Gangbare problemen met L2L en IPsec VPN voor externe toegang troubleshooten
Inhoud
Inleiding
Dit document beschrijft de meest voorkomende oplossingen voor IPsec VPN problemen.
Achtergrondinformatie
De oplossingen die in dit document worden beschreven, komen rechtstreeks voort uit serviceverzoeken die het Cisco Technical Support Team heeft opgelost. Veel van deze oplossingen worden geïmplementeerd voordat een IPsec VPN-verbinding grondig wordt opgelost. Dit document bevat een overzicht van de gebruikelijke procedures die u kunt proberen voordat u problemen met een verbinding oplost.
De configuratievoorbeelden in dit document zijn voor gebruik op routers en beveiligingsapparaten, bijna alle concepten zijn van toepassing op de VPN 3000. Raadpleeg Problemen oplossen met IP-beveiliging - Begrijpen en gebruiken van foutopsporingsopdrachten voor een uitleg van veelvoorkomende foutopsporingsopdrachten die worden gebruikt om IPsec-problemen op te lossen met zowel de Cisco IOS® -software.
Opmerking: SA geeft geen multicast-verkeer door via IPsec VPN-tunnels.
Waarschuwing: Veel van de oplossingen die in dit document worden gepresenteerd, kunnen leiden tot een tijdelijk verlies van alle IPsec VPN-connectiviteit op een apparaat. Het wordt aanbevolen om deze oplossingen voorzichtig en in overeenstemming met uw wijzigingsbeleid te implementeren.
Voorwaarden
Vereisten
Cisco raadt kennis van IPsec VPN-configuratie op deze Cisco-apparaten aan:
- Cisco IOS®-routers
-
Cisco ASA 5500 Series security applicatie
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
- Cisco IOS®
-
Cisco ASA 5500 Series security applicatie
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Conventies
Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.
IPsec VPN-configuratie werkt niet
Probleem
- Een recent geconfigureerde of gewijzigde IPsec VPN-oplossing werkt niet.
- Een huidige IPsec VPN-configuratie werkt niet meer.
Oplossingen
Deze sectie bevat oplossingen voor de meest gangbare problemen met IPsec VPN. Hoewel ze niet in een bepaalde volgorde worden vermeld, kunnen deze oplossingen worden gebruikt als een checklist om te verifiëren voordat u zich bezighoudt met diepgaande sanering. Al deze oplossingen komen rechtstreeks voort uit TAC-serviceaanvragen en hebben tal van problemen opgelost.
-
Controleren of Sysopt-opdrachten aanwezig zijn (alleen ASA/ASA)
-
Controleer of ACL's correct zijn en zijn gekoppeld aan Crypto Map
Opmerking: Sommige opdrachten in deze secties worden vanwege ruimtelijke overwegingen naar een tweede regel verplaatst.
NAT-Traversal inschakelen (VPN-kwestie 1)
Met NAT-Traversal (of NAT-T) kan VPN-verkeer door NAT- of PAT-apparaten gaan, zoals de Linksys SOHO-router. Als NAT-T niet is ingeschakeld, lijken VPN-clientgebruikers vaak zonder probleem verbinding te maken met de ASA, maar kunnen ze geen toegang krijgen tot een intern netwerk achter het beveiligingstoestel. Als NAT-T in het NAT/PAT-apparaat niet is ingeschakeld, kunt u de reguliere vertaling ontvangen die niet is gemaakt voor protocol 50 src binnen:10.0.1.26 dst buiten:10.9.694 foutmelding in de ASA.
Als u niet gelijktijdig kunt inloggen vanaf hetzelfde IP-adres, wordt de beveiligde VPN-verbinding lokaal beëindigd door de client. Reden 412: De externe peer reageert niet meer op foutmelding wordt weergegeven. Schakel NAT-T in het head-end VPN-apparaat in om deze fout op te lossen.
Opmerking: Met Cisco IOS® Software Release 12.2(13)T en hoger is NAT-T standaard ingeschakeld in Cisco IOS®.
Met de volgende opdracht wordt NAT-T ingeschakeld op de Cisco Security Appliance. De 20 in dit voorbeeld is de keepalive-tijd (standaard).
ASA
securityappliance(config)#crypto isakmp nat-traversal 20
Klanten moeten worden aangepast om dit goed te laten werken. Navigeer in Cisco VPN Client naar Verbindingsitems en klik op Wijzigen. Dit opent een nieuw venster en u moet het tabblad Transport kiezen. Klik onder dit tabblad op Enable Transparent Tunnelling en het keuzerondje IPSec over UDP ( NAT/PAT ). Klik vervolgens op Opslaan en test de verbinding.
Het is belangrijk om de UDP 4500 voor NAT-T-, UDP 500- en ESP-poorten toe te staan door de configuratie van een ACL omdat de ASA fungeert als een NAT-apparaat. Raadpleeg Een IPsec-tunnel configureren via een firewall met NAT voor meer informatie over de ACL-configuratie in ASA.
Connectiviteit effectief testen
VPN-connectiviteit wordt getest vanaf apparaten achter het encryptie-eindpunt. Veel gebruikers testen VPN-connectiviteit door de ping-opdracht uit te voeren vanaf het encryptie-eindpunt. Hoewel het commando houden over het algemeen voor dit doel werkt, is het belangrijk om je ping van de juiste interface te halen. Als de bron niet correct is, kan het lijken dat de VPN-verbinding is mislukt wanneer deze goed werkt. Dit is een voorbeeld:
Crypto-ACL op router A
access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255
Crypto-ACL op router B
access-list 110 permit ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255
In dit voorbeeld moet aping afkomstig zijn van binnen het netwerk achter een van beide routers. De crypto-ACL's zijn alleen geconfigureerd om verkeer met deze bronadressen te coderen. Alle apparaten die afkomstig zijn van de externe interfaces van beide routers zijn niet gecodeerd. Gebruik de uitgebreide opties van de opdracht pingingin de geprivilegieerde EXEC-modus om een ping vanuit de interne interface van een router te verkrijgen:
routerA#ping Protocol [ip]: Target IP address: 192.168.200.10 Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address or interface: 192.168.100.1 Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.200.1, timeout is 2 seconds: Packet sent with a source address of 192.168.100.1 !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = ½/4 ms
Stel je voor dat de routers in dit diagram worden vervangen door ASA-beveiligingstoestellen. De informatie die wordt gebruikt om connectiviteit te testen, kan ook worden verkregen via de interne interface met het zoekwoord aan de binnenkant:
securityappliance#ping inside 192.168.200.10 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.200.10, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Het wordt niet aanbevolen om de interne interface van een beveiligingsapparaat met uw ping te targeten. Als u de interne interface moet richten met de opdracht "Beheren", moet u toegang tot die interface inschakelen, anders reageert het toestel niet."
securityappliance(config)#management-access inside
Wanneer er een probleem is met de connectiviteit, werkt zelfs fase 1 van de VPN niet. Op de ASA, als de connectiviteit uitvalt, is de SA-uitvoer vergelijkbaar met dit voorbeeld, wat een mogelijke onjuiste crypto-peer-configuratie of onjuiste ISAKMP-voorstelconfiguratie aangeeft:
Router#show crypto isakmp sa
1 IKE Peer: XX.XX.XX.XX
Type : L2L Role : initiator
Rekey : no State : MM_WAIT_MSG2
De status kan variëren van MM_WAIT_MSG2 tot MM_WAIT_MSG5, wat duidt op het falen van de betreffende statusuitwisseling in de hoofdmodus (MM). Crypto SA-uitvoer wanneer fase 1 is voltooid; zoals dit voorbeeld:
Router#show crypto isakmp sa
1 IKE Peer: XX.XX.XX.XX
Type : L2L Role : initiator
Rekey : no State : MM_ACTIVE
ISAKMP inschakelen
Als er geen indicatie is dat een IPsec VPN-tunnel werkt zoals verwacht, is het mogelijk dat ISAKMP niet is ingeschakeld. Zorg ervoor dat ISAKMP is ingeschakeld op uw apparaten. Gebruik een van deze opdrachten om ISAKMP in te schakelen:
Cisco IOS®
router(config)#crypto isakmp enable
Cisco ASA (buiten vervangen door de gewenste interface):
securityappliance(config)#crypto isakmp enable outside
U kunt deze fout ook ontvangen wanneer u ISAKMP inschakelt op de externe interface:
UDP: ERROR - socket <unknown> 62465 in used ERROR: IkeReceiverInit, unable to bind to port
De oorzaak van de fout kan betrekking hebben op de client achter ASA ontvangt PAT naar UDP poort 500 voordat ISAKMP kan worden ingeschakeld op de interface. Zodra de PAT-vertaling is verwijderd (verwijder het sjabloon), kan ISAKMP worden ingeschakeld. Controleer of UDP 500 en de 4500-poortnummers zijn gereserveerd voor de onderhandeling van ISAKMP-verbindingen met de peer. Wanneer ISAKMP niet is ingeschakeld op de interface, wordt een foutbericht weergegeven dat vergelijkbaar is met dit bericht:
Secure VPN connection terminated locally by client. Reason 412: The remote peer is no longer responding
Om deze fout op te lossen, schakelt u ISAKMP in op de crypto-interface van de VPN-gateway.
PFS in-/uitschakelen
In de IPsec-onderhandelingen zorgt Perfect Forward Secrecy (PFS) ervoor dat elke nieuwe cryptografische sleutel niet gerelateerd is aan een eerdere sleutel. PFS inschakelen of uitschakelen op beide tunnelpeers; anders is de LAN-naar-LAN (L2L) IPsec-tunnel niet ingesteld in de ASA / Cisco IOS® router. Perfect Forward Security (PFS) is bedrijfseigen van Cisco en wordt niet ondersteund op apparaten van derden.
ASA:
PFS is standaard uitgeschakeld en om PFS in te schakelen, voert u de opdracht pfscommand uit met het gereserveerde woord enable in de configuratiemodus voor groepsbeleid. Voer het trefwoord disable in om PFS uit te schakelen.
hostname(config-group-policy)#pfs {enable | disable}
Als u het attribuut PFS uit de configuratie wilt verwijderen, voert u het commando geen vorm uit. Een groepsbeleid kan een PFS-waarde overnemen van een ander groepsbeleid. Voer de geen vorm van deze opdracht uit om de overdracht van een waarde te voorkomen.
hostname(config-group-policy)#no pfs
Cisco IOS® Router
- Als u wilt opgeven dat IPsec om PFS moet vragen wanneer nieuwe beveiligingsassociaties worden gevraagd voor het crypto-kaartitem, voert u de ingestelde pfscommand uit in de configuratiemodus voor de cryptografische kaart.
- Als u wilt opgeven dat IPsec PFS moet vereisen wanneer het aanvragen voor nieuwe beveiligingsassociaties ontvangt, voert u de opdracht pfsc instellen in de configuratiemodus voor cryptografische kaarten uit.
- Als u wilt opgeven dat IPsec geen PFS mag aanvragen, voert u de opdracht geen formulier uit. Standaard is PFS niet vereist als er geen groep is opgegeven met deze opdracht en groep 1 als standaard wordt gebruikt.
set pfs [group1 | group2] no set pfs
Argumenten van de opdracht set pfs:
-
group1: Specificeert dat IPsec de 768-bits Diffie-Hellman prime modulus-groep moet gebruiken wanneer de nieuwe Diffie-Hellman uitwisseling wordt uitgevoerd.
-
group2: Specificeert dat IPsec de 1024-bits Diffie-Hellman prime modulus-groep moet gebruiken wanneer de nieuwe Diffie-Hellman uitwisseling wordt uitgevoerd.
Voorbeeld:
Router(config)#crypto map map 10 ipsec-isakmp Router(config-crypto-map)#set pfs group2
Oude of huidige beveiligingsassociaties (tunnels) wissen
Als deze foutmelding zich voordoet in de Cisco IOS®-router, is de SA verlopen of gewist. Het externe tunneleindapparaat weet niet dat het de verlopen SA gebruikt om een pakket te verzenden (geen SA-vestigingspakket). Wanneer een nieuwe SA wordt opgericht, wordt de communicatie hervat, dus start het verkeer door de tunnel om een nieuwe SA te creëren en de tunnel opnieuw te vestigen.
%CRYPTO-4-IKMP_NO_SA: IKE message from x.x.x.x has no SA
Als u ISAKMP (fase 1) en IPsec (fase 2) beveiligingsassociaties (SA's) wist, is dit vaak de beste oplossing om IPsec VPN-problemen op te lossen. Als u SA's wist, kunt u een grote verscheidenheid aan foutmeldingen en gedragingen oplossen zonder diepgaande probleemoplossing. Hoewel deze techniek in elke situatie gemakkelijk kan worden gebruikt, wordt het aanbevolen om eerst SA's te wissen nadat u een huidige IPsec VPN-configuratie hebt gewijzigd of toegevoegd. Bovendien, hoewel het mogelijk is om alleen specifieke beveiligingsassociaties te wissen, kunt u profiteren wanneer u SA's wereldwijd op het apparaat opruimt. Zodra de beveiligingsorganisaties zijn goedgekeurd, kan het nodig zijn om verkeer door de tunnel te sturen om ze opnieuw te vestigen.
Waarschuwing: Tenzij u opgeeft welke security koppelingen u wilt wissen, kunnen de onderstaande opdrachten alle security koppelingen op het apparaat wissen. Ga voorzichtig te werk als andere IPsec VPN-tunnels in gebruik zijn.
-
Bekijk security koppelingen voordat u deze verwijdert
-
Cisco IOS®
router#show crypto isakmp sa router#show crypto ipsec sa
-
Cisco ASA-beveiligingstoestellen
securityappliance#show crypto isakmp sa securityappliance#show crypto ipsec sa
-
-
Schakel Beveiligingsassociaties uit omdat elke opdracht kan worden ingevoerd zoals vet weergegeven of kan worden ingevoerd met de opties die bij de opdracht worden weergegeven.
-
Cisco IOS®
-
ISAKMP (fase I)
router#clear crypto isakmp ? <0 - 32766> connection id of SA <cr>
IPsec (fase II)
router#clear crypto sa ? counters Reset the SA counters map Clear all SAs for a given crypto map peer Clear all SAs for a given crypto peer spi Clear SA by SPI <cr>
-
Cisco ASA-beveiligingstoestellen
-
ISAKMP (fase I)
securityappliance#clear crypto isakmp sa
-
IPsec (fase II)
security appliance#clear crypto ipsec sa ? counters Clear IPsec SA counters entry Clear IPsec SAs by entry map Clear IPsec SAs by map peer Clear IPsec SA by peer <cr>
-
-
-
Controleer de levensduur van ISAKMP
Als gebruikers vaak worden losgekoppeld via de L2L-tunnel, kan dit probleem levenslang worden geconfigureerd in ISAKMP SA. Als er een discrepantie optreedt in de ISAKMP-levensduur, kunt u de%ASA-5-713092 ontvangen: Groep = x.x.x.x, IP = x.x.x.x, Fout tijdens fase 1-hersleutelingspoging als gevolg van de botsing foutmelding in de /ASA. De standaardinstelling is 86.400 seconden of 24 uur. Over het algemeen biedt een kortere levensduur veiligere ISAKMP-onderhandelingen (tot op zekere hoogte), maar met kortere levensduur stelt het beveiligingstoestel toekomstige IPsec-SA's sneller in.
Een overeenkomst wordt gemaakt wanneer beide beleidsregels van twee peers dezelfde waarden voor codering, hash, verificatie en Diffie-Hellman-parameters bevatten en wanneer het beleid van de externe peer een levensduur aangeeft die kleiner is dan of gelijk is aan de levensduur in het vergeleken beleid. Als de levensduur niet identiek is, wordt de kortere levensduur - van het beleid van de externe peer - gebruikt en wordt er geen aanvaardbare overeenkomst gevonden, weigert de IKE onderhandelingen en wordt de IKE SA niet vastgesteld.
- Geef de SA-levensduur op: in dit voorbeeld wordt een levensduur van 4 uur (14400 seconden) ingesteld en de standaardwaarde is 86400 seconden (24 uur).
ASA:
hostname(config)#isakmp policy 2 lifetime 14400
Cisco IOS® Router:
R2(config)#crypto isakmp policy 10 R2(config-isakmp)#lifetime 86400
Als de maximale geconfigureerde levensduur wordt overschreden, krijgt u deze foutmelding wanneer de VPN-verbinding wordt beëindigd:
Secure VPN Connection terminated locally by the Client. Reden 426: maximale geconfigureerde levensduur overschreden.
Om deze fout op te lossen, stelt u de levensduurwaarde in op nul (0). Om de levensduur van een IKE-beveiligingsassociatie op oneindig in te stellen, moet de VPN altijd verbonden zijn en wordt deze niet beëindigd:
hostname(config)#isakmp policy 2 lifetime 0
U kunt ook opnieuw instellen in het groepsbeleid uitschakelen om het probleem op te lossen.
ISAKMP-keepalives in- of uitschakelen
Als u ISAKMP keepalives configureert, helpt dit om te voorkomen dat er sporadisch een LAN-naar-LAN of Remote Access VPN wordt gedropt. Dit omvat VPN-clients, tunnels en de tunnels die na een periode van inactiviteit zijn gevallen. Met deze functie kunnen tunneleindpunten de voortdurende aanwezigheid van een externe peer bewaken en zijn eigen aanwezigheid aan die peer rapporteren. Als de peer niet meer reageert, verbreekt het endpoint de verbinding. Om ISAKMP-levenden te laten werken, moeten beide VPN-eindpunten hen ondersteunen.
Configureer ISAKMP keepalives in Cisco IOS® door deze opdracht uit te voeren:
router(config)#crypto isakmp keepalive 15
Voer de volgende opdrachten uit om ISAKMP keepalives te configureren op ASA-beveiligingstoestellen:
Cisco ASA voor de tunnelgroep genaamd 10.165.205.222:
securityappliance(config)#tunnel-group 10.165.205.222 ipsec-attributes securityappliance(config-tunnel-ipsec)#isakmp keepalive threshold 15 retry 10
In sommige situaties is het noodzakelijk om deze functie uit te schakelen om het probleem op te lossen. Bijvoorbeeld als de VPN-client zich achter een firewall bevindt die DPD-pakketten voorkomt. Met Cisco ASA, voor de tunnelgroep met de naam 10.165.205.222 - Schakel IKE keepalive-verwerking uit, die standaard is ingeschakeld:
securityappliance(config)#tunnel-group 10.165.205.222 ipsec-attributes securityappliance(config-tunnel-ipsec)#isakmp keepalive disable
Keepalives voor Cisco VPN Client 4.x uitschakelen
- Navigeer naar%System Root% > Program Files > Cisco Systems >VPN Client > Profielen op de client-pc die het probleem ondervindt om IKE keepalive uit te schakelen en bewerk het PCF-bestand, indien van toepassing, voor de verbinding.
- Wijzig de waarde ForceKeepAlives=0 (standaard) in ForceKeepAlives=1. Keepalives zijn eigendom van Cisco en worden niet ondersteund door apparaten van derden.
Vooraf gedeelde sleutels opnieuw invoeren of herstellen
In veel gevallen kan een eenvoudige typografische fout de schuld zijn wanneer een IPsec VPN-tunnel niet werkt. Bijvoorbeeld worden op de security applicatie de vooraf gedeelde sleutels verborgen zodra ze worden ingevoerd. Deze verduistering maakt het onmogelijk om te zien of een sleutel onjuist is. Zorg ervoor dat u alle vooraf gedeelde sleutels correct hebt ingevoerd op elk VPN-eindpunt.
Controleer in Remote Access VPN of de geldige groepsnaam en vooraf gedeelde sleutel(s) zijn ingevoerd in de CiscoVPN-client. U kunt deze fout tegenkomen als de groepsnaam of vooraf gedeelde sleutel(s) niet overeenkomen tussen de VPN-client en het kopapparaat.
1 12:41:51.900 02/18/06 Sev=Warning/3 IKE/0xE3000056 The received HASH payload cannot be verified 2 12:41:51.900 02/18/06 Sev=Warning/2 IKE/0xE300007D Hash verification failed 3 14:37:50.562 10/05/06 Sev=Warning/2 IKE/0xE3000099 Failed to authenticate peer (Navigator:904) 4 14:37:50.593 10/05/06 Sev=Warning/2 IKE/0xE30000A5 Unexpected SW error occurred while processing Aggressive Mode negotiator:(Navigator:2202) 5 14:44:15.937 10/05/06 Sev=Warning/2 IKE/0xA3000067 Received Unexpected InitialContact Notify (PLMgrNotify:888) 6 14:44:36.578 10/05/06 Sev=Warning/3 IKE/0xE3000056 The received HASH payload cannot be verified 7 14:44:36.593 10/05/06 Sev=Warning/2 IKE/0xE300007D Hash verification failed... possibly be configured with invalid group password. 8 14:44:36.609 10/05/06 Sev=Warning/2 IKE/0xE3000099 Failed to authenticate peer (Navigator:904) 9 14:44:36.640 10/05/06 Sev=Warning/2 IKE/0xE30000A5 Unexpected SW error occurred while processing Aggressive Mode negotiator:(Navigator:2202)
Waarschuwing: Als je crypto-gerelateerde opdrachten verwijdert, kun je een of al je VPN-tunnels naar beneden halen. Gebruik deze opdrachten met de nodige voorzichtigheid en verwijzen naar het wijzigingsbeheerbeleid van uw organisatie voordat u crypto-gerelateerde opdrachten verwijdert.
Voer deze opdrachten uit om de vooraf gedeelde keysecretkey voor de peer10.0.0.1 of de groupvpngroup in Cisco IOS® te verwijderen en opnieuw in te voeren:
Cisco LAN-to-LAN VPN:
router(config)#no crypto isakmp key secretkey address 10.0.0.1 router(config)#crypto isakmp key secretkey address 10.0.0.1
Cisco VPN voor externe toegang:
router(config)#crypto isakmp client configuration group vpngroup router(config-isakmp-group)#no key secretkey router(config-isakmp-group)#key secretkey
Voer deze opdrachten uit om de vooraf gedeelde keysecretkey voor de peer10.0.0.1 op /ASA-beveiligingstoestellen te verwijderen en opnieuw in te voeren:
Cisco 6.x:
(config)#no isakmp key secretkey address 10.0.0.1 (config)#isakmp key secretkey address 10.0.0.1
Cisco/ASA 7.x en hoger:
securityappliance(config)#tunnel-group 10.0.0.1 ipsec-attributes securityappliance(config-tunnel-ipsec)#no ikev1 pre-shared-key securityappliance(config-tunnel-ipsec)# ikev1 pre-shared-key secretkey
Vooraf gedeelde sleutel komt niet overeen
Het starten van de VPN-tunnel is verbroken. Deze kwestie doet zich voor vanwege een niet-overeenkomende vooraf gedeelde sleutel tijdens fase I-onderhandelingen. Het MM_WAIT_MSG_6bericht in de opdracht show crypto isakmp geeft een niet-overeenkomende vooraf gedeelde sleutel aan, zoals in dit voorbeeld wordt weergegeven:
ASA#show crypto isakmp sa
Active SA: 1
Rekey SA: 0 (A tunnel reports 1 Active and 1 Rekey SA during rekey)
Total IKE SA: 1
1 IKE Peer: 10.7.13.20
Type : L2L Role : initiator
Rekey : no State : MM_WAIT_MSG_6
Om dit probleem op te lossen, voert u de vooraf gedeelde sleutel in beide toestellen opnieuw in; de vooraf gedeelde sleutel moet uniek zijn en overeenkomen. Zie Vooraf gedeelde sleutels opnieuw invoeren of herstellen voor meer informatie.
Crypto maps verwijderen en opnieuw toepassen
Wanneer u beveiligingsassociaties opruimt, en het IPsec VPN-probleem niet oplost, verwijdert u de relevante crypto-kaart en past u deze opnieuw toe om een breed scala aan problemen op te lossen, waaronder intermitterende druppels VPN-tunnel en storingen van sommige VPN-sites.
Waarschuwing: Als u een cryptografische kaart uit een interface verwijdert, verwijdert deze alle IPsec-tunnels die aan die cryptografische kaart zijn gekoppeld. Ga voorzichtig te werk, raadpleeg deze stappen en overweeg het wijzigingsbeheerbeleid van uw organisatie voordat u verder gaat.
Voer deze opdrachten uit om een cryptografische kaart te verwijderen en te vervangen in Cisco IOS®:
Begin met het verwijderen van de crypto map van de interface. Voer het no-formulier van de opdracht crypto map uit:
router(config-if)#no crypto map mymap
Ga door met het uitvoeren van het formulier om een volledige crypto-kaart te verwijderen:
router(config)#no crypto map mymap 10
Vervang de cryptografische kaart op interface Ethernet0/0 voor de peer10.0.0.1. In dit voorbeeld wordt de minimaal vereiste configuratie van de cryptografische kaart weergegeven:
router(config)#crypto map mymap 10 ipsec-isakmp router(config-crypto-map)#match address 101 router(config-crypto-map)#set transform-set mySET router(config-crypto-map)#set peer 10.0.0.1 router(config-crypto-map)#exit router(config)#interface ethernet0/0 router(config-if)#crypto map mymap
Voer deze opdrachten uit om een crypto-kaart op de ASA te verwijderen en te vervangen. Begin met het verwijderen van de crypto map van de interface. Voer het no-formulier van de opdracht crypto map uit:
securityappliance(config)#no crypto map mymap interface outside
Ga door met het uitvoeren van het formulier om de andere crypto-kaartopdrachten te verwijderen:
securityappliance(config)#no crypto map mymap 10 match address 101 securityappliance(config)#no crypto map mymap set transform-set mySET securityappliance(config)#no crypto map mymap set peer 10.0.0.1
Vervang de cryptografische kaart voor peer10.0.0.1. In dit voorbeeld wordt de minimaal vereiste configuratie van de cryptografische kaart weergegeven:
securityappliance(config)#crypto map mymap 10 ipsec-isakmp securityappliance(config)#crypto map mymap 10 match address 101 securityappliance(config)#crypto map mymap 10 set transform-set mySET securityappliance(config)#crypto map mymap 10 set peer 10.0.0.1 securityappliance(config)#crypto map mymap interface outside
Als u de cryptografische kaart verwijdert en opnieuw toepast, lost dit ook het connectiviteitsprobleem op als het IP-adres van de kop is gewijzigd.
Controleren of Sysopt-opdrachten aanwezig zijn (alleen ASA)
De opdrachtsysopt-verbindingsvergunning-ipsecandsysopt-verbindingsvergunning-vpnallow-pakketten uit een IPsec-tunnel en hun payloads om interface-ACL's op het beveiligingsapparaat te omzeilen. IPsec-tunnels die eindigen op de security applicatie, zullen waarschijnlijk mislukken als een van deze opdrachten niet ingeschakeld is.
- In Security Appliance Software versie 7.0 en eerder is de relevante sysopt-opdracht voor deze situatie sysopt connection permit-ipsec.
- In Security Appliance Software versie 7.1(1) en hoger is de relevante sysopt-opdracht voor deze situatie sysopt connection permit-vpn.
- In 6.x is deze functionaliteit standaard uitgeschakeld. Met /ASA 7.0(1) en hoger is deze functionaliteit standaard ingeschakeld. Voer de volgende opdrachten uit om te bepalen of de relevante opdracht sysopt is ingeschakeld op uw apparaat:
Cisco ASA:
securityappliance# show running-config all sysopt no sysopt connection timewait sysopt connection tcpmss 1380 sysopt connection tcpmss minimum 0 no sysopt nodnsalias inbound no sysopt nodnsalias outbound no sysopt radius ignore-secret sysopt connection permit-vpn !--- sysopt connection permit-vpn is enabled !--- This device is running 7.2(2)
Voer deze opdracht uit om de juiste sysoptopdracht voor uw apparaat in te schakelen:
Cisco ASA:
securityappliance(config)#sysopt connection permit-vpn
Als u de opdracht Sysopt connection niet wilt uitvoeren, moet u het vereiste verkeer van de bron naar de bestemming expliciet toestaan. Bijvoorbeeld van extern naar lokaal LAN van het externe apparaat en "UDP-poort 500" voor de externe interface van het externe apparaat naar de externe interface van het lokale apparaat, buiten ACL.
De ISAKMP-identiteit controleren
IKE-onderhandelingsfouten in IPsec VPN's zijn vaak het gevolg van een peer die de identiteit van zijn partner niet herkent, dit is de manier. Wanneer twee peers IKE gebruiken om IPsec security koppelingen op te zetten, stuurt elke peer zijn ISAKMP-identiteit naar de externe peer. Elke peer stuurt of zijn IP-adres of de hostnaam, afhankelijk van de manier waarop de ISAKMP-identiteit ervan is ingesteld. Standaard wordt de ISAKMP-identiteit van de firewall-eenheid ingesteld op het IP-adres.
Als algemene regel stelt u het beveiligingsapparaat en de identiteit van de collega's op dezelfde manier in om een IKE-onderhandelingsfout te voorkomen. Voer de opdracht isakmp identity uit in de globale configuratiemodus om de Fase 2-ID in te stellen die naar de peer moet worden verzonden:
crypto isakmp identity address !--- If the RA or L2L (site-to-site) VPN tunnels connect !--- with pre-shared key as authentication type
OF:
crypto isakmp identity auto !--- If the RA or L2L (site-to-site) VPN tunnels connect !--- with ISAKMP negotiation by connection type; IP address for !--- preshared key or cert DN for certificate authentication.
OF:
crypto isakmp identity hostname !--- Uses the fully-qualified domain name of !--- the host exchange ISAKMP identity information (default). !--- This name comprises the hostname and the domain name.
Als de VPN-tunnel niet start na een verschuiving van de configuratie van ASA met de ASA-configuratiemigratietool; deze berichten worden weergegeven in het logboek:
[IKEv1]: Groep = x.x.x.x.x, IP = x.x.x.x, Stale PeerTableEntry gevonden, verwijderen!
[IKEv1]: Groep = x.x.x.x, IP = x.x.x.x, peer verwijderen uit correlatortabel mislukt, geen overeenkomst!
[IKEv1]: Groep = x.x.x.x.x, IP = x.x.x.x, construct_ipsec_delete(): geen SPI om fase 2 SA te identificeren!
[IKEv1]: Groep = x.x.x.x, IP = x.x.x.x, peer verwijderen uit correlatortabel mislukt, geen overeenkomst!
Time-out bij inactiviteit/sessietime-out controleren
Als de time-out voor stationair draaien is ingesteld op 30 minuten (standaard), laat deze de tunnel na 30 minuten vallen als er geen verkeer doorkomt. De VPN-client wordt na 30 minuten losgekoppeld, ongeacht de parameter idle timeout en ontvangt de fout PEER_DELETE-IKE_DELETE_UNSPECIFIED.
Configureer idle time-outsession time-outasnone om de tunnel altijd up te maken, en zodat de tunnel nooit valt, zelfs wanneer apparaten van derden worden gebruikt.
ASA
Voer de opdracht vpn-idle-timeout uit in de configuratiemodus voor groepsbeleid of in de configuratiemodus voor de gebruikersnaam om de time-outperiode voor de gebruiker te configureren:
hostname(config)#group-policy DfltGrpPolicy attributes hostname(config-group-policy)#vpn-idle-timeout none
Configureer een maximale tijdsduur voor VPN-verbindingen met de vpn-session-timeoutopdracht in de configuratiemodus voor groepsbeleid of in de configuratiemodus voor gebruikersnamen:
hostname(config)#group-policy DfltGrpPolicy attributes hostname(config-group-policy)#vpn-session-timeout none
Wanneer u tunnel-all hebt geconfigureerd, hoeft u geen idle-time-out te configureren, omdat, zelfs als u een time-out voor VPN-idle configureert, deze niet werkt zoals alle verkeersprocessen door de tunnel (omdat tunnel-all is geconfigureerd).
Daarom laat het verkeer (of zelfs het verkeer dat door de pc wordt gegenereerd) geen inactieve time-out optreden.
Cisco IOS® Router
Voer de opdracht crypto ipsec security-association idle-time uit in globale configuratiemodus of cryptografische configuratiemodus om de IPsec SA idle-timer te configureren. IPsec SA-inactiviteitstimers zijn standaard uitgeschakeld:
crypto ipsec security-association idle-time seconds
De tijd wordt gemeten in seconden, waardoor de inactieve timer een inactieve peer in staat stelt om een SA te behouden. Het waardebereik voor het argument seconds is van 60 tot 86400.
Controleer of ACL's correct zijn en zijn gekoppeld aan de Crypto Map
In een typische IPsec VPN-configuratie worden twee toegangslijsten gebruikt. Eén toegangslijst wordt gebruikt om verkeer bestemd voor de VPN-tunnel uit te sluiten van het NAT-proces. De andere toegangslijst definieert welk verkeer moet worden gecodeerd; dit omvat een crypto-ACL in een LAN-naar-LAN-configuratie of een split-tunnel-ACL in een configuratie voor externe toegang. Wanneer deze ACL's verkeerd zijn geconfigureerd of gemist, stroomt het verkeer in één richting door de VPN-tunnel of wordt het helemaal niet door de tunnel gestuurd.
Zorg ervoor dat u de crypto-ACL bindt met de crypto-kaart door de opdracht voor het matchen van de crypto-kaart in de globale configuratiemodus uit te voeren. Controleer of u alle toegangslijsten hebt geconfigureerd om uw IPsec VPN-configuraties te voltooien en die toegangslijsten bepalen het juiste verkeer. Deze lijst bevat items om te valideren wanneer u vermoedt dat een ACL de oorzaak is van problemen met uw IPsec VPN.
Bevestig uw NAT-vrijstelling en crypto-ACL's specificeren het juiste verkeer. Als u meerdere VPN-tunnels en meerdere crypto-ACL's hebt, moet u ervoor zorgen dat deze ACL's elkaar niet overlappen. Controleer ook of uw apparaat is geconfigureerd voor gebruik van de NAT Exemption ACL. Op een router betekent dit dat u de opdracht routekaart uitvoert. Op de ASA voert u het commando at (0) uit. Een ACL voor NAT-uitzonderingen is vereist voor zowel LAN-to-LAN als externe toegang-configuraties.
In het volgende voorbeeld wordt een Cisco IOS®-router geconfigureerd om verkeer vrij te stellen dat wordt verzonden tussen 192.168.100.0 /24 en 192.168.200.0 /24 of192.168.1.0 /24 van NAT. Verkeer met andere bestemmingen is onderworpen aan NAT-overload:
access-list 110 deny ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255 access-list 110 deny ip 192.168.100.0 0.0.0.255 192.168.1.0 0.0.0.255 access-list 110 permit ip 192.168.100.0 0.0.0.255 any route-map nonat permit 10 match ip address 110 ip nat inside source route-map nonat interface FastEthernet0/0 overload
ACL's met NAT-vrijstelling werken alleen met het IP-adres of IP-netwerken, zoals de genoemde voorbeelden (toegangslijst noNAT), en moeten identiek zijn aan de ACL's voor cryptografische kaarten. De NAT-vrijstelling ACL's werken niet met poortnummers (bijvoorbeeld 23, 25, enzovoort). In een VOIP-omgeving, waar spraakoproepen tussen netwerken worden gecommuniceerd via de VPN, werken spraakoproepen niet als NAT 0 ACL's niet goed zijn geconfigureerd. Voorafgaand aan het oplossen van problemen wordt aanbevolen om de status van de VPN-connectiviteit te controleren, omdat het probleem mogelijk te wijten is aan een verkeerde configuratie van ACL's die zijn vrijgesteld van NAT.
U kunt het foutbericht ontvangen zoals weergegeven als er een verkeerde configuratie is in NAT-vrijstelling (nat 0) ACL's.
%ASA-3-305005: No translation group found for udp src Outside:x.x.x.x/p dst Inside:y.y.y.y/p
Onjuist voorbeeld:
access-list noNAT extended permit ip 192.168.100.0 255.255.255.0 192.168.200.0 255.255.255.0 eq 25
Als NAT-vrijstelling (nat 0) niet goed werkt, probeer deze dan te verwijderen en voer de opdracht NAT 0 uit. Zorg ervoor dat uw ACL's niet achterwaarts zijn en dat ze het juiste type zijn. Crypto- en NAT-vrijstellingsACL's voor LAN-naar-LAN-configuraties moeten worden geschreven vanuit het perspectief van het apparaat waar de ACL is geconfigureerd. Daarom moeten de ACL's elkaar spiegelen. In dit voorbeeld wordt een LAN-naar-LAN-tunnel ingesteld tussen 192.168.100.0 /24 en 192.168.200.0 /24.
Crypto-ACL op router A:
access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255
Crypto-ACL op router B:
access-list 110 permit ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255
Hoewel niet geïllustreerd, geldt hetzelfde concept voor de ASA Security Appliances. In ASA moeten split-tunnel ACL's voor configuraties voor externe toegang standaardtoegangslijsten bevatten die verkeer naar het netwerk mogelijk maken waar VPN-clients toegang nodig hebben. Cisco IOS® routers kunnen uitgebreide ACL gebruiken voor split-tunnels. In de uitgebreide toegangslijst is het gebruik van 'any'aan de bron in de gesplitste tunnel vergelijkbaar met het uitschakelen van de gesplitste tunnel. Gebruik alleen bronnetwerken in de verlengde ACL voor gesplitste tunnel.
Juist voorbeeld:
access-list 140 permit ip 10.1.0.0 0.0.255.255 10.18.0.0 0.0.255.255
Onjuist voorbeeld:
access-list 140 permit ip any 10.18.0.0 0.0.255.255
Cisco IOS®
router(config)#access-list 10 permit ip 192.168.100.0 router(config)#crypto isakmp client configuration group MYGROUP router(config-isakmp-group)#acl 10
Cisco ASA
securityappliance(config)#access-list 10 standard permit 192.168.100.0 255.255.255.0 securityappliance(config)#group-policy MYPOLICY internal securityappliance(config)#group-policy MYPOLICY attributes securityappliance(config-group-policy)#split-tunnel-policy tunnelspecified securityappliance(config-group-policy)#split-tunnel-network-list value 10
Configuratie voor NAT-uitzondering in ASA versie 8.3. voor een site-to-site VPN-tunnel:
Er moet een site-to-site VPN worden opgezet tussen HOASA en BOASA met beide ASA's met versie 8.3. De NAT-vrijstellingsconfiguratie op HOASA ziet er als volgt uit:
object network obj-local subnet 192.168.100.0 255.255.255.0 object network obj-remote subnet 192.168.200.0 255.255.255.0 nat (inside,outside) 1 source static obj-local obj-local destination static obj-remote objremote
Het ISAKMP-beleid controleren
Als de IPsec-tunnel niet UP is, controleert u of het ISAKMP-beleid overeenkomt met de externe peers. Dit ISAKMP-beleid is toepasselijk voor zowel site-to-site (L2L) VPN's als IPsec VPN's voor externe toegang. Als de Cisco VPN-clients of de Site-to-Site VPN de tunnel niet met het externe apparaat kunnen maken, controleert u of de twee peers dezelfde waarden voor codering, hash, verificatie en Diffie-Hellman-parameters bevatten. Controleer of het externe peer-beleid een levensduur opgeeft die kleiner is dan of gelijk is aan de levensduur in het beleid dat de initiator heeft verzonden. Als de levensduur niet identiek is, gebruikt de security applicatie de kortere levensduur. Als er geen aanvaardbare overeenkomst bestaat, weigert ISAKMP de onderhandeling en wordt de SA niet opgebouwd.
"Error: Unable to remove Peer TblEntry, Removing peer from peer table failed, no match!"
Dit is een voorbeeld van het gedetailleerde logbericht:
4|Mar 24 2010 10:21:50|713903: IP = X.X.X.X, Error: Unable to remove PeerTblEntry 3|Mar 24 2010 10:21:50|713902: IP = X.X.X.X, Removing peer from peer table failed, no match! 3|Mar 24 2010 10:21:50|713048: IP = X.X.X.X, Error processing payload: Payload ID: 1 4|Mar 24 2010 10:21:49|713903: IP = X.X.X.X, Information Exchange processing failed 5|Mar 24 2010 10:21:49|713904: IP = X.X.X.X, Received an un-encrypted NO_PROPOSAL_CHOSEN notify message, drop
Dit bericht wordt meestal weergegeven als gevolg van niet-overeenkomende ISAKMP-beleidsregels of een gemiste NAT 0-verklaring. Bovendien wordt deze melding weergegeven:
Error Message %ASA-6-713219: Queueing KEY-ACQUIRE messages to be processed when P1 SA is complete.
Dit bericht geeft aan dat fase 2-berichten in de wachtrij staan nadat fase 1 is voltooid. Deze foutmelding is te wijten aan een van de volgende redenen:
-
Mismatch in fase op een van de peers
-
ACL blokkeert de peers vanaf de voltooiing van fase 1
Dit bericht komt meestal nadat het verwijderen van peer uit peer tabel is mislukt, geen match! foutmelding. Als de Cisco VPN-client geen verbinding kan maken met het headend-apparaat, kan het probleem worden veroorzaakt door de mismatch van het ISAKMP-beleid. Het headend-apparaat moet overeenkomen met een van de IKE-voorstellen van de Cisco VPN-client. Voor het ISAKMP-beleid en de IPsec Transform-set die op de ASA worden gebruikt, kan de Cisco VPN-client geen beleid gebruiken met een combinatie van DES en SHA. Als u DES gebruikt, moet u MD5 gebruiken voor het hash-algoritme, of u kunt andere combinaties gebruiken, zoals 3DES met SHA en 3DES met MD5.
Controleren of routering correct is
Zorg ervoor dat uw coderingsapparaten zoals Routers en ASA Security Appliances de juiste routeringsinformatie hebben om verkeer over uw VPN-tunnel te verzenden. Als er andere routers achter uw gateway-apparaat bestaan, controleert u of die routers de tunnel kunnen bereiken en welke netwerken zich aan de andere kant bevinden. Eén belangrijke component van routing in een VPN-implementatie is RRI (Reverse Route Injection). RRI plaatst dynamische vermeldingen voor externe netwerken of VPN-clients in de routingtabel van een VPN-gateway. Deze routes zijn nuttig voor het apparaat waarop ze zijn geïnstalleerd en voor andere apparaten op het netwerk, omdat routes die door RRI zijn geïnstalleerd, kunnen worden herverdeeld via routeringsprotocollen zoals EIGRP of OSPF.
In een LAN-naar-LAN-configuratie is het belangrijk dat elk eindpunt een route(s) heeft naar de netwerken waar het verkeer moet worden gecodeerd. In dit voorbeeld moet Router A routes hebben naar de netwerken achter Router B tot en met 10.89.129.2. Router B moet een vergelijkbare route hebben als 192.168.100.0 / 24. De eerste manier om ervoor te zorgen dat elke router de juiste route (en) kent, is door statische routes voor elk bestemmingsnetwerk te configureren. Bijvoorbeeld, voor Router A kunnen de volgende route-instructies zijn geconfigureerd.
ip route 0.0.0.0 0.0.0.0 172.22.1.1 ip route 192.168.200.0 255.255.255.0 10.89.129.2 ip route 192.168.210.0 255.255.255.0 10.89.129.2 ip route 192.168.220.0 255.255.255.0 10.89.129.2 ip route 192.168.230.0 255.255.255.0 10.89.129.2
Als Router A is vervangen door een ASA, kan de configuratie er als volgt uitzien:
route outside 0.0.0.0 0.0.0.0 172.22.1.1 route outside 192.168.200.0 255.255.255.0 10.89.129.2 route outside 192.168.200.0 255.255.255.0 10.89.129.2 route outside 192.168.200.0 255.255.255.0 10.89.129.2 route outside 192.168.200.0 255.255.255.0 10.89.129.2
Als er achter elk eindpunt een groot aantal netwerken bestaat, wordt het moeilijk om de configuratie van statische routes te handhaven. In plaats daarvan wordt aanbevolen om de injectie met omgekeerde route te gebruiken. RRI plaatst de routeringstabelroutes voor alle externe netwerken die worden vermeld in de crypto-ACL. De crypto-ACL en crypto map van Router A kan er bijvoorbeeld als volgt uitzien:
access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255 access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.210.0 0.0.0.255 access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.220.0 0.0.0.255 access-list 110 permit ip 192.168.100.0 0.0.0.255 192.168.230.0 0.0.0.255 crypto map myMAP 10 ipsec-isakmp set peer 10.89.129.2 reverse-route set transform-set mySET match address 110
Als Router A is vervangen door ASA, kan de configuratie er als volgt uitzien:
access-list cryptoACL extended permit ip 192.168.100.0 255.255.255.0 192.168.200.0 255.255.255.0 access-list cryptoACL extended permit ip 192.168.100.0 255.255.255.0 192.168.210.0 255.255.255.0 access-list cryptoACL extended permit ip 192.168.100.0 255.255.255.0 192.168.220.0 255.255.255.0 access-list cryptoACL extended permit ip 192.168.100.0 255.255.255.0 192.168.230.0 255.255.255.0 crypto map myMAP 10 match address cryptoACL crypto map myMAP 10 set peer 10.89.129.2 crypto map myMAP 10 set transform-set mySET crypto map mymap 10 set reverse-route
In een configuratie voor externe toegang zijn wijzigingen in de routing niet altijd nodig. Maar als er andere routers achter de VPN-gateway-router of Security Appliance bestaan, moeten die routers het pad naar de VPN-clients leren. Stel je voor dat de VPN-clients adressen krijgen in het bereik van 10.0.0.0 /24 wanneer ze verbinding maken.
Als er geen routingprotocol in gebruik is tussen de gateway en de andere router(s), kunnen statische routes worden gebruikt op routers als Router 2:
ip route 10.0.0.0 255.255.255.0 192.168.100.1
Als er een routingprotocol zoals EIGRP of OSPF in gebruik is tussen de gateway en andere routers, wordt aanbevolen Reverse Route Injection te gebruiken zoals beschreven. RRI voegt automatisch routes voor de VPN-client toe aan de routingtabel van de gateway. Deze routes kunnen vervolgens naar de andere routers in het netwerk worden gedistribueerd.
Cisco IOS® Router:
crypto dynamic-map dynMAP 10 set transform-set mySET reverse-route crypto map myMAP 60000 ipsec-isakmp dynamic dynMAP
Cisco ASA Security Appliance:
crypto dynamic-map dynMAP 10 set transform-set mySET crypto dynamic-map dynMAP 10 set reverse-route crypto map myMAP 60000 ipsec-isakmp dynamic dynMAP
Het routeringsprobleem treedt op als de groep IP-adressen die is toegewezen aan de VPN-clients overlapt met interne netwerken van het headend-apparaat. Voor meer informatie, zie de Overlapping Private Networks sectie.
Controleer of de transformatieset juist is
Zorg ervoor dat de IPsec-codering en hash-algoritmen die worden gebruikt door de transformatieset aan beide uiteinden hetzelfde zijn. Raadpleeg de sectie Opdrachtverwijzingen van de configuratiehandleiding voor Cisco Security Appliance voor meer informatie. Voor het ISAKMP-beleid en de IPsec Transform-set die op de ASA worden gebruikt, kan de Cisco VPN-client geen beleid gebruiken met een combinatie van DES en SHA. Als u DES gebruikt, moet u MD5 voor het hash-algoritme gebruiken, of u kunt de andere combinaties gebruiken: 3DES met SHA en 3DES met MD5.
Verifieer dat het volgnummer, de naam en de Crypto-kaart van de Crypto-kaart is toegepast op de juiste interface waar de IPsec-tunnel begint/eindigt
Als statische en dynamische peers op dezelfde cryptografische kaart zijn geconfigureerd, is de volgorde van de cryptografische kaartvermeldingen van cruciaal belang. Het volgnummer van de dynamische cryptografische kaart moet hoger zijn dan alle andere statische cryptografische kaarten. Als de statische items hoger zijn genummerd dan de dynamische items, mislukken de verbindingen met die peers en worden de foutopsporingen zoals weergegeven weergegeven weergegeven:
IKEv1]: Group = x.x.x.x, IP = x.x.x.x, QM FSM error (P2 struct &0x49ba5a0, mess id 0xcd600011)! [IKEv1]: Group = x.x.x.x, IP = x.x.x.x, Removing peer from correlator table failed, no match!
Er is slechts één dynamische Crypto-map toegestaan voor elke interface in de Security Appliance. Dit is een voorbeeld van een correct genummerde cryptografische kaart met een statische vermelding en een dynamische vermelding. Het dynamische item heeft het hoogste volgnummer en er is ruimte overgelaten om extra statische items toe te voegen:
crypto dynamic-map cisco 20 set transform-set myset crypto map mymap 10 match address 100 crypto map mymap 10 set peer 172.16.77.10 crypto map mymap 10 set transform-set myset crypto map mymap interface outside crypto map mymap 60000 ipsec-isakmp dynamic ciscothe
Crypto-kaartnamen zijn hoofdlettergevoelig. Deze foutmelding kan ook worden gezien wanneer de dynamische crypto-kaartreeks onjuist is, waardoor de peer de verkeerde crypto-kaart raakt. Dit wordt ook veroorzaakt door een niet-overeenkomende crypto-toegangslijst die verkeer definieert:%ASA-3-713042: IKE Initiator kan geen beleid vinden:
In een scenario waarin meerdere VPN-tunnels in dezelfde interface worden afgesloten, maakt u een cryptografische kaart met dezelfde naam (slechts één cryptografische kaart is toegestaan per interface), maar met een ander volgnummer. Dit geldt voor de router en ASA. Raadpleeg ASA: Voeg een nieuwe tunnel of externe toegang toe aan een bestaande L2L VPN - Cisco voor meer informatie over de configuratie van cryptografische kaarten voor zowel L2L- als Remote Access VPN-scenario's.
Controleer of het IP-adres van de peer juist is
De database met verbindingsspecifieke records voor IPsec maken en beheren. Geef voor een ASA Security Appliance LAN-to-LAN (L2L) IPsec VPN-configuratie de <naam>van de tunnelgroep op als het externe peer-IP-adres (remote tunneleinde) in de tunnelgroep <naam> type ipsec-l2lcommand. Het peer-IP-adres moet overeenkomen met de naam van de tunnelgroep en de adresopdrachten van de Crypto-toewijzingsset. Wanneer u de VPN configureert met ASDM, genereert deze automatisch de tunnelgroepnaam met het juiste peer-IP-adres. Als het peer-IP-adres niet goed is geconfigureerd, kunnen de logs dit bericht bevatten, dat kan worden opgelost door de juiste configuratie van het peer-IP-adres:
[IKEv1]: Group = DefaultL2LGroup, IP = x.x.x.x, ERROR, had problems decrypting packet, probably due to mismatched pre-shared key. Aborting
Wanneer het peer-IP-adres niet goed is geconfigureerd in de ASA-cryptomonfiguratie, kan de ASA de VPN-tunnel niet instellen en hangt deze alleen in het MM_WAIT_MSG4-stadium. Om dit probleem op te lossen, corrigeert u het peer-IP-adres in de configuratie. Dit is de uitvoer van de show crypto is een opdracht wanneer de VPN-tunnel in de MM_WAIT_MSG4 staat:
hostname#show crypto isakmp sa
1 IKE Peer: XX.XX.XX.XX
Type : L2L Role : initiator
Rekey : no State : MM_WAIT_MSG4
De tunnelgroep en groepsnamen controleren
%ASA-3-713206: Tunnel Rejected: Conflicting protocols specified by tunnel-group and group-policy
Dit bericht wordt weergegeven wanneer een tunnel wordt verwijderd omdat de toegestane tunnel die is opgegeven in het groepsbeleid, anders is dan de toegestane tunnel in de configuratie van de tunnelgroep.
group-policy hf_group_policy attributes vpn-tunnel-protocol l2tp-ipsec username hfremote attributes vpn-tunnel-protocol l2tp-ipsec Both lines read: vpn-tunnel-protocol ipsec l2tp-ipsec
IPSec inschakelen In het standaardgroepsbeleid worden de bestaande protocollen in het standaardgroepsbeleid gewijzigd.
group-policy DfltGrpPolicy attributes vpn-tunnel-protocol L2TP-IPSec IPSec webvpn
XAUTH voor L2L-peers uitschakelen
Als een LAN-naar-LAN-tunnel en een Remote Access VPN-tunnel op dezelfde cryptografische kaart zijn geconfigureerd, wordt de LAN-naar-LAN-peer gevraagd om XAUTH-informatie en mislukt de LAN-naar-LAN-tunnel met CONF_XAUTH in de uitvoer van de opdracht crypto isakmp. Dit is een voorbeeld van de SA-output:
Router#show crypto isakmp sa IPv4 Crypto ISAKMP SA dst src state conn-id slot status X.X.X.X Y.Y.Y.Y CONF_XAUTH 10223 0 ACTIVE X.X.X.X Z.Z.Z.Z CONF_XAUTH 10197 0 ACTIVE
Dit probleem is alleen van toepassing op Cisco IOS® waar ASA niet wordt beïnvloed door dit probleem omdat het tunnelgroepen gebruikt. Voer het trefwoord no-xauthkeyword uit wanneer u de ISAKMP-sleutel invoert, zodat het apparaat de peer niet vraagt om XAUTH-informatie (gebruikersnaam en wachtwoord). Dit trefwoord schakelt XAUTH uit voor statische IPsec-peers. Voer een soortgelijke opdracht uit op het apparaat waarop zowel L2L als RA VPN op dezelfde cryptografische kaart zijn geconfigureerd:
router(config)#crypto isakmp key cisco123 address 172.22.1.164 no-xauth
In het scenario waarin de ASA fungeert als de Easy VPN Server, kan de eenvoudige VPN-client geen verbinding maken met de headend vanwege een Xauth-probleem. Schakel de gebruikersverificatie in de ASA uit om het probleem op te lossen:
ASA(config)#tunnel-group example-group type ipsec-ra ASA(config)#tunnel-group example-group ipsec-attributes ASA(config-tunnel-ipsec)#isakmp ikev1-user-authentication none
Raadpleeg de sectie Diversen van dit document voor meer informatie over de isakmp ikev1-user-authentication opdracht.
VPN-pool uitgeput
Wanneer het bereik van de IP-adressen die aan de VPN-pool is toegewezen niet voldoet, kan de beschikbaarheid van de IP-adressen op twee manieren worden uitgebreid.
-
Verwijder het bestaande bereik en definieer het nieuwe bereik:
CiscoASA(config)#no ip local pool testvpnpool 10.76.41.1-10.76.41.254 CiscoASA(config)#ip local pool testvpnpool 10.76.41.1-10.76.42.254
-
Wanneer discontiguous subnets moeten worden toegevoegd aan de VPN-pool, kunt u twee afzonderlijke VPN-pools definiëren en deze vervolgens opgeven onder de "tunnelgroepattributen". Hierna volgt een voorbeeld:
CiscoASA(config)#ip local pool testvpnpoolAB 10.76.41.1-10.76.42.254 CiscoASA(config)#ip local pool testvpnpoolCD 10.76.45.1-10.76.45.254 CiscoASA(config)#tunnel-group test type remote-access CiscoASA(config)#tunnel-group test general-attributes CiscoASA(config-tunnel-general)#address-pool (inside) testvpnpoolAB testvpnpoolCD CiscoASA(config-tunnel-general)#exit
De volgorde waarin u de groepen opgeeft, is belangrijk omdat de ASA adressen toewijst aan deze groepen in de volgorde waarin de groepen in deze opdracht worden weergegeven. De adresgroepinstellingen in de opdracht adresgroepen van het groepsbeleid hebben altijd voorrang op de instellingen van de lokale groep in de opdracht adresgroep van de tunnelgroep.
Problemen met latentie voor VPN-clientverkeer
Als er latentieproblemen zijn met een VPN-verbinding, controleer dan deze voorwaarden om dit op te lossen:
-
Controleer of de MSS-waarde van het pakket verder kan worden verkleind.
-
Als IPsec/tcp wordt gebruikt in plaats van IPsec/udp, configureer dan reserve-vpn-flow.
-
Laad Cisco ASA opnieuw.
VPN-clients kunnen geen verbinding maken met ASA
Probleem
Cisco VPN-clients kunnen niet worden geverifieerd wanneer de Xauth wordt gebruikt met de Radius-server.
Oplossing
Soms, Xauth time-out, kunt u de time-out waarde voor de AAA-server verhogen om dit probleem op te lossen. Voorbeeld:
Hostname(config)#aaa-server test protocol radius hostname(config-aaa-server-group)#aaa-server test host 10.2.3.4 hostname(config-aaa-server-host)#timeout 10
Probleem
Cisco VPN-clients kunnen niet verifiëren wanneer XAUTH wordt gebruikt met de RADIUS-server.
Oplossing
Zorg er in eerste instantie voor dat de authenticatie goed werkt. Om het probleem te beperken, moet u eerst de verificatie verifiëren met de lokale database op ASA.
tunnel-group tggroup general-attributes
authentication-server-group none
authentication-server-group LOCAL
exit
Als dit werkt, is het probleem gerelateerd aan de Radius-serverconfiguratie. Controleer de connectiviteit van de RADIUS-server vanaf de ASA. Als de ping zonder problemen wordt uitgevoerd, controleert u de Radius-gerelateerde configuratie op ASA en de databaseconfiguratie op de Radius-server. U kunt de opdracht foutopsporingsstraal uitvoeren om problemen met de straal op te lossen. Voor sample debug radiusoutput, raadpleeg deze sample output. Voordat u de debugcommand op de ASA gebruikt, raadpleegt u dit documentatiewaarschuwingsbericht.
VPN-client verliest vaak verbinding bij eerste poging of "Security VPN Connection terminated by peer. Reden 433", of "Beveiligde VPN-verbinding beëindigd door Peer Reason 433: (Reden niet opgegeven door Peer)"
Probleem
Gebruikers van Cisco VPN-clients krijgen deze fout wanneer ze proberen verbinding te maken met het head-end VPN-apparaat.
- VPN-client laat de verbinding vaak vallen bij de eerste poging.
- Beveiliging VPN-verbinding beëindigd door Peer Reason 433.
- Beveiligde VPN-verbinding beëindigd door Peer Reason 433: (Reden niet opgegeven door Peer).
- Probeerde het IP-adres van het netwerk of de uitzending toe te wijzen door (x.x.x.x) uit de groep te verwijderen.
Oplossing 1
Dit probleem kan betrekking hebben op de toewijzing van de IP-pool via ASA, Radius-server, DHCP-server of via de Radius-server die als een DHCP-server fungeert. Voer de debug cryptocommand uit om te controleren of het netmasker en de IP-adressen correct zijn. Bevestig ook dat het netwerkadres en het uitzendadres niet in de pool zijn opgenomen. Radius-servers moeten de juiste IP-adressen toewijzen aan de clients.
Oplossing 2
Dit probleem treedt ook op als gevolg van het falen van uitgebreide authenticatie. U moet de AAA-server controleren om deze fout te troubleshooten. Controleer het wachtwoord voor de serververificatie op de server en client. Het opnieuw laden van de AAA-server kan dit probleem oplossen.
Oplossing 3
Een andere tijdelijke oplossing voor dit probleem is om de functie voor bedreigingsdetectie uit te schakelen. Wanneer er meerdere heruitzendingen zijn voor verschillende en onvolledige beveiligingsassociaties (SA's), denkt de ASA met de bedreigingsdetectiefunctie dat er een scanaanval heeft plaatsgevonden en dat de VPN-poorten zijn gemarkeerd als de belangrijkste overtreder. Schakel de bedreigingsdetectiefunctie uit, omdat dit overheadproblemen kan veroorzaken bij de verwerking van ASA. Voer deze opdrachten uit om de detectie van bedreigingen uit te schakelen:
no threat-detection basic-threat no threat-detection scanning-threat shun no threat-detection statistics no threat-detection rate
Dit kan worden gebruikt als een tijdelijke oplossing om te controleren of dit het probleem oplost. Zorg ervoor dat u de bedreigingsdetectie op de Cisco ASA uitschakelt, omdat dit verschillende beveiligingsfuncties in gevaar brengt, zoals het beperken van de scanpogingen, DoS met ongeldige SPI, pakketten die niet voldoen aan de toepassingsinspectie en onvolledige sessies.
Oplossing 4
Dit probleem treedt ook op wanneer een transformatieset niet goed is geconfigureerd en een juiste configuratie van de transformatieset het probleem oplost.
Externe en EZVPN-gebruikers verbinden met VPN maar hebben geen toegang tot externe bronnen
Probleem
- Gebruikers met externe toegang hebben geen internetverbinding wanneer ze eenmaal verbinding hebben gemaakt met een VPN.
- Gebruikers van externe toegang hebben geen toegang tot bronnen achter andere VPN’s op hetzelfde apparaat.
- Gebruikers van externe toegang hebben alleen toegang tot het lokale netwerk.
Oplossingen
Probeer deze oplossingen om het probleem op te lossen:
Kan de servers in de DMZ niet bereiken
Zodra de VPN-client is ingesteld, de IPsec-tunnel met het VPN-headendapparaat (ASA / Cisco IOS® Router), kunnen VPN-clientgebruikers echter toegang krijgen tot de bronnen van het INSIDE-netwerk (10.10.10.0/24). ze hebben geen toegang tot het DMZ-netwerk (10.1.1.0/24).
Diagram
Verifieer de Split Tunnel, NO NAT-configuratie wordt toegevoegd aan het headend-apparaat om toegang te krijgen tot de bronnen in het DMZ-netwerk.
ASA-configuratie
Deze configuratie laat zien hoe de NAT-vrijstelling voor het DMZ-netwerk kan worden geconfigureerd om de VPN-gebruikers toegang te geven tot het DMZ-netwerk:
object network obj-dmz subnet 10.1.1.0 255.255.255.0 object network obj-vpnpool subnet 192.168.1.0 255.255.255.0 nat (inside,dmz) 1 source static obj-dmz obj-dmz destination static obj-vpnpool obj-vpnpool
Als u een nieuw item hebt toegevoegd voor de NAT-configuratie, moet u de NAT-vertaling wissen.
Clear xlate Clear local
Verifiëren
Als de tunnel tot stand is gebracht, gaat u naar de Cisco VPN-client en kiest u Status > Route-details om te valideren dat de beveiligde routes worden weergegeven voor zowel het DMZ- als het INSIDE-netwerk.
Raadpleeg ASA: Voeg een nieuwe tunnel of externe toegang toe aan een bestaande L2L VPN - Cisco voor de stappen die nodig zijn om een nieuwe VPN-tunnel of een externe toegang VPN toe te voegen aan een L2L VPN-configuratie die al bestaat. U kunt ook verwijzen naar ASA: Allow Split Tunneling for VPN Clients on the ASA Configuration Voorbeeld voor stapsgewijze instructies over hoe u VPN Clients toegang tot het internet kunt geven terwijl deze zijn gekoppeld aan een Cisco 5500 Series Adaptive Security Appliance (ASA).
VPN-clients kunnen DNS niet oplossen
Als VPN-clients de DNS niet kunnen oplossen nadat de tunnel is ingesteld, kan het probleem betrekking hebben op de DNS-serverconfiguratie in het headend-apparaat (ASA). Controleer de connectiviteit tussen de VPN-clients en de DNS-server. De DNS-serverconfiguraties moeten worden geconfigureerd onder het groepsbeleid en worden toegepast onder het groepsbeleid in de algemene kenmerken van de tunnelgroep:
!--- Create the group policy named vpn3000 and !--- specify the DNS server IP address(172.16.1.1) !--- and the domain name(cisco.com) in the group policy. group-policy vpn3000 internal group-policy vpn3000 attributes dns-server value 172.16.1.1 default-domain value cisco.com !--- Associate the group policy(vpn3000) to the tunnel group !--- with the default-group-policy. tunnel-group vpn3000 general-attributes default-group-policy vpn3000
VPN-clients kunnen geen verbinding maken met interne servers op naam
De VPN-client kan de hosts of servers van het externe netwerk of het interne hoofdnetwerk niet op naam pingen. U moet de split-dns-configuratie op de ASA inschakelen om dit probleem op te lossen.
Split-Tunnel—kan geen toegang tot internet of uitgesloten netwerken krijgen
Split Tunnel maakt remote-access IPsec-clients voorwaardelijk direct pakketten over de IPsec tunnel in gecodeerde vorm of naar een netwerkinterface in duidelijke tekst gedecodeerd vorm, waar ze worden gerouteerd naar hun eindbestemming.
Split-tunnel zijn standaard uitgeschakeld, die u kunt zien loopt de commandtunnel verkeer.
split-tunnel-policy {tunnelall | tunnelspecified | excludespecified}
De optie excludespecideswordt alleen ondersteund voor Cisco VPN-clients, niet voor EZVPN-clients.
ciscoasa(config-group-policy)#split-tunnel-policy excludespecified
Raadpleeg deze documenten voor gedetailleerde configuratievoorbeelden van split-tunnel:
haarspeldoplossing
Deze functie is handig voor VPN-verkeer dat een interface binnenkomt, maar vervolgens uit dezelfde interface wordt gerouteerd. Bijvoorbeeld in een hub en spoke VPN-netwerk waar het beveiligingstoestel de hub is en externe VPN-netwerken worden gesproken. Gesproken communicatieverkeer moet in het beveiligingsapparaat gaan en vervolgens weer naar de andere spreker gaan. Voer dezelfde verkeersconfiguratie uit om verkeer dezelfde interface te laten in- en uitgaan:
securityappliance(config)#same-security-traffic permit intra-interface
Lokale LAN-toegang
Gebruikers met externe toegang kunnen verbinding maken met de VPN en alleen met lokale netwerken. Voor een gedetailleerder configuratievoorbeeld, zie ASA: Allow local LAN access for VPN clients.
Overlappende private netwerken
Probleem
Als u geen toegang hebt tot het interne netwerk na het instellen van de tunnel, controleert u het IP-adres dat is toegewezen aan de VPN-client die overlapt met het interne netwerk achter het kopapparaat.
Oplossing
Controleer of de IP-adressen in de pool die zijn toegewezen aan de VPN-clients, het interne netwerk van het headend-apparaat en het interne netwerk van de VPN-client zich in verschillende netwerken bevinden. U kunt hetzelfde grote netwerk toewijzen met verschillende subnetten, maar soms treden er routeringsproblemen op. Zie voor meer voorbeelden hetDiagramandExample of theUnable to Access the Servers in DMZsection.
Kan geen verbinding maken m=meer dan drie VPN-clientgebruikers
Probleem
Slechts drie VPN-clients kunnen verbinding maken met ASA / en de verbinding voor de vierde client mislukt. De volgende foutmelding wordt getoond:
Secure VPN Connection terminated locally by the client. Reason 413: User Authentication failed.
tunnel rejected; the maximum tunnel count has been reached
Oplossingen
In de meeste gevallen heeft dit probleem te maken met een gelijktijdige aanmeldingsinstelling binnen het groepsbeleid en de maximale sessielimiet. Probeer deze oplossingen om het probleem op te lossen:
Gelijktijdige aanmeldingen configureren
Als het selectievakje Inherit in ASDM is ingeschakeld, is alleen het standaardaantal gelijktijdige aanmeldingen voor de gebruiker toegestaan. De standaardwaarde voor gelijktijdige aanmeldingen is 3. Om dit probleem op te lossen, verhoogt u de waarde voor gelijktijdige aanmeldingen.
-
Start ASDM en navigeer vervolgens naar Configuration > VPN > Group Policy.
-
Kies de juiste Groepering en klik op de knop Bewerken.
-
Als u het tabblad Algemeen hebt geopend, schakelt u het selectievakje Overnemen voor gelijktijdige aanmeldingen onder Verbindingsinstellingen uit. Kies een geschikte waarde in het veld.
De minimale waarde voor dit veld is 0, waardoor aanmeldingen worden uitgeschakeld en de toegang van de gebruiker wordt voorkomen. Wanneer u zich aanmeldt met dezelfde gebruikersaccount vanaf een andere pc, wordt de huidige sessie (de verbinding die is gemaakt vanaf een andere pc met dezelfde gebruikersaccount) beëindigd en wordt de nieuwe sessie tot stand gebracht. Dit is standaardgedrag en is onafhankelijk van gelijktijdige VPN-aanmeldingen.
ASA configureren met CLI
Voer deze stappen uit om het gewenste aantal gelijktijdige aanmeldingen te configureren. In dit voorbeeld werd 20 gekozen als de gewenste waarde:
ciscoasa(config)#group-policy Bryan attributes ciscoasa(config-group-policy)#vpn-simultaneous-logins 20
Raadpleeg Cisco Security Appliance Command Reference voor meer informatie over deze opdracht. Voer de vpn-sessiondb max-session-limitcommand uit in de globale configuratiemodus om VPN-sessies te beperken tot een lagere waarde dan het beveiligingstoestel toestaat. Voer de overzetting van deze opdracht uit om de sessielimiet te verwijderen en voer de opdracht opnieuw uit om de huidige instelling te overschrijven:
vpn-sessiondb max-session-limit {session-limit}
Dit voorbeeld toont hoe u een maximum VPN-sessielimit van 450 instelt:
hostname#vpn-sessiondb max-session-limit 450
Configureren
Fout:
20932 10/26/2007 14:37:45.430 SEV=3 AUTH/5 RPT=1863 10.19.187.229 Authentication rejected: Reason = Simultaneous logins exceeded for user handle = 623, server = (none), user = 10.19.187.229, domain = <not specified>
Oplossing
Voer deze stappen uit om het gewenste aantal gelijktijdige aanmeldingen te configureren. U kunt ook de gelijktijdige aanmeldingen instellen op 5 voor deze SA. Kies Configuratie > Gebruikersbeheer > Groepen > Wijzigen 10.19.187.229 > Algemeen > Gelijktijdige aanmeldingen en wijzig het aantal aanmeldingen in 5.
Kan sessie of toepassing niet starten en overdracht nadat tunnel tot stand is gebracht is langzaam
Probleem
De toepassing of sessie initieert niet door de tunnel nadat een IPsec-tunnel is opgebouwd.
Oplossingen
Voer de opdracht ping uit om het netwerk te controleren of de toepassingsserver bereikbaar is vanuit het netwerk. Het kan een probleem zijn met de maximale segmentgrootte (MSS) voor tijdelijke pakketten die een router of / ASA-apparaat doorkruisen, met name TCP-segmenten met de SYN-bitset.
Cisco IOS® Router—Wijzig de MSS-waarde in de externe interface (Tunnel End Interface) van de router
Voer deze opdrachten uit om de MSS-waarde in de buiteninterface (tunneleindinterface) van de router te wijzigen:
Router>enable Router#configure terminal Router(config)#interface ethernet0/1 Router(config-if)#ip tcp adjust-mss 1300 Router(config-if)#end
Deze berichten geven de foutopsporingsuitvoer voor TCP MSS weer:
Router#debug ip tcp transactions Sep 5 18:42:46.247: TCP0: state was LISTEN -> SYNRCVD [23 -> 10.0.1.1(38437)] Sep 5 18:42:46.247: TCP: tcb 32290C0 connection to 10.0.1.1:38437, peer MSS 1300, MSS is 1300 Sep 5 18:42:46.247: TCP: sending SYN, seq 580539401, ack 6015751 Sep 5 18:42:46.247: TCP0: Connection to 10.0.1.1:38437, advertising MSS 1300 Sep 5 18:42:46.251: TCP0: state was SYNRCVD -> ESTAB [23 -> 10.0.1.1(38437)]
De MSS wordt ingesteld op 1300 op de router zoals geconfigureerd. Raadpleeg voor meer informatie ASA en Cisco IOS®: VPN-fragmentatie.
ASA — Raadpleeg de documentatie van ASA/ASA
Er is een onvermogen om toegang te krijgen tot het internet goed of trage overdracht door de tunnel, omdat het MTU grootte foutmelding en MSS problemen presenteert. Raadpleeg dit document om het probleem op te lossen:
Kan VPN Tunnel niet starten vanuit ASA
Probleem
U kunt de VPN-tunnel niet starten vanaf de ASA-interface en na de tunnelinstelling. De externe end/VPN-client kan de interne interface van de ASA niet pingen in de VPN-tunnel. De VPN-client kan bijvoorbeeld geen SSH- of HTTP-verbinding starten met ASA's in de interface via een VPN-tunnel.
Oplossing
De interne interface kan niet worden gekoppeld aan het andere uiteinde van de tunnel, tenzij de opdracht beheer-toegang is geconfigureerd in de globale configuratiemodus.
ASA-02(config)#management-access inside ASA-02(config)#show management-access management-access inside
Deze opdracht helpt ook met ssh initiatie of http verbinding voor de binnenkant interface van ASA door middel van een VPN-tunnel. De informatie geldt ook voor DMZ-interfaces. Als u bijvoorbeeld de DMZ-interface van /ASA wilt pingen of een tunnel vanaf de DMZ-interface wilt starten, is het uitvoeren van de DMZ-opdracht voor beheertoegang vereist.
ASA-02(config)#management-access DMZ
Als de VPN-client geen verbinding kan maken, moet u ervoor zorgen dat de ESP- en UDP-poorten geopend zijn. Als deze poorten echter niet geopend zijn, probeert u verbinding te maken op TCP 10000 met de selectie van deze poort onder de vermelding VPN-clientverbinding. Klik met de rechtermuisknop op Wijzigen > Tabblad Transport > IPsec via TCP.
Verkeer kan niet door de VPN-tunnel
Probleem
Je kunt geen verkeer door een VPN-tunnel leiden.
Oplossing
Dit probleem kan ook optreden wanneer ESP-pakketten worden geblokkeerd. Om dit probleem op te lossen, configureert u de VPN-tunnel opnieuw. Het kan ook voorkomen wanneer gegevens niet worden gecodeerd, maar alleen worden gedecodeerd via de VPN-tunnel, zoals wordt weergegeven in deze uitvoer:
ASA# sh crypto ipsec sa peer x.x.x.x
peer address: y.y.y.y
Crypto map tag: IPSec_map, seq num: 37, local addr: x.x.x.x
access-list test permit ip host xx.xx.xx.xx host yy.yy.yy.yy
local ident (addr/mask/prot/port): (xx.xx.xx.xx/255.255.255.255/0/0)
remote ident (addr/mask/prot/port): (yy.yy.yy.yy/255.255.255.255/0/0)
current_peer: y.y.y.y
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 393, #pkts decrypt: 393, #pkts verify: 393
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#send errors: 0, #recv errors: 0
Om dit probleem op te lossen, controleert u op de volgende voorwaarden:
-
Als de crypto-toegangslijsten overeenkomen met de externe site en de NAT 0-toegangslijsten correct zijn.
-
Als de routering correct is en het verkeer buiten de interface raakt, die naar binnen gaat, toont de voorbeelduitvoer dat de decryptie is voltooid, maar codering treedt niet op.
-
Als de Sysopt-permit-verbinding-vpn-opdracht is geconfigureerd op de ASA. Als deze niet is geconfigureerd, configureert u deze opdracht omdat het gecodeerde/VPN-verkeer naar de ASA wordt vrijgesteld van de ACL-controle van de interface.
Backup Peer for VPN Tunnel configureren op dezelfde Crypto Map
Probleem
U wilt meerdere back-up peers gebruiken voor één VPN-tunnel.
Oplossing
De configuratie van meerdere peers is gelijk aan het aanbieden van een fallback-lijst. Voor elke tunnel probeert de security applicatie te onderhandelen met de eerste peer op de lijst. Als deze peer niet reageert, gaat de security applicatie de lijst af totdat of een peer reageert of er geen peers meer op de lijst staan. De ASA heeft al een crypto-kaart geconfigureerd als de primaire peer. De secundaire peer kan worden toegevoegd na de primaire peer. Deze voorbeeldconfiguratie toont de primaire peer als X.X.X.X en back-up peer als Y.Y.Y.Y:
ASA(config)#crypto map mymap 10 set peer X.X.X.X Y.Y.Y.Y
VPN-tunnel uitschakelen/opnieuw starten
Probleem
Als u de VPN-tunnel tijdelijk wilt uitschakelen en de service opnieuw wilt starten, voert u de procedure uit die in dit gedeelte wordt beschreven.
Oplossing
Voer de opdracht Crypto-interface uit in de globale configuratiemodus om een eerder gedefinieerde cryptografische kaart die is ingesteld op een interface te verwijderen. Voer de noform van deze opdracht uit om de set cryptografische kaarten uit de interface te verwijderen.
hostname(config)#no crypto map map-name interface interface-name
Met deze opdracht wordt een cryptografische kaart verwijderd die is ingesteld op een actieve interface van het beveiligingstoestel en wordt de IPsec VPN-tunnel inactief in de interface. Om de IPsec-tunnel op een interface te hervatten, moet u een crypto map toewijzen die op een interface is ingesteld voordat die interface IPsec-services kan leveren.
hostname(config)#crypto map map-name interface interface-name
Sommige tunnels zijn niet versleuteld
Probleem
Wanneer een zeer groot aantal tunnels op de VPN-gateway wordt geconfigureerd, geven sommige tunnels geen verkeer door. ASA ontvangt geen versleutelde pakketten voor die tunnels.
Oplossing
Dit probleem treedt op omdat ASA de versleutelde pakketten niet door de tunnels kan sturen. In de ASP-tabel worden dubbele encryptieregels gemaakt.
Fout:- %ASA-5-713904: Groep = DefaultRAGroup, IP = x.x.x.x, ... niet-ondersteunde transactiemodus v2 versie.Tunnel beëindigd
Probleem
Het foutbericht %ASA-5-713904: Group = DefaultRAGroup, IP = 192.0.2.0,... niet-ondersteunde transactiemodus v2 version.Tunnel terminateerror wordt weergegeven.
Oplossing
De reden voor het foutbericht Transaction Mode v2is dat ASA alleen IKE Mode Config v6 ondersteunt en niet de oude versie v2 mode. Gebruik de IKE Mode Config v6 om deze fout op te lossen.
Fout:- %ASA-6-722036: Groepsclient-groep Gebruiker xxxx IP x.x.x.x.x Grote pakketverzendende 1220 (drempel 1206)
Probleem
De foutmelding%ASA-6-722036: Group < client-group > Gebruiker < xxxx > IP < x.x.x.x> die een groot pakket verzendt 1220 (drempel 1206) wordt weergegeven in de logboeken van ASA. Wat betekent deze melding en hoe kan dit probleem worden opgelost?
Oplossing
In dit logboekbericht staat dat een groot pakket naar de client is verzonden. De bron van het pakket was niet op de hoogte van de MTU van de klant. Dit kan het gevolg zijn van compressie van niet-comprimeerbare gegevens. U kunt de SVC-compressie uitschakelen met de opdracht svc compression none, waarmee het probleem wordt opgelost.
Foutmelding wanneer QoS is ingeschakeld aan het ene uiteinde van de VPN-tunnel
Probleem
Als u QoS aan één kant van de VPN-tunnel hebt ingeschakeld, kunt u deze foutmelding ontvangen:
IPSEC: Received an ESP packet (SPI= 0xDB6E5A60, sequence number= 0x7F9F) from 10.18.7.11 (user= ghufhi) to 172.16.29.23 that failed anti-replay check
Oplossing
Dit bericht wordt normaal gesproken veroorzaakt wanneer één uiteinde van de tunnel QoS uitvoert. Dit gebeurt wanneer een pakket wordt gedetecteerd als niet in orde. U kunt QoS uitschakelen om dit te stoppen, maar het kan worden genegeerd zolang het verkeer door de tunnel kan reizen.
WAARSCHUWING: Crypto-kaartinvoer onvolledig
Probleem
Wanneer u de opdracht cryptomaart mymap 20 ipsec-isakmpcommand uitvoert, kunt u deze fout ontvangen: WAARSCHUWING: vermelding cryptomaart onvolledig
Voorbeeld:
ciscoasa(config)#crypto map mymap 20 ipsec-isakmp WARNING: crypto map entry incomplete
Oplossing
Dit is een normale waarschuwing wanneer u een nieuwe cryptografische kaart definieert; een herinnering dat parameters zoals toegangslijst (overeenkomend adres), transformatieset en peer-adres moeten worden geconfigureerd voordat deze goed kan functioneren. Het is ook standaard om de eerste regel te zien die u typt om de crypto-kaart te definiëren, en deze wordt niet weergegeven in de configuratie.
Fout:- %ASA-4-400024: IDS:2151 Groot ICMP-pakket van de interface buiten
Probleem
Het is niet mogelijk grote ping-pakketten door te VPN-tunnel te sturen. Wanneer we proberen om grote ping-pakketten passeren krijgen we de fout%ASA-4-400024: IDS: 2151 Grote ICMP pakket van naar buiten interface.
Oplossing
Schakel de handtekeningen 2150 en 2151 uit om dit probleem op te lossen. Als de handtekeningen eenmaal zijn uitgeschakeld, functioneert ping naar behoren. Voer deze opdrachten uit om de handtekeningen uit te schakelen:
- ASA(config)#ip audit signature 2151 disable
- ASA(config)#ip audit signature 2150 disable
Fout:- %ASA-4-402119: IPSEC: een protocolpakket ontvangen (SPI=spi, volgnummer= seq_num) van Remote_IP (gebruikersnaam) naar Local_IP dat niet is gecontroleerd op antireplay
Probleem
De volgende foutmelding wordt weergegeven in de logboekberichten van ASA:
Fout:- %|ASA-4-402119: IPSEC: een protocolpakket ontvangen (SPI=spi, volgnummer= seq_num) van remote_IP (gebruikersnaam) naar local_IP dat niet is gecontroleerd op antireplay.
Oplossing
Om deze fout op te lossen, voert u de opdracht Crypto ipsec security-association replay window-size uit om de venstergrootte te variëren.
hostname(config)#crypto ipsec security-association replay window-size 1024
Cisco raadt u aan de volledige grootte van het 1024-venster te gebruiken om problemen met anti-replay te elimineren.
Foutbericht - %ASA-4-407001: Verkeer weigeren voor local-host interface_name: inside_address, licentiegrens van aantal overschreden
Probleem
Weinig hosts kunnen geen verbinding maken met internet; deze foutmelding wordt weergegeven in de syslog: Error Message - %ASA-4-407001: Deny traffic for local-host interface_name: inside_address, licentielimiet van aantal overschreden
Oplossing
Deze foutmelding wordt ontvangen wanneer het aantal gebruikers de gebruikerslimiet voor de gebruikte licentie overschrijdt. Dit probleem kan worden opgelost door de licentie te upgraden naar een hoger aantal gebruikers. De gebruikerslicentie kan naar wens 50, 100 of een onbeperkt aantal gebruikers ondersteunen.
Fout: - %VPN_HW-4-PACKET_ERROR:
Probleem
De foutmelding - %VPN_HW-4-PACKET_ERROR: foutmelding geeft aan dat het ESP-pakket met HMAC dat door de router is ontvangen, niet overeenkomt. Deze fout kan worden veroorzaakt door de volgende problemen:
-
De VPN H/W-module is defect
-
Het ESP-pakket is beschadigd
Oplossing
U lost dit foutbericht als volgt op:
-
Negeer de foutmelding indien verkeersonderbreking optreedt.
-
Vervang de module als een verkeersonderbreking optreedt.
Foutbericht: Opdracht afgewezen: Crypto-verbinding tussen VLAN XXXX en XXXX verwijderen, eerst
Probleem
Deze foutmelding wordt weergegeven wanneer u probeert een toegestaan VLAN toe te voegen aan de trunkpoort op een switch: Opdracht afgewezen: eerst de cryptoverbinding tussen VLAN XXXX en VLAN XXXX verwijderen. De WAN-edge-trunk kan niet worden aangepast om extra VLAN’s toe te staan. Als u geen VLAN's kunt toevoegen in de IPSEC VPN SPAtrunk. Deze opdracht wordt afgewezen omdat het resulteert in een crypto-verbonden interface VLAN dat behoort tot de toegestane VLAN-lijst, die een potentiële IPSec-beveiligingsinbreuk vormt.
Opmerking: Dit gedrag is van toepassing op alle trunkpoorten.
Oplossing
In plaats van de opdracht geen VLAN (vlanlist) voor switchport-trunk is toegestaan, voert u de opdracht switchport-trunk staat VLAN-noncommand toe of de opdracht "switchport-trunk toegestaan VLAN verwijderen (vlanlist)" uit.
Foutbericht - % FW-3-RESPONDER_WND_SCALE_INI_NO_SCALE: Vervallen pakket - Ongeldige optie voor vensterschaal voor sessie x.x.x.x:27331 tot x.x.x.x:23 [Initiator(flag 0,factor 0) Responder (flag 1, factor 2)]
Probleem
Deze fout treedt op wanneer u telnet probeert te verzenden vanaf een apparaat aan het uiteinde van een VPN-tunnel of wanneer u probeert te telnet vanaf de router zelf: Foutbericht - % FW-3-RESPONDER_WND_SCALE_INI+NO_SCALE: Vervallen pakket - Ongeldige optie voor vensterschaal voor sessie x.x.x.x:27331 naar x.x.x.x:23 pediaK[Initiator(flag 0,factor 0) Responder (flag 1, factor 2)]
Oplossing
De gebruikerslicentie kan naar wens 50, 100 of een onbeperkt aantal gebruikers ondersteunen. De vensterschaalfunctie werd toegevoegd om een snelle overdracht van gegevens op lange vetnetwerken (LFN) mogelijk te maken. Dit zijn meestal verbindingen met hoge bandbreedte en hoge latentie. Netwerken met satellietverbindingen zijn een voorbeeld van een LFN, omdat satellietverbindingen altijd hoge propagatievertragingen hebben met typisch hoge bandbreedte. Om de vensterschaalfunctie in te schakelen voor ondersteuning van LFN's, moet de grootte van het TCP-venster groter zijn dan 65.535. Dit foutbericht kan worden opgelost als u de grootte van het TCP-venster vergroot tot meer dan 65.535.
%ASA-5-305013: Asymmetrische NAT-regels afgestemd op voorwaarts en achteruit. Please update this issue flows
Probleem
Deze foutmelding verschijnt zodra de VPN-tunnel verschijnt: %ASA-5-305013: Assymetrische NAT-regels komen overeen voor vooruit en achteruit. Please update this issue flows.
Oplossing
Om dit probleem op te lossen wanneer het zich niet op dezelfde interface als de host met NAT bevindt, gebruikt u het toegewezen adres in plaats van het werkelijke adres om verbinding te maken met de host. Schakel bovendien de opdracht inspecteren in als de toepassing het IP-adres insluit.
%ASA-5-713068: Ontvangen niet-routinematig bericht: notify_type
Probleem
Deze foutmelding wordt weergegeven als de VPN-tunnel niet verschijnt: %ASA-5-713068: Ontvangen niet-routinematige melding: notify_type
Oplossing
Dit bericht treedt op als gevolg van een verkeerde configuratie (wanneer beleid of ACL's niet op dezelfde peers zijn geconfigureerd). Zodra het beleid en de ACL's zijn afgestemd, komt de tunnel zonder problemen naar boven.
%ASA-5-720012: (VPN-Secondary) IPSec-failover-runtimegegevens op de standby-eenheid zijn niet bijgewerkt (of) %ASA-6-720012: (VPN-eenheid) IPsec-failover-runtimegegevens op de standby-eenheid zijn niet bijgewerkt
Probleem
Een van deze foutmeldingen wordt weergegeven wanneer u probeert de Cisco Adaptive Security Appliance (ASA) te upgraden:
- %ASA-5-720012: (VPN-Secondary) IPSec-failover-runtimegegevens op de standby-eenheid zijn niet bijgewerkt.
- %ASA-6-720012: (VPN-unit) IPsec-failover-runtimegegevens op de standby-unit zijn niet bijgewerkt.
Oplossing
Deze foutmeldingen zijn informatieve fouten en hebben geen invloed op de functionaliteit van de ASA of de VPN. Ze verschijnen wanneer het VPN-failover-subsysteem de IPsec-gerelateerde runtime-gegevens niet kan bijwerken omdat de bijbehorende IPsec-tunnel op de standby-eenheid is verwijderd. Om deze problemen op te lossen, voert u de standby-opdracht uit op de actieve eenheid.
Fout:- %ASA-3-713063: IKE Peer Address niet geconfigureerd voor Bestemming 0.0.0.0
Probleem
Het foutbericht %ASA-3-713063: IKE Peer Address not configured for destination 0.0.0.0 verschijnt en de tunnel kan niet worden weergegeven.
Oplossing
Deze melding wordt weergegeven wanneer het IKE peer-adres niet geconfigureerd is voor een L2L-tunnel. De fout kan worden opgelost als u het volgnummer van de crypto-kaart wijzigt en vervolgens de crypto-kaart verwijdert en opnieuw toepast.
Fout: %ASA-3-752006: Tunnel Manager kan geen KEY_ACQUIRE-bericht verzenden
Probleem
De %ASA-3-752006: Tunnel Manager heeft geen KEY_ACQUIRE-bericht verzonden. Vermoedelijke verkeerde configuratie van de cryptografische kaart of tunnelgroep. foutmelding is geregistreerd op de Cisco ASA.
Oplossing
Deze foutmelding kan worden veroorzaakt door een onjuiste configuratie van de crypto map of tunnelgroep. Zorg ervoor dat beide correct zijn geconfigureerd. Raadpleeg Fout 752006 voor meer informatie over deze foutmelding.
Dit zijn enkele van de corrigerende maatregelen:
-
Verwijder de crypto-ACL die is gekoppeld aan de dynamische kaart.
-
Verwijder eventueel ongebruikte IKEv2-configuratie.
-
Controleer of de crypto-ACL goed is afgestemd.
-
Verwijder dubbele vermeldingen in de toegangslijst.
Fout: %ASA-4-402116: IPSEC: een ESP-pakket ontvangen (SPI= 0x99554D4E, volgnummer= 0x9E) van XX.XX.XX.XX (user= XX.XX.XX.XX) naar YY.YY.YY.YY
Bij het opbouwen van een LAN-to-LAN VPN-tunnel wordt de volgende foutmelding weergegeven op een eind-ASA:
Het gedecapsuleerde binnenpakket komt niet overeen met het onderhandelde beleid in de SA.
Het pakket specificeert zijn bestemming als 10.32.77.67, zijn bron als 10.105.30.1, en zijn protocol als icmp.
De SA specificeert zijn lokale proxy als 10.32.77.67/255.255.255.255/ip/0 en zijn remote_proxy als 10.105.42.192/255.255.255.224/ip/0.
Oplossing
U moet de unieke toegangslijsten voor verkeer controleren die aan beide uiteinden van de VPN-tunnel zijn gedefinieerd. Beide moeten overeenkomen als exacte spiegelbeelden.
Failed to launch 64-bit VA installer to enable the virtual adapter due to error 0xffffffff
Probleem
Het logboekbericht Failed to launch 64-bit VA installer to enable the virtual adapter due to error 0xffffffff wordt ontvangen en AnyConnect kan geen verbinding maken.
Oplossing
Voer de volgende stappen uit om dit probleem op te lossen:
-
Ga naar Systeem > Internetcommunicatiebeheer > Instellingen voor internetcommunicatie en zorg ervoor dat de update Automatische basiscertificaten uitschakelen is uitgeschakeld.
-
Als deze is uitgeschakeld, schakelt u het volledige gedeelte van de beheersjabloon van de GPO die aan het betreffende systeem is toegewezen uit en test u het opnieuw. Zie Automatische update van basiscertificaten uitschakelen voor meer informatie.
Cisco VPN-client werkt niet met de gegevenskaart op Windows 7
Probleem
Cisco VPN Client werkt niet met de gegevenskaart in Windows 7.
Oplossing
Cisco VPN Client geïnstalleerd op Windows 7 werkt niet met 3G-verbindingen omdat gegevenskaarten niet worden ondersteund op VPN-clients die zijn geïnstalleerd op Windows 7-machines.
Waarschuwing: "VPN-functionaliteit werkt mogelijk helemaal niet"
Probleem
Tijdens pogingen om ISAKMP in te schakelen op de buiteninterface van ASA, wordt dit waarschuwingsbericht ontvangen:
ASA(config)# crypto isakmp enable outside WARNING, system is running low on memory. Performance may start to degrade. VPN functionality may not work at all.
Toegang tot ASA via SSH en HTTPS wordt gestopt en andere SSL-clients worden ook beïnvloed.
Oplossing
Dit probleem is het gevolg van de geheugenvereisten van verschillende modules als logger en crypto. Zorg ervoor dat u niet de opdracht wachtrij 0 hebt. Hierdoor wordt de wachtrijgrootte ingesteld op 8192 en wordt de geheugentoewijzing verhoogd. In platforms zoals ASA5505 en ASA5510 heeft deze geheugentoewijzing de neiging om andere modules uit te hongeren.
IPSec Padding-foutmelding
Probleem
De volgende foutmelding wordt ontvangen:
%ASA-3-402130: CRYPTO: Received an ESP packet (SPI = 0xXXXXXXX, sequence number= 0xXXXX) from x.x.x.x (user= user) to y.y.y.y with incorrect IPsec padding
Oplossing
Het probleem doet zich voor omdat de IPSec VPN onderhandelt zonder een hash-algoritme. Packet hash zorgt voor integriteitscontrole voor het ESP-kanaal. Daarom, zonder hash, worden misvormde pakketten onopgemerkt geaccepteerd door de Cisco ASA en het probeert deze pakketten te decoderen. Echter, omdat deze pakketten zijn misvormd, de ASA vindt gebreken tijdens packet decryptie. Dit veroorzaakt de getoonde padding-foutmeldingen. De aanbeveling is om een hash-algoritme op te nemen in de transformatieset voor de VPN en om ervoor te zorgen dat de link tussen de peers een minimale pakketmisvorming heeft.
VPN-tunnel wordt na 18 uur afgesloten
Probleem
De VPN-tunnel wordt na elke 18 uur losgekoppeld, hoewel de levensduur is ingesteld op 24 uur.
Oplossing
De levensduur is de maximale tijd dat de SA kan worden gebruikt voor een sleutel. De waarde voor de levensduur die u invoert in de configuratie verschilt van de rekey-tijd van de SA. Het is noodzakelijk om te onderhandelen over een nieuw SA-paar (of SA-paar in het geval van IPsec) voordat de huidige verloopt. De rekey-tijd moet kleiner zijn dan de levensduur om meerdere pogingen mogelijk te maken voor het geval de eerste rekey-poging mislukt.
De RFC's geven niet aan hoe de rekeytijd moet worden berekend. Dit wordt overgelaten aan uw discretie, dus de tijd varieert met het platform. Sommige implementaties kunnen een willekeurige factor gebruiken om de rekey-timer te berekenen. Als de ASA bijvoorbeeld de tunnel initieert, is het normaal dat deze opnieuw wordt ingesteld op 64800 seconden = 75% van 86400. Als de router wordt gestart, kan de ASA langer wachten om de peer meer tijd te geven om de rekey te starten. Het is dus normaal dat de VPN-sessie elke 18 uur wordt verbroken om een andere sleutel te gebruiken voor de VPN-onderhandeling.
Verkeersstroom wordt niet gehandhaafd nadat opnieuw is onderhandeld over de LAN-naar-LAN-tunnel
Probleem
De verkeersstroom wordt onderbroken nadat de LAN-to-LAN tunnel opnieuw is onderhandeld.
Oplossing
De ASA bewaakt elke verbinding die passeert en onderhoudt een vermelding in de statustabel in overeenstemming met de applicatie-inspectiefunctie. Versleutelde verkeersgegevens die door de VPN gaan, worden bijgehouden in de vorm van een database van de Security Association (SA). Voor LAN-to-LAN VPN-verbindingen worden twee verschillende verkeersstromen onderhouden. Een daarvan is versleuteld verkeer tussen VPN-gateways. De andere is de verkeersstroom tussen de netwerkbron achter de VPN-gateway en de eindgebruiker achter het andere einde.
Wanneer VPN wordt beëindigd, worden de verkeersstroomdetails voor deze specifieke SA verwijderd. De vermelding in de toestandstabel die bijgehouden wordt door de ASA voor deze TCP-verbinding raakt echter vanwege het gebrek aan activiteit verouderd. Dit belemmert de download. Dit betekent dat de ASA nog steeds de TCP-verbinding voor die specifieke stroom behoudt terwijl de gebruikerstoepassing wordt beëindigd. De TCP-verbindingen worden verdwaald en uiteindelijk time-out nadat de TCP idle-timer is verlopen. Dit probleem is opgelost met de introductie van een functie genaamd Persistent IPSec Tunneled Flows. Een nieuw commando, sysopt connection preserve-vpn-flows, is geïntegreerd in de Cisco ASA om de statustabelinformatie te behouden tijdens de heronderhandeling van de VPN-tunnel.
Deze opdracht is standaard uitgeschakeld. Om dit mogelijk te maken, houdt de Cisco ASA de TCP-statustabelinformatie bij wanneer de L2L VPN herstelt van de verstoring en de tunnel opnieuw instelt.
Foutmelding dat limiet van bandbreedte voor Crypto-functionaliteit is bereikt
Probleem
De volgende foutmelding wordt weergegeven op de 2900 Series router:
Fout: Mar 20 10:51:29: %CERM-4-TX_BW_LIMIT: Maximale Tx Bandbreedte limiet van 8500 Kbps bereikt voor Crypto functionaliteit met securityK9 technologie pakket licentie.
Oplossing
Dit is een bekend probleem dat zich voordoet vanwege de strenge richtlijnen die door de Amerikaanse regering zijn uitgevaardigd. In overeenstemming met de securityK9-licentie kan het alleen een payload-codering tot snelheden van bijna 90 Mbps toestaan en het beperkt het aantal gecodeerde tunnels / TLS-sessies tot het apparaat. Raadpleeg voor meer informatie over exportbeperkingen voor crypto de Cisco ISR G2 SEC- en HSEC-licenties.
Voor Cisco-apparaten is afgeleid dat het minder dan 85 Mbps unidirectioneel verkeer in of uit de ISR G2-router is met een bidirectioneel totaal van 170 Mbps. Deze vereiste is van toepassing op Cisco 1900-, 2900- en 3900 ISR G2-platforms. Deze opdracht helpt om deze beperkingen te bekijken:
Router#show platform cerm-information Crypto Export Restrictions Manager(CERM) Information: CERM functionality: ENABLED ---------------------------------------------------------------- Resource Maximum Limit Available ---------------------------------------------------------------- Tx Bandwidth(in kbps) 85000 85000 Rx Bandwidth(in kbps) 85000 85000 Number of tunnels 225 225 Number of TLS sessions 1000 1000 ---Output truncated----
Om dit probleem te voorkomen, moet u een HSECK9-licentie aanschaffen. Een "hseck9" feature-licentie biedt verbeterde payload-encryptiefunctionaliteit met verhoogde VPN-tunneltellingen en beveiligde spraaksessies. Voor meer informatie over licenties voor Cisco ISR Router raadpleegt u Software Activation (Softwareactivering).
Probleem: Uitgaand coderingsverkeer in IPsec-tunnel mislukt, zelfs als inkomend decoderingsverkeer werkt
Oplossing
Dit probleem is waargenomen op een IPsec-verbinding na meerdere rekeys, maar de triggervoorwaarde is onduidelijk. De aanwezigheid van dit probleem kan worden vastgesteld als u de uitvoer van de show asp dropcommand controleert en de verlopen VPN-contextttverhogingen voor elk verzonden uitgaande pakket controleert.
Diversen
AG_INIT_EXCH-melding wordt weergegeven in de output voor de opdrachten "show crypto isakmp sa" en "debug"
Als de tunnel niet wordt gestart, verschijnt het AG_INIT_EXCHbericht in de uitvoer van de show crypto isakmp saccommand en in de debugoutput ook. De reden kan verband houden met een mismatch van ISAKMP-beleid of als udp-poort 500 is geblokkeerd.
Debug-melding "Received an IPC message during invalid state" wordt weergegeven
Dit is een informatief bericht en heeft niets te maken met het verbreken van de VPN-tunnel.
Gerelateerde informatie
- ASA en Cisco IOS®: VPN-fragmentatie
- Cisco ASA 5500 Series security applicaties
- IPsec-onderhandeling/IKE-protocollen
- Technische ondersteuning en documentatie – Cisco Systems
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
2.0 |
22-Jul-2026
|
Bijgewerkte spelling, grammatica, ingevoegde horizontale lijnen om secties te scheiden voor leesbaarheid, vaste CCW-waarschuwingen. |
1.0 |
31-Mar-2014
|
Eerste vrijgave |
Feedback