ASA IKEv2 Debugs voor Remote Access VPN-probleemoplossing

Beschrijving van serverbericht

Debugs

Beschrijving clientbericht

Datum : 23-04-2013
Tijd: 16:24:55
Type : Informatie
Bron: acvpnui

Beschrijving: Functie: ClientIfcBase::connect
Bestand: .\ClientIfcBase.cpp
Lijn: 964
De gebruiker heeft gevraagd om een VPN-verbinding met Anu-IKEV2.

****************************************
Datum : 23-04-2013
Tijd: 16:24:55
Type : Informatie
Bron: acvpnui

Beschrijving : Aan de gebruiker verzonden informatie over het soort bericht:
Contact opnemen met Anu-IKEV2.
****************************************
Datum : 23-04-2013
Tijd: 16:24:55
Type : Informatie
Bron: acvpnui

Beschrijving: Functie: ApiCert::getCertList
Bestand: .\apiCert.cpp
Lijn: 259
Aantal gevonden certificaten: 0
****************************************
Datum : 23-04-2013
Tijd : 16:25:00
Type : Informatie
Bron: acvpnui

Beschrijving: Initiating VPN-verbinding naar de beveiligde gateway https://10.0.0.1/ASA-IKEV2
****************************************
Datum : 23-04-2013
Tijd : 16:25:00
Type : Informatie
Bron: acvpnagent

Beschrijving: Tunnel gestart door GUI-client.

****************************************

Datum : 23-04-2013
Tijd : 16:25:02
Type : Informatie
Bron: acvpnagent

Beschrijving: Functie: CIPsec Protocol::connectTransport
Bestand: .\IPsecProtocol.cpp
Lijn: 1629
Geopende IKE-aansluiting van 192.168.1.1:25170 tot 10.0.0.1:500
****************************************

ASA ontvangt het IKE_SA_INIT bericht van de cliënt.

IKEv2-PLAT-4: RECV PKT [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000

IKEv2-PROTO-3: Rx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] m_id: 0x0

Het eerste paar berichten is de IKE_SA_INIT uitwisseling. Deze berichten onderhandelen over cryptografische algoritmen, ruilen nonces uit en doen een Diffie-Hellman (DH) uitwisseling.

Het IKE_SA_INIT bericht ontvangen van de client bevat de volgende velden:

1. ISAKMP-header - SPI/versie/vlaggen.
2. SAi1 - Cryptografisch algoritme dat IKE initiator ondersteunt.
3. KEi - DH openbare sleutelwaarde van de initiator.
4. N - Initiator Nonce.

De ASA verifieert en verwerkt de
IKE_INIT bericht. ASA:

1. Kies de crypto suite van
   die welke door de initiatiefnemer worden aangeboden.
2. Berekent zijn eigen DH geheime sleutel.
3. Berekent een SKEYID-waarde van
   waarvoor alle sleutels kunnen worden afgeleid
   deze IKE_SA De kopregels van alle
   volgende berichten worden
   versleuteld en geverifieerd. Het
   de sleutels die voor de encryptie en
   integriteitsbescherming wordt afgeleid
   van SKEYID en zijn bekend als:
   
   
   1. SK_e - Versleuteling.
   2. SK_a - Verificatie.
   3. SK_d - Afgeleid en gebruikt
      voor de afleiding
      sleutelmateriaal voor
      CHILD_SA
   Een afzonderlijke SK_e en SK_a zijn
   berekend voor elke richting.

Relevante configuratie:

crypto ikev2 policy 10
 encryption aes-192 integrity 
 sha group 2  prf sha lifetime 
 seconds 86400
crypto ikev2 enable outside

ASA construeert het antwoordbericht voor de uitwisseling IKE_SA_INIT.

Dit pakket bevat:

1. ISAKMP-header - SPI/versie/vlaggen.
2. SAr1 - Cryptografisch algoritme dat IKE responder kiest.
3. KEr - Openbare DH-sleutelwaarde van de responder.
4. N - Responder Nonce.

De client toont de IPSec-tunnel als 'initiërend'.

Datum : 23-04-2013
Tijd : 16:25:02
Type : Informatie
Bron: acvpnagent

Beschrijving: Functie: ikev2_log
Bestand: .\ikev2_anyconnect_osal.cpp
Lijn: 2730
Ontvangen verzoek om een IPsec-tunnel tot stand te brengen; lokale verkeerskiezer = adresbereik: 0.0.0.0-255.255.255.255 Protocol: 0 poortbereik: 0-65535; externe verkeerskiezer = adresbereik: 0.0.0.0-255.255.255.255 Protocol: 0 poortbereik: 0-65535
****************************************
Datum : 23-04-2013
Tijd : 16:25:02
Type : Informatie
Bron: acvpnagent

Beschrijving: Functie: CIPsec Protocol::connectTransport
Bestand: .\IPsecProtocol.cpp
Lijn: 1629
Geopende IKE-aansluiting van 192.168.1.1:25171 tot 10.0.0.1:4500
****************************************

Verificatie vindt plaats met EAP. Binnen een EAP-gesprek is slechts één EAP-verificatiemethode toegestaan. ASA ontvangt het IKE_AUTH-bericht van de client.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f=00000001

IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x1

Wanneer de client een IDi-payload bevat
maar niet een AUTH-lading, dit geeft aan
de cliënt heeft een identiteit verklaard, maar
niet bewezen. In de debugs, de AUTH
payload is niet aanwezig in IKE_AUTH
pakket verzonden door de client. De client
de AUTH-payload pas verstuurt nadat de
EAP-uitwisseling is geslaagd. Indien de ASA
is bereid een verlengbaar
verificatiemethode, wordt een EAP
payload in bericht 4 en defers verzenden
SAr2, TSi en TSr tot de initiator
de authenticatie is in een
daaropvolgende IKE_AUTH-uitwisseling.

Het IKE_AUTH initiatorpakket bevat:

1. ISAKMP-header -
   SPI/versie/vlaggen.
2. IDi - De tunnelgroepnaam die
   de klant wenst verbinding te maken met
   kan door de IDi worden geleverd
   payload van type ID_KEY_ID in
   het eerste bericht van de
   IKE_AUTH-uitwisseling. Dit
   treedt op wanneer het clientprofiel* is
   Vooraf geconfigureerd met een groepsnaam
   of, na een eerdere geslaagde
   verificatie heeft de client
   de groepsnaam in de cache
   voorkeursbestand. ASA
   pogingen om een tunnelgroep aan te passen
   naam met de inhoud van de IKE
   IDi-payload. Na de eerste
   succesvolle IPSec VPN wordt
   de cliënt de
   groepsnaam (groepsalias) waaraan
   de gebruiker is geverifieerd. Deze groep
   naam wordt geleverd in de IDi
   lading van de volgende verbinding
   poging om de
   waarschijnlijke groep gewenst door de
   gebruiker. Als EAP-verificatie is ingesteld
   door de cliënt gespecificeerd of geïmpliceerd
   profiel en het profiel niet
   <IKEIdentity> bevatten
   element, de client een
   ID_GROUP type IDi payload
   met de vaste string
   *$AnyConnect-client$*.
   
3. CERTREQ - De klant is
   de ASA verzoeken om een
   geprefereerd certificaat. Certificaat
   kan payloads van aanvragen worden opgenomen
   in ruil wanneer de afzender
   moet het certificaat van de
   ontvanger. De certificaataanvraag
   payload wordt verwerkt door
   Controle van de 'Cert-codering'
   veld om te bepalen
   of de verwerker
   certificaten van dit type. Zo ja, dan
   Het veld 'Certificeringsinstantie' wordt
   gecontroleerd om te bepalen of
   de verwerker over certificaten beschikt
   die kan worden gevalideerd tot één van
   de gespecificeerde certificering
   autoriteiten. Dit kan een keten van
   certificaten.
   
4. CFG - CFG_REQUEST/
   CFG_RERESPONSE maakt een IKE mogelijk
   endpoint om informatie te vragen
   van zijn vakgenoten. Als een kenmerk in de
   Configuratie CFG_REQUEST
   lading niet op nul-lengte is, is het
   als een suggestie daarvoor
   attribuut.The CFG_RERESPONSE
   configuratie payload kan terugkeren
   of een nieuwe waarde. Zij kan
   voeg ook nieuwe eigenschappen toe en niet
   bevat enkele aangevraagde documenten.
   Aanvragers negeren teruggezonden
   kenmerken waaraan zij niet voldoen
   herkennen. In deze debugs
   de client vraagt om de tunnel
   configuratie in de
   CFG_REQUEST. ASA
   antwoorden hierop en verstuurt de tunnel
   configuratie-eigenschappen alleen na
   de EAP-uitwisseling is geslaagd.
   
5. SAi2 - SAi2 leidt de SA in,
   dat vergelijkbaar is met fase 2
   transformatie set-exchange in IKEv1.
   
6. TSi en TSr - De initiatiefnemer en
   Responder Traffic Selectors
   bevatten, respectievelijk de bron
   en het bestemmingsadres van de
   initiatiefnemer en antwoordapparaat om
   Versleuteld doorsturen en ontvangen
   verkeer. Het adresbereik
   specificeert dat al het verkeer van en naar
   die reeks is getunneld. Indien de
   voorstel is aanvaardbaar voor de
   antwoordapparaat, stuurt het identieke TS
   nuttige ladingen terug.

De eigenschappen die de client moet leveren voor
groepsverificatie opgeslagen in een
Profielbestand voor AnyConnect

*Relevante profielconfiguratie:

<ServerList>
<HostEntry>
  <HostName>Anu-IKEV2
  </HostName>
  <HostAddress>10.0.0.1
  </HostAddress>
  
         
         
           ASA-IKEV2 
          
 
         
<PrimaryProtocol>IPsec
</PrimaryProtocol>
</HostEntry>
</ServerList>

ASA genereert een reactie op het IKE_AUTH-bericht en bereidt zich voor op verificatie aan de client.

Gedecrypteerd pakket:Data&Colon; 540 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Het stoppen van tijdopnemer om op auth bericht te wachten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_CHK_NAT_T
IKEv2-PROTO-3: (6): Controleer NAT-detectie
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_CHG_NAT_T_PORT
IKEv2-PROTO-2: (6): NAT gedetecteerd float to init poort 25171, resp poort 4500
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_PROC_ID
IKEv2-PROTO-2: (6): Ontvangen geldige parameters in procesid
IKEv2-PLAT-3: (6) peer auth methode ingesteld op: 0
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_CHK_IF_PEER_CERT_needs_TO_BE_FETCHED_FOR_PROF_SEL
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_GET_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): Het krijgen van gevormd beleid
IKEv2-PLAT-3: nieuwe AnyConnect-clientverbinding gedetecteerd op basis van id-payload
IKEv2-PLAT-3: my_auth_method = 1
IKEv2-PLAT-3: (6) peer auth methode ingesteld op: 256
IKEv2-PLAT-3: ondersteunde_peers_auth_method = 16
IKEv2-PLAT-3: (6) tp_name ingesteld op: Anu-ikev2
IKEv2-PLAT-3: vertrouwenspunt ingesteld op: Anu-ikev2
IKEv2-PLAT-3: P1 ID = 0
IKEv2-PLAT-3: Vertalen van IKE_ID_AUTO naar = 9
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_SET_POLICY
IKEv2-PROTO-3: (6): Configureerbaar beleid instellen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_VERIFY_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): Controleer het beleid van peer
IKEv2-PROTO-3: (6): Overeenkomend certificaat gevonden
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_CHK_CONFIG_MODE
IKEv2-PROTO-3: (6): Ontvangen geldige configuratiegegevens
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_SET_RECD_CONFIG_MODE
IKEv2-PLAT-3: (6) DHCP-hostnaam voor DDNS is ingesteld op: winxp64template
IKEv2-PROTO-3: (6): Stel ontvangen configuratiegegevens in
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_CHK_AUTH4EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_CHK_EAP
IKEv2-PROTO-3: (6): Controleer op EAP-uitwisseling
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Gebeurtenis: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Genereer mijn verificatiegegevens
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Event: EV_CHK4_Sign
IKEv2-PROTO-3: (6): Mijn verificatiemethode verkrijgen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Gebeurtenis: EV_TEKEN
IKEv2-PROTO-3: (6): Teken auth data
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Event: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Gebeurtenis: EV_AUTHEN_REQ
IKEv2-PROTO-2: (6): De verificator vragen EAP-aanvraag te verzenden

Naam van het gemaakte element in configuratie-waarde
Toegevoegd attributen naam client waarde vpn aan element configuratie-auth
Toegevoegde attributen naam type waarde hello aan element config-auth
Naam van gemaakt element, versie waarde 9.0(2)8
Naam van toegevoegd element versie waarde 9.0(2)8 aan element config-auth
Toegevoegd attribuut naam die waarde sg aan element versie
Gegenereerd XML-bericht hieronder
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="hello">
<versie who="sg">9.0(2)8</versie>
</configuratie-auth>

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Gebeurtenis: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Actie: Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Event: EV_CHK_REDIRECT
IKEv2-PROTO-3: (6): Redirect controle met platform voor taakverdeling
IKEv2-PLAT-3: Redirect-controle op platform
IKEv2-PLAT-3: ikev2_osal_redirect: Sessie geaccepteerd door 10.0.0.1
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Gebeurtenis: EV_SEND_EAP_AUTH_REQ
IKEv2-PROTO-2: (6): Verzenden van EAP-aanvraag
IKEv2-PROTO-5: specifieke payload voor constructieverkopers: CISCO-GRANITEIKEv2-PROTO-3: (6): Bouwen

ASA verstuurt de AUTH-payload om gebruikersreferenties bij de client aan te vragen. ASA stuurt de AUTH-methode als 'RSA', zodat de client zijn eigen certificaat naar de client stuurt, zodat de client de ASA-server kan authenticeren.

Aangezien ASA bereid is een uitbreidbare verificatiemethode te gebruiken, plaatst het een EAP-payload in bericht 4 en stelt het verzenden van SAr2, TSi en TSr uit totdat de initiatorverificatie is voltooid in een volgende IKE_AUTH-uitwisseling. Dus, die drie payloads zijn niet aanwezig in de debugs.

Het EAP-pakket bevat:

1. Code: aanvraag - Deze code wordt door de authenticator naar de peer gestuurd.
2. id: 1 - De id helpt om de EAP-antwoorden aan te passen aan de verzoeken. Hier is de waarde 1, wat aangeeft dat het het eerste pakket is in de EAP-uitwisseling. Dit EAP-verzoek heeft het 'configuratie-auth'-type van 'hallo'; het wordt door de ASA naar de client verzonden om de EAP-uitwisseling te initiëren.
3. Lengte: 150 - Lengte van het EAP-pakket omvat de code, id, lengte en EAP-gegevens.
4. EAP-gegevens.

Fragmentation kan resulteren als de certificaten groot zijn of als de certificaatketens worden omvat. Zowel initiator als responder KE payloads kunnen ook grote sleutels bevatten, die ook kunnen bijdragen aan fragmentatie.

****************************************
Datum : 23-04-2013
Tijd : 16:25:02
Type : Informatie
Bron: acvpnagent

Beschrijving: Functie: ikev2_verify_X509_SIG_certs
Bestand: .\ikev2_anyconnect_osal.cpp
Regeling: 2077
Certificaataanvaarding aanvragen van gebruiker
****************************************
Datum : 23-04-2013
Tijd : 16:25:02
Type : Fout
Bron: acvpnui

Beschrijving: Functie: CCapiCertificate::verifyChainPolicy
Bestand: .\Certificates\CapiCertificate.cpp
Lijn: 2032
Aangeroepen functie: Certverifycertificaatketenbeleid
Retourcode: -2146762487 (0x800B0109)
Beschrijving: Een certificaatketting verwerkt, maar afgesloten in een basiscertificaat dat niet wordt vertrouwd door de trustprovider.
****************************************
Datum : 23-04-2013
Tijd : 16:25:04
Type : Informatie
Bron: acvpnagent

Beschrijving: Functie: CEAPMgr::datarequestCB
Bestand: .\EAPMgr.cpp
Lijn: 400
Voorgesteld EAP-type: EAP-ANYCONNECT
****************************************

De client reageert op de EAP-aanvraag met een antwoord.

Het EAP-pakket bevat:

1. Code: antwoord - Deze code wordt door de peer naar de verificator gestuurd in antwoord op de EAP-aanvraag.
2. id: 1 - De id helpt om de EAP-antwoorden aan te passen aan de verzoeken. Hier is de waarde 1, wat aangeeft dat dit een reactie is op het eerder door de ASA verzonden verzoek (authenticator). Dit EAP-antwoord heeft het 'configuratie-auth'-type 'init'; de client initialiseert de EAP-uitwisseling en wacht op de ASA om het verificatieverzoek te genereren.
3. Lengte: 252 - Lengte van het EAP-pakket omvat de code, id, lengte en EAP-gegevens.
4. EAP-gegevens.

ASA decrypteert deze reactie, en de client zegt dat hij de AUTH-payload in het vorige pakket (met het certificaat) heeft ontvangen en het eerste EAP-aanvraagpakket van de ASA heeft ontvangen. Dit is wat het EAP-reactiepakket bevat.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Volgende lading: ENCR, versie: 2.0
IKEv2-PROTO-4: Exchange type: IKE_AUTH, vlaggen: INITIATOR
IKEv2-PROTO-4: Berichtnummer: 0x2, lengte: 332
IKEv2-PROTO-5: (6): Verzoek heeft mess_id 2; verwacht 2 tot 2
REAL-decrypted pakket:Gegevens: 256 bytes
 EAP Volgende payload: NONE, gereserveerd: 0x0, lengte: 256
    Code: antwoord: id: 1, lengte: 252
    Type: Onbekend - 254
EAP-gegevens:247 bytes

Gedecrypteerd pakket:Data&Colon; 332 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_wait_EAP_RESP Gebeurtenis: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Het stoppen van tijdopnemer om op auth bericht te wachten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_wait_EAP_RESP Event: EV_RECV_EAP_RESP

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP Gebeurtenis: EV_PROC_MSG
IKEv2-PROTO-2: (6) Verwerking EAP-respons

Ontvangen XML bericht hieronder van de client
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="init">
<apparaat-id>win</apparaat-id>
<versie wie="vpn">3.0.1047</versie>
<group-select>ASA-IKEV2</group-select>
<group-access>ASA-IKEV2</group-access>
</configuratie-auth>
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP Gebeurtenis: EV_RECV_EAP_AUTH

IKEv2-PROTO-5: (6): Actie: Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_BLD_EAP_REQ Gebeurtenis: EV_RECV_EAP_REQ

Dit is het tweede verzoek dat door de ASA aan de cliënt wordt verzonden.

Het EAP-pakket bevat:

1. Code: aanvraag - Deze code wordt door de authenticator naar de peer gestuurd.
2. id: 2 - De id helpt om de EAP-antwoorden aan te passen aan de verzoeken. Hier is de waarde 2, wat aangeeft dat het het tweede pakket in de uitwisseling is. Dit verzoek heeft het 'configuratie-auth' type van 'auth-request'; ASA vraagt de client om de gebruikersverificatie-referenties te versturen.
3. Lengte: 457 - Lengte van het EAP-pakket omvat de code, id, lengte en EAP-gegevens.
4. EAP-gegevens.

ENCR-lading:

Deze payload wordt gedecrypteerd, en de inhoud wordt geparsed als extra payloads.

IKEv2-PROTO-2: (6): Verzenden van EAP-verzoek

Gegenereerd XML-bericht hieronder
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-request">
<versie who="sg">9.0(2)8</versie>
<ondoorzichtig is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<configuratie-hash>1367268141499</configuratie-hash>
</ondoorzichtig>
<csport>443</csport>
<auth="main">
<formulier>
<input type="text" name="username" label="UserName:"></input>
<input type="password" name="password" label="Password:"></input>
</formulier>
</auth>
</configuratie-auth>
IKEv2-PROTO-3: (6): Het bouwpakket voor encryptie; de inhoud is:
 EAP Volgende payload: NONE, gereserveerd: 0x0, lengte: 461
    Code: aanvraag: id: 2, lengte: 457
    Type: Onbekend - 254
EAP-gegevens: 452 bytes

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Volgende lading: ENCR, versie: 2.0
IKEv2-PROTO-4: Exchange type: IKE_AUTH, vlaggen: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: Berichtnummer: 0x2, lengte: 524
 ENCR Volgende payload: EAP, gereserveerd: 0x0, lengte: 496
Versleutelde data&colon; 492 bytes

IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_BLD_EAP_REQ Event: EV_START_TMR.
IKEv2-PROTO-3: (6): Begintimer om te wachten op gebruikersbericht (120 sec)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_wait_EAP_RESP Event: EV_NO_EVENT   

De client vraagt om gebruikersverificatie en stuurt deze als EAP-respons naar de ASA in het volgende pakket ('auth-reply').

De client stuurt een ander IKE_AUTH-initiatorbericht met de EAP-payload.

Het EAP-pakket bevat:

1. Code: antwoord - Deze code wordt door de peer naar de verificator gestuurd in antwoord op de EAP-aanvraag.
2. id: 2 - De id helpt om de EAP-antwoorden aan te passen aan de verzoeken. Hier is de waarde 2, wat aangeeft dat dit een reactie is op het eerder door de ASA verzonden verzoek (authenticator).
3. Lengte: 420 - Lengte van het EAP-pakket omvat de code, id, lengte en EAP-gegevens.
4. EAP-gegevens.

De ASA verwerkt deze respons. De client had de gebruiker gevraagd om referenties in te voeren. Dit EAP-antwoord heeft het 'configuratie-auth'-type 'auth-antwoord'. Dit pakket bevat de referenties die door de gebruiker zijn ingevoerd.

Gedecrypteerd pakket:Gegevens: 492 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_wait_EAP_RESP Gebeurtenis: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Het stoppen van tijdopnemer om op auth bericht te wachten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_wait_EAP_RESP Event: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Gebeurtenis: EV_PROC_MSG
IKEv2-PROTO-2: (6) Verwerking EAP-respons

Ontvangen XML bericht hieronder van de client
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-reply">
<apparaat-id>win</apparaat-id>
<versie wie="vpn">3.0.1047</versie>
<sessie-token></sessie-token>
<sessie-id></sessie-id>
<ondoorzichtig is-for="sg">
<tunnel-groep>ASA-IKEV2</tunnel-group>
<configuratie-hash>1367268141499</configuratie-hash></opaak>
<auth>
<wachtwoord>cisco123</password>
<gebruikersnaam>Anu</gebruikersnaam></auth>
</configuratie-auth>
IKEv2-PLAT-1: EAP:Geïnitieerde gebruikersverificatie
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Event: EV_NO_EVENT
IKEv2-PLAT-5: EAP:In AAA-callback
Cert-overzicht voor opgehaalde servers: DACE1C274785F28BA11D64453096BAE294A3172E
IKEv2-PLAT-5: EAP:succes in AAA-callback
IKEv2-PROTO-3: Ontvangen antwoord van authenticator
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Gebeurtenis: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Actie: Action_Null

De ASA bouwt een derde EAP-verzoek in de uitwisseling.

Het EAP-pakket bevat:

1. Code: aanvraag - Deze code wordt door de authenticator naar de peer gestuurd.
2. id: 3 - De id helpt om de EAP-antwoorden aan te passen aan de verzoeken. Hier is de waarde 3, wat aangeeft dat het het derde pakket in de uitwisseling is. Dit pakket heeft het 'configuratie-auth'-type 'compleet'; de ASA heeft een antwoord ontvangen en de EAP-uitwisseling is voltooid.
3. Lengte: 4235 - Lengte van het EAP-pakket bevat de code, id, lengte en EAP-gegevens.
4. EAP-gegevens.

ENCR-lading:

Deze payload wordt gedecrypteerd, en de inhoud wordt geparsed als extra payloads.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Event: EV_RECV_EAP_REQ
IKEv2-PROTO-2: (6): Verzenden van EAP-verzoek

Gegenereerd XML-bericht hieronder
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="compleet">
<versie who="sg">9.0(2)8</versie>
<sessie-id>32768</sessie-id>
<sessie-token>18wA0TgmDxPKPQCJywC7fB7EWLCEgz-ZtjYPAyXX2YJH0H3G3H8t5xpBOx3Ixag</sessie-token>
<auth="succes">
<bericht id="0" param1=" param2="></message>
</auth>

IKEv2-PROTO-3: (6): Het bouwpakket voor encryptie; de inhoud is:
 EAP Volgende payload: NONE, gereserveerd: 0x0, lengte: 4239
    Code: aanvraag: id: 3, lengte: 4235
    Type: Onbekend - 254
EAP-gegevens: 4230 bytes

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x3
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Volgende lading: ENCR, versie: 2.0
IKEv2-PROTO-4: Exchange type: IKE_AUTH, vlaggen: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: Berichtnummer: 0x3, lengte: 4300
 ENCR Volgende payload: EAP, gereserveerd: 0x0, lengte: 4272
Versleutelde gegevens&dubbele punt;4268 bytes

IKEv2-PROTO-5: (6): Fragmentatiepakket, Fragment MTU: 544, Aantal fragmenten: 9, Fragment ID: 2
IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Event: EV_START_TMR.
IKEv2-PROTO-3: (6): Starttimer om te wachten op gebruikersbericht (120 sec)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_wait_EAP_RESP Event: EV_NO_EVENT

De client verzendt het initiatorpakket met de EAP-payload.

Het EAP-pakket bevat:

1. Code: antwoord - Deze code wordt door de peer naar de verificator gestuurd in antwoord op de EAP-aanvraag.
2. id: 3 - De id helpt om de EAP-antwoorden aan te passen aan de verzoeken. Hier is de waarde 3, wat aangeeft dat dit een reactie is op het eerder door de ASA verzonden verzoek (authenticator). De ASA ontvangt nu het reactiepakket van de client, die het 'config-auth'-type 'ack' heeft; in deze reactie wordt het EAP 'complete' bericht bevestigd dat eerder door de ASA is verstuurd.
3. Lengte: 173 - Lengte van het EAP-pakket omvat de code, id, lengte en EAP-gegevens.
4. EAP-gegevens.

ASA verwerkt dit pakket. Het
EAP-uitwisseling is geslaagd. ASA
bereidt zich voor op het verzenden van de tunnelgroep
configuratie in het volgende pakket, dat
eerder door de klant gevraagd in
de IDi-payload. ASA ontvangt de
antwoordpakket van de client, dat
heeft het "config-auth" type van "ack". Dit
antwoord erkent het EAP
"compleet" bericht dat door de
ASA voorheen.

Relevante configuratie:

tunnel-group ASA-IKEV2 
 type remote-access
tunnel-group ASA-IKEV2 
 general-attributes
 address-pool webvpn1
 authorization-server-group 
 LOCAL default-group-policy 
  ASA-IKEV2
tunnel-group ASA-IKEV2
 webvpn-attributes
 group-alias ASA-IKEV2 
 enable

De EAP-uitwisseling is nu geslaagd.

Het EAP-pakket bevat:

1. Code: succes - Deze code is
   die door de verificator aan de
   peer na voltooiing van een EAP
   verificatiemethode. Dit
   geeft aan dat de peer
   met succes geauthenticeerd aan de
   verificateur.
2. id: 3 - De id helpt bij het matchen van de
   EAP-antwoorden met de verzoeken.
   Hier is de waarde 3, die
   geeft aan dat dit een antwoord is op
   het eerder door de
   ASA (verificator). De derde set
   van pakketten in de ruil werd
   en de uitwisseling van EAP's
   is geslaagd.
3. Lengte: 4 - Lengte van de EAP
   het pakket bevat de code, id,
   lengte en EAP-gegevens.
4. EAP-gegevens.

Gedecrypteerd pakket:Gegevens:252 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_wait_EAP_RESP Gebeurtenis: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Het stoppen van tijdopnemer om op auth bericht te wachten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_wait_EAP_RESP Event: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Gebeurtenis: EV_PROC_MSG
IKEv2-PROTO-2: (6) Verwerking EAP-respons

Ontvangen XML bericht hieronder van de client
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="ack">
<apparaat-id>win</apparaat-id>
<versie wie="vpn">3.0.1047</versie>
</configuratie-auth>

IKEv2-PLAT-3: (6) aggrAuthHdl ingesteld op 0x2000
IKEv2-PLAT-3: (6) tg_name ingesteld op: ASA-IKEV2
IKEv2-PLAT-3: (6) tunn grp type ingesteld op: RA
IKEv2-PLAT-1: EAP:Verificatie geslaagd
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Gebeurtenis: EV_RECV_EAP_SUCCESS
IKEv2-PROTO-2: (6): Verzenden van EAP-statusbericht
IKEv2-PROTO-3: (6): Het bouwpakket voor encryptie; de inhoud is:
 EAP Volgende payload: NONE, gereserveerd: 0x0, lengte: 8
    Code: succes: id: 3, lengte: 4

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x4
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Volgende lading: ENCR, versie: 2.0
IKEv2-PROTO-4: Exchange type: IKE_AUTH, vlaggen: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: Berichtnummer: 0x4, lengte: 76
 ENCR Volgende payload: EAP, gereserveerd: 0x0, lengte: 48
Versleutelde gegevens&dubbele punt;44 bytes

IKEv2-PLAT-4: VERZONDEN PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000004

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Event: EV_START_TMR.
IKEv2-PROTO-3: (6): Starttimer om te wachten op het bericht (30 seconden)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_wait_EAP_AUTH_VERIFY Event: EV_NO_EVENT

Als EAP-verificatie is opgegeven, of
van het clientprofiel en de
het profiel bevat niet de
<IKEIdentity>-element verstuurt de client
een ID_GROUP type IDi payload met
het vaste snoer *$AnyConnectClient$*.

De ASA verwerkt dit bericht.

Relevante configuratie:

crypto dynamic-map dynmap 1000 
 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 
 ipsec-isakmp dynamic dynmap
crypto map crymap interface 
 outside

Gedecrypteerd pakket:Gegevens: 92 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_wait_EAP_AUTH_VERIFY Gebeurtenis: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Het stoppen van tijdopnemer om op auth bericht te wachten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Event: EV_GET_EAP_KEY
IKEv2-PROTO-2: (6): Verzend AUTH, om peer na EAP-uitwisseling te verifiëren
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Gebeurtenis: EV_VERIFY_AUTH
IKEv2-PROTO-3: (6): Controleer de verificatiegegevens
IKEv2-PROTO-3: (6): Gebruik de vooraf gedeelde sleutel voor id *$AnyConnectClient$*, sleutel len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Gebeurtenis: EV_GET_CONFIG_MODE
IKEv2-PLAT-3: antwoord op configuratie-modus in wachtrij
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Event: EV_NO_EVENT
IKEv2-PLAT-3: PSH: client=AnyConnect client-versie=3.0.1047 client-os=Windows client-os-versie=
IKEv2-PLAT-3: antwoord op configuratie-modus voltooid
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Event: EV_OK_GET_CONFIG
IKEv2-PROTO-3: (6): Hebben configuratie modus gegevens te verzenden
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Event: EV_CHK4_IC
IKEv2-PROTO-3: (6): Verwerking van het eerste contact
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Event: EV_CHK_REDIRECT
IKEv2-PROTO-5: (6): Redirect controle is al gedaan voor deze sessie, het overslaan
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Event: EV_PROC_SA_TS
IKEv2-PROTO-2: (6): Verwerking auth bericht
IKEv2-PLAT-1: Crypto Kaart: Kaart dynmap seq 1000. Aangepaste selector met toegewezen IP
IKEv2-PLAT-3: Crypto Kaart: match op dynamische kaart dynmap seq 1000
IKEv2-PLAT-3: PFS uitgeschakeld voor RA-verbinding
IKEv2-PROTO-3: (6):
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Event: EV_NO_EVENT
IKEv2-PLAT-2: Ontvangen PFKEY SPI-callback voor SPI 0x30B848A4, fout FALSE
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Event: EV_OK_RECD_IPSEC_RESP

IKEv2-PROTO-2: (6): Verwerking auth bericht

ASA bouwt het IKE_AUTH-responsbericht met de payloads van SA, TSi en TSr.

Het IKE_AUTH-responderpakket bevat:

1. ISAKMP-header - SPI/versie/vlaggen.
2. AUTH payload - Met de gekozen authenticatiemethode.
3. CFG - CFG_REQUEST/ CFG_RERESPONSE staat een IKE-eindpunt toe om informatie op te vragen bij zijn peer. Als een attribuut in de CFG_REQUEST configuratie payload niet nul-length is, wordt dit als een suggestie voor dat attribuut genomen. De configuratie-payload van de CFG_RERESPONSE kan die waarde of een nieuwe waarde retourneren. Het kan ook nieuwe eigenschappen toevoegen en sommige gevraagde niet omvatten. De aanvragers negeren geretourneerde eigenschappen die zij niet herkennen. ASA antwoordt op de client met de tunnelconfiguratiekenmerken in het CFG_REPLISpakket.
4. SAr2 - SAr2 initieert de SA, die vergelijkbaar is met de fase 2 transformatie set exchange in IKEv1.
5. TSi en TSr - De initiator en de selecteurs van het antwoordverkeer bevatten, respectievelijk, het bron- en het bestemmingsadres van de initiator en de antwoordapparaat om gecodeerd verkeer door te sturen en te ontvangen. Het adresbereik specificeert dat al het verkeer naar en van dat bereik wordt getunneld. Als het voorstel acceptabel is voor de respondent, stuurt het identieke TS-payloads terug.

ENCR-lading:

Deze payload wordt gedecrypteerd, en de inhoud wordt geparsed als extra payloads.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Event: EV_MY_AUTH_method
IKEv2-PROTO-3: (6): Mijn verificatiemethode verkrijgen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Event: EV_GET_PRESHR_KEY
IKEv2-PROTO-3: (6): Krijg de vooraf gedeelde sleutel van peer voor *$AnyConnectClient$*
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Event: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Genereer mijn verificatiegegevens
IKEv2-PROTO-3: (6): Gebruik preshared sleutel voor id hostname=ASA-IKEV2, key len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Event: EV_CHK4_Sign
IKEv2-PROTO-3: (6): Mijn verificatiemethode verkrijgen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Event: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_EAP_AUTH_VERIFY Gebeurtenis: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Genereer mijn verificatiegegevens
IKEv2-PROTO-3: (6): Gebruik preshared sleutel voor id hostname=ASA-IKEV2, key len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_EAP_AUTH_VERIFY Gebeurtenis: EV_SEND_AUTH
IKEv2-PROTO-2: (6): Verzend AUTH, om peer na EAP-uitwisseling te verifiëren
IKEv2-PROTO-3: ESP-voorstel: 1, SPI-grootte: 4 (IPSec-onderhandeling),
Aantal transformaties: 3
   AES-CBC SHA96 router   
IKEv2-PROTO-5: Construct Notify payload: ESP_TFC_NO_SUPPORTIKEv2-PROTO-5: Construct Notify payload: NON_FIRST_FRAGSIKEv2-PROTO-3: (6): Bouwpakket voor encryptie; inhoud zijn:
 AUTH Volgende payload: CFG, gereserveerd: 0x0, lengte: 28
    Autorisatiemethode PSK, gereserveerd: 0x0, gereserveerd 0x0
Automatisch data&colon; 20 bytes
 CFG Volgende lading: SA, gereserveerd: 0x0, lengte: 4196
    cfg type: CFG_RERESPONSE, gereserveerd: 0x0, gereserveerd: 0x0

   attrib type: intern IP4 adres, lengte: 4

     01 01 01 01
   attrib type: intern IP4 netmasker, lengte: 4

     00 00 00 00
   attrib type: intern adres verlopen, lengte: 4

     00 00 00 00
   attrib type: applicatie versie, lengte: 16

     41 53 41 20 31 30 30 2e 37 28 36 29 31 31 36 00
   attrib type: Onbekend - 28704, lengte: 4

     00 00 00 00
   attrib type: Onbekend - 28705, lengte: 4

     00 00 07 08
   attrib type: Onbekend - 28706, lengte: 4

     00 00 07 08
   attrib type: Onbekend - 28707, lengte: 1

     01
   attrib type: Onbekend - 28709, lengte: 4

     00 00 00 1 sexies
   attrib type: Onbekend - 28710, lengte: 4

     00 00 00 14
   attrib type: Onbekend - 28684, lengte: 1

     01
   attrib type: Onbekend - 28711, lengte: 2

     05 7 sexies
   attrib type: Onbekend - 28679, lengte: 1

     00
   attrib type: Onbekend - 28683, lengte: 4

     80 0b 00 01
   attrib type: Onbekend - 28725, lengte: 1

     00
   attrib type: Onbekend - 28726, lengte: 1

     00
   attrib type: Onbekend - 28727, lengte: 4056

     3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 22 31
     2e 30 22 20 65 6e 63 6f 64 69 6e 67 3d 22 55 54
     46 2d 38 22 3f 3e 3c 63 6f 6e 66 69 67 2d 61 75
     74 68 20 63 6c 69 65 6e 74 3d 22 76 70 6e 22 20
     74 79 70 65 3d 22 63 6f 6d 70 6c 65 74 65 22 3e
     3c 76 65 72 73 69 6f 6e 20 77 68 6f 3d 22 73 67
     22 3e 31 30 3e 37 28 36 29 31 31 36 3c 2f 76
     65 72 73 69 6f 6e 3e 3c 73 65 73 73 69 6f 6e 2d
     69 64 3e 38 31 39 32 3c 2f 73 65 73 73 69 6f 6e
<knip>
     72 6f 66 69 6c 65 2d 6d 61 6e 69 66 65 73 74 3e
     3c 2f 63 6f 6e 66 69 67 3e 3c 2f 63 6f 6e 66 69
     67 2d 61 75 74 68 3e 00
   attrib type: Onbekend - 28729, lengte: 1

     00
 SA Volgende payload: TSi, gereserveerd: 0x0, lengte: 44
IKEv2-PROTO-4: laatste voorstel: 0x0, gereserveerd: 0x0, lengte: 40
  Voorstel: 1, Protocol id: ESP, grootte van SPI: 4, #trans: 3
IKEv2-PROTO-4: laatste transformatie: 0x3, gereserveerd: 0x0: lengte: 12
    type: 1, gereserveerd: 0x0, id: AES-CBC
IKEv2-PROTO-4: laatste transformatie: 0x3, gereserveerd: 0x0: lengte: 8
    type: 3, gereserveerd: 0x0, id: SHA96
IKEv2-PROTO-4: laatste transformatie: 0x0, gereserveerd: 0x0: lengte: 8
    type: 5, gereserveerd: 0x0, id:

 TSi Volgende payload: TSr, gereserveerd: 0x0, lengte: 24
    Aantal TS'en: 1, gereserveerd 0x0, gereserveerd 0x0
    TS type: TS_IPV4_ADDR_RANGE, proto id: 0, lengte: 16
    beginhaven: 0, eindhaven: 65535
    beginpunt: 10.2.2.1, eindpunt: 10.2.2.1
 TSr Volgende payload: MELDEN, gereserveerd: 0x0, lengte: 24
    Aantal TS'en: 1, gereserveerd 0x0, gereserveerd 0x0
    TS type: TS_IPV4_ADDR_RANGE, proto id: 0, lengte: 16
    beginhaven: 0, eindhaven: 65535
    begindatum: 0.0.0.0, einddatum: 255.255.255.255.255

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Volgende lading: ENCR, versie: 2.0
IKEv2-PROTO-4: Exchange type: IKE_AUTH, vlaggen: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: Berichtnummer: 0x5, lengte: 4396
 ENCR Volgende payload: AUTH, gereserveerd: 0x0, lengte: 4368
Versleutelde data&colon; 4364 bytes

****************************************
Datum : 23-04-2013
Tijd : 16:25:07
Type : Informatie
Bron: acvpndownloader

Beschrijving: Functie: ProfileMgr::loadProfiles
Bestand: ..\api\ProfileMgr.cpp
Lijn: 148
Geladen profielen:
C:\Documents and Settings\All Gebruikers\Application Data\Cisco\AnyConnect Secure Mobility Client\Profile\anyconnect-ikev2.xml
****************************************
****************************************
Datum : 23-04-2013
Tijd : 16:25:07
Type : Informatie
Bron: acvpndownloader

Beschrijving: Huidige voorkeursinstellingen:
ServiceDisable: onjuist
CertificateStoreOverride: fout
CertificaatStore: Alle
Presentatiebericht tonen: onjuist
AutoConnectOnStart: onjuist
MinimizeOnConnect: waar
LocalLAN Access: onjuist
AutoConnect: waar
AutoConnectGedrag: Verbinding verbrekenOpschorting
StartBeforeLogon gebruiken: fout
AutoUpdate: waar
RSASecurIDIntegratie: Automatisch
WindowsLogonEnforcement: SingleLocalLogon
Windows VPN-instelling: alleen lokale gebruikers
Proxy-instellingen: native
AllowLocalProxyConnections: true
PPExclusie: uitschakelen
IP van de PoE-uitsluitingsserver:
Automatisch VPN-beleid: onjuist
Trusted Network Policy: verbinding verbreken
Onbetrouwbaar netwerkbeleid: verbinding maken
TrustedDNSD-domeinen:
Trusted DNS-servers:
AlwaysOn: onjuist
ConnectFailurePolicy: gesloten
AllowCaptivePortalRemediation: onjuist
CaptivePortalOplossingTime-out: 5
ApplyLastVPNLocalResourceRules: onjuist
AllowVPNDisconnect: true
Scripting inschakelen: onjuist
TerminateScriptOnNextEvent: onjuist
EnablePostSBLOnConnectScript inschakelen: waar
Automatische certSelectie: waar
VPNonLogoff behouden: onjuist
Handhaving van gebruiker: alleen dezelfde gebruiker
Automatische serverselectie inschakelen: onjuist
Verbetering in automatische serverselectie: 20
AutoServerSelectieOpschortingTijd: 4
Time-out verificatie: 12
SafeWordSofTokenIntegration: onjuist
AllowIPsecOverSSL: onjuist
ClearSmartcardPin: waar
****************************************
Datum : 23-04-2013
Tijd : 16:25:07
Type : Informatie
Bron: acvpnui

Beschrijving : Aan de gebruiker verzonden informatie over het soort bericht:
VPN instellen - Systeem onderzoeken...
****************************************
Datum : 23-04-2013
Tijd : 16:25:07
Type : Informatie
Bron: acvpnui

Beschrijving : Aan de gebruiker verzonden informatie over het soort bericht:
VPN instellen - VPN-adapter activeren...
****************************************
Datum : 23-04-2013
Tijd : 16:25:07
Type : Informatie
Bron: acvpnagent

Beschrijving: Functie: CVirtualAdapter::DoRegistryRepair
Bestand: .\WindowsVirtualAdapter.cpp
Lijn: 1869
Found VA Control-toets: SYSTEM\CurrentControlSet\ENUM\ROOT\NET\0000\Control

****************************************
Datum : 23-04-2013
Tijd : 16:25:07
Type : Informatie
Bron: acvpnagent

Beschrijving: Er is een nieuwe netwerkinterface gedetecteerd.
****************************************
Datum : 23-04-2013
Tijd : 16:25:07
Type : Informatie
Bron: acvpnagent

Beschrijving: Functie: CRouteMgr::logInterfaces
Bestand: .\RouteMgr.cpp
Lijn: 2076
Aangeroepen functie: logInterfaces
Retourcode: 0 (0x00000000)
Beschrijving: IP-adresinterfacelijst:
10.2.2.1
192.168.1.1
****************************************
Datum : 23-04-2013
Tijd : 16:25:08
Type : Informatie
Bron: acvpnagent

Beschrijving: Host Configuration:
 Openbare adres: 192.168.1.1
 Openbaar masker: 255.255.255.0
 Privé-adres: 10.2.2.1
 Privémasker: 255.0.0.0
 Private IPv6-adres: niet beschikbaar
 Private IPv6-masker: niet beschikbaar
 Remote-peers: 10.0.0.1 (TCP-poort 443, UDP-poort 500), 10.0.0.1 (UDP-poort 4500)
 Private netwerken: geen
 Openbare netwerken: geen
 Tunnelmodus: ja
****************************************

De verbinding wordt ingevoerd in de database van de Security Association (SA) en de status wordt geregistreerd. De ASA voert ook enkele controles uit zoals de status van de Common Access Card (CAC), aanwezigheid van dubbele SA's en stelt waarden in zoals 'dead peer detectie (DPD)' enzovoort.