraf gedeelde sleutels in een router

Inleiding

In dit document wordt beschreven hoe u codering van zowel de huidige als de nieuwe vooraf gedeelde sleutels in een router kunt instellen.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op deze softwareversie:

• Cisco IOS XE® Software Release 16.9

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Conventies

Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.

Achtergrondinformatie

Cisco IOS Software Release 12.3(2)T code introduceert de functionaliteit waarmee de router de Internet Security Association en het Key Management Protocol (ISAKMP) vooraf gedeelde sleutel in beveiligd type 6 formaat in Non-Volatile RAM (NVRAM) kan versleutelen. De vooraf gedeelde sleutel die moet worden gecodeerd, kan standaard worden geconfigureerd, onder een ISAKMP-sleutelhanger, in de agressieve modus of als het groepswachtwoord onder een Easy Virtual Private Network (EzVPN)-server of clientconfiguratie. 

Configureren

In dit gedeelte vindt u de informatie die u kunt gebruiken om de functies te configureren die in dit document worden beschreven.

Deze twee opdrachten zijn geïntroduceerd om vooraf gedeelde sleutelcodering mogelijk te maken:

• Sleutelconfiguratie-Sleutel wachtwoord-encryptie [Primaire sleutel]

• wachtwoordversleuteling AES

De [primaire sleutel] is het wachtwoord/de sleutel die wordt gebruikt om alle andere sleutels in de routerconfiguratie te coderen met behulp van een symmetrische AES-codering (Advanced Encryption Standard). De primaire sleutel wordt niet opgeslagen in de routerconfiguratie en kan op geen enkele manier worden gezien of verkregen terwijl deze is verbonden met de router.

Eenmaal geconfigureerd, wordt de primaire sleutel gebruikt om alle huidige of nieuwe sleutels in de routerconfiguratie te coderen. Als de [primaire sleutel] niet is opgegeven op de opdrachtregel, vraagt de router de gebruiker om de sleutel in te voeren en deze opnieuw in te voeren voor verificatie. Als er al een sleutel bestaat, wordt de gebruiker gevraagd om eerst de oude sleutel in te voeren. Toetsen worden niet versleuteld totdat u de opdracht wachtwoordversleuteling uitvoert.

De primaire sleutel kan worden gewijzigd (hoewel dit niet nodig is, tenzij de sleutel op de een of andere manier is aangetast) met de opdracht sleutel-sleutel-wachtwoord-encryptie opnieuw met de nieuwe [primaire sleutel].  Alle huidige gecodeerde sleutels in de routerconfiguratie worden opnieuw gecodeerd met de nieuwe sleutel.

U kunt de primaire sleutel verwijderen wanneer u de wachtwoordversleuteling zonder sleutel uitgeeft. Dit maakt echter alle momenteel geconfigureerde sleutels in de routerconfiguratie nutteloos (er wordt een waarschuwingsbericht weergegeven dat dit gedetailleerd weergeeft en de verwijdering van de primaire sleutel bevestigt). Aangezien de primaire sleutel niet meer bestaat, kunnen de wachtwoorden van type 6 niet worden gedecodeerd en gebruikt door de router.

Opmerking: om veiligheidsredenen worden de wachtwoorden in de routerconfiguratie niet ontsleuteld door het verwijderen van de primaire sleutel of door het verwijderen van de aes-opdracht voor wachtwoordversleuteling. Zodra wachtwoorden zijn versleuteld, worden ze niet gedecodeerd. Huidige gecodeerde sleutels in de configuratie kunnen nog steeds worden gedecodeerd, op voorwaarde dat de primaire sleutel niet wordt verwijderd.

Als u foutopsporingsberichten van wachtwoordcoderingsfuncties wilt zien, gebruikt u bovendien de opdracht Wachtwoordlogboekregistratie in de configuratiemodus.

Configuraties

In dit document worden de volgende configuraties op de router gebruikt:

• De huidige vooraf gedeelde sleutel coderen

• Interactief een nieuwe primaire sleutel toevoegen

• De huidige primaire sleutel interactief wijzigen

• Verwijder de primaire sleutel

Router#show running-config 
Building configuration...
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key cisco123 address 10.1.1.1
!
<output omitted>
!
end

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#key config-key password-encrypt testkey123
Router(config)#password encryption aes
Router(config)#^Z
Router#
Router#show running-config 
Building configuration...
!
!
password encryption aes
!
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key 6 FLgBaJHXdYY_AcHZZMgQ_RhTDJXHUBAAB address 10.1.1.1
!
<output omitted>
!
end

Router(config)#key config-key password-encrypt 
New key: 
Confirm key: 
Router(config)#

Router(config)#key config-key password-encrypt
 Old key: 
New key: 
Confirm key: 
Router(config)#
*Jan  7 01:42:12.299: TYPE6_PASS: Master key change heralded, re-encrypting the keys with the new primary key

Router(config)#no key config-key password-encrypt 
WARNING: All type 6 encrypted keys will become unusable
Continue with primary key deletion ? [yes/no]: yes
Router(config)#

Verifiëren

Er is momenteel geen verificatieprocedure beschikbaar voor deze configuratie.

Gerelateerde informatie

• IPsec-ondersteuningspagina
• Cisco Technical Support en downloads