Depurações de ASA IKEv2 para solução de problemas de VPN de acesso remoto

Descrição da Mensagem do Servidor

Debugs

Descrição da Mensagem do Cliente

Data: 23/04/2013
Tempo : 16:24:55
Tipo : Informações
Fonte: acvpnui

Descrição : Função: ClientIfcBase::connect
Arquivo: .\ClientIfcBase.cpp
Linha: 964
Uma conexão VPN para Anu-IKEV2 foi solicitada pelo usuário.

****************************************
Data: 23/04/2013
Tempo : 16:24:55
Tipo : Informações
Fonte: acvpnui

Descrição : informações sobre o tipo de mensagem enviadas ao usuário:
Contatando Anu-IKEV2.
****************************************
Data: 23/04/2013
Tempo : 16:24:55
Tipo : Informações
Fonte: acvpnui

Descrição : Função: ApiCert::getCertList
Arquivo: .\ApiCert.cpp
Linha: 259
Número de certificados encontrados: 0
****************************************
Data: 23/04/2013
Tempo : 16:25:00
Tipo : Informações
Fonte: acvpnui

Descrição : Iniciando conexão VPN para o gateway seguro https://10.0.0.1/ASA-IKEV2
****************************************
Data: 23/04/2013
Tempo : 16:25:00
Tipo : Informações
Origem : acvpnagent

Descrição : túnel iniciado pelo cliente GUI.

****************************************

Data: 23/04/2013
Tempo : 16:25:02
Tipo : Informações
Origem : acvpnagent

Descrição : Função: CIPsecProtocol::connectTransport
Arquivo: .\IPsecProtocol.cpp
Linha: 1629
Soquete IKE aberto de 192.168.1.1:25170 a 10.0.0.1:500
****************************************

O ASA recebe a mensagem IKE_SA_INIT do cliente.

IKEv2-PLAT-4: RECEPÇÃO PKT [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000

IKEv2-PROTO-3: Rx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] m_id: 0x0

O primeiro par de mensagens é a troca de IKE_SA_INIT. Essas mensagens negociam algoritmos criptográficos, trocam momentos e fazem uma troca Diffie-Hellman (DH).

A mensagem IKE_SA_INIT recebida do cliente contém estes campos:

1. Cabeçalho ISAKMP - SPI/version/flags.
2. SAi1 - Algoritmo criptográfico suportado pelo iniciador IKE.
3. KEi - Valor de chave pública DH do iniciador.
4. N - Nonce do iniciador.

O ASA verifica e processa o
mensagem IKE_INIT. O ASA:

1. Escolhe o conjunto de criptografia de
   propostas pelo iniciador.
2. Calcula sua própria chave secreta DH.
3. Calcula um valor SKEYID a partir de
   para as quais todas as chaves podem ser derivadas
   este IKE_SA. Os cabeçalhos de todos
   as mensagens subsequentes são
   criptografado e autenticado. O
   as chaves usadas para criptografia e
   a proteção de integridade são derivadas
   do SKEYID e são conhecidos como:
   
   
   1. _SK - Criptografia.
   2. SK_a - Autenticação
   3. SK_d - Derivado e usado
      para derivação de outros
      material de chave para
      CHILD_SAs.
   SK_e e SK_a separadas são
   calculado para cada direção.

Configuração relevante:

crypto ikev2 policy 10
 encryption aes-192 integrity 
 sha group 2  prf sha lifetime 
 seconds 86400
crypto ikev2 enable outside

O ASA constrói a mensagem de resposta para a troca de IKE_SA_INIT.

Este pacote contém:

1. Cabeçalho ISAKMP - SPI/version/flags.
2. SAr1 - Algoritmo criptográfico escolhido pelo respondedor IKE.
3. KEr - Valor de chave pública DH do respondente.
4. N - Respondente Nonce.

O cliente mostra o túnel IPSec como 'iniciando'.

Data: 23/04/2013
Tempo : 16:25:02
Tipo : Informações
Origem : acvpnagent

Descrição : Função: ikev2_log
Arquivo: .\ikev2_anyconnect_osal.cpp
Linha: 2730
Recebida a solicitação para estabelecer um túnel IPsec; seletor de tráfego local = Intervalo de endereço: 0.0.0.0-255.255.255.255 Protocolo: 0 Intervalo de porta: 0-65535 ; seletor de tráfego remoto = Intervalo de endereço: 0.0.0.0-255.255.255 Protocolo: 0 Intervalo de porta: 0-65535
****************************************
Data: 23/04/2013
Tempo : 16:25:02
Tipo : Informações
Origem : acvpnagent

Descrição : Função: CIPsecProtocol::connectTransport
Arquivo: .\IPsecProtocol.cpp
Linha: 1629
Soquete IKE aberto de 192.168.1.1:25171 a 10.0.0.1:4500
****************************************

A autenticação é feita com EAP. Somente um único método de autenticação EAP é permitido em uma conversação EAP. O ASA recebe a mensagem IKE_AUTH do cliente.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001

IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x1

Quando o cliente inclui uma carga IDi
mas não uma carga AUTH, isso indica
o cliente declarou uma identidade, mas
não provaram. Nas depurações, o comando AUTH
o payload não está presente em IKE_AUTH
pacote enviado pelo cliente. O cliente
envia o payload de AUTH somente após o comando
Troca de EAP bem-sucedida. Se o ASA
está disposto a usar uma
método de autenticação, ele coloca um EAP
payload na mensagem 4 e adia o envio
SAr2, TSi e TSr até o iniciador
a autenticação é concluída em um
intercâmbio IKE_AUTH subsequente.

O pacote do iniciador IKE_AUTH contém:

1. Cabeçalho ISAKMP -
   SPI/versão/sinalizadores.
2. IDi - O nome do grupo de túneis que
   o cliente deseja se conectar a
   pode ser entregue pelo IDi
   carga útil do tipo ID_KEY_ID em
   a mensagem inicial do
   Intercâmbio IKE_AUTH. Este
   ocorre quando o perfil do cliente* é
   pré-configurado com um nome de grupo
   ou, depois de uma avaliação
   autenticação, o cliente tem
   armazenou em cache o nome do grupo em seu
   arquivo de preferências. O ASA
   tenta corresponder um grupo de túneis
   com o conteúdo do IKE
   Carga IDi. Após a primeira
   a VPN IPSec bem-sucedida é
   estabelecido, o cliente armazena em cache o
   nome do grupo (alias de grupo) ao qual
   o usuário autenticado. Este grupo
   nome é entregue no IDi
   carga útil da próxima conexão
   tentativa de indicar a
   grupo provável desejado pelo
   usuário. Quando a autenticação EAP é
   especificado ou implícito pelo cliente
   perfil e o perfil não
   contém o <IKEIdentity>
   elemento, o cliente envia um
   ID_GROUP tipo IDi payload
   com a string fixa
   *$AnyConnectClient$*.
   
3. CERTREQ - O cliente está
   solicitar o ASA para um
   certificado preferencial. Certificado
   cargas úteis de solicitação podem ser incluídas
   em uma troca quando o remetente
   precisa obter o certificado do
   receptor. A solicitação de certificado
   a carga útil é processada por
   inspeção da "codificação Cert"
   para determinar
   se o processador tem algum
   certificados deste tipo. Em caso afirmativo, o
   O campo 'Autoridade de Certificação' é
   inspecionados para determinar se
   o processador tiver certificados
   que podem ser validados até um dos
   a certificação especificada
   autoridades competentes. Isso pode ser uma cadeia de
   certificados.
   
4. CFG - CFG_REQUEST/
   CFG_REPLY permite um IKE
   ponto final para solicitar informações
   de seu par. Se um atributo no estado
   configuração de CFG_REQUEST
   a carga útil não é de comprimento zero, é
   tomado como uma sugestão para que
   attribute.The CFG_REPLY
   carga útil de configuração pode retornar
   valor ou um novo valor. Pode
   também adicionar novos atributos e não
   incluir alguns solicitados.
   Os solicitantes ignoram os retornos
   atributos que eles não
   reconhecem. Nessas depurações, o comando
   o cliente está solicitando o túnel
   configuração no
   CFG_REQUEST. O ASA
   responde a isso e envia o túnel
   atributos de configuração somente após
   troca de EAP bem-sucedida.
   
5. SAi2 - SAi2 inicia a SA,
   que é semelhante à fase 2
   troca de conjunto de transformação em IKEv1.
   
6. TSi e TSr - O iniciador e
   seletores de tráfego do respondente
   contêm, respectivamente, a fonte
   e o endereço de destino do
   iniciador e respondente para
   encaminhar e receber criptografado
   tráfego. O intervalo de endereços
   especifica que todo o tráfego de e para
   esse alcance está em túnel. Se a
   proposta é aceitável para o
   respondente, ele envia TS idênticos
   cargas úteis de volta.

Os atributos que o cliente deve fornecer para
autenticação de grupo são armazenadas em um
Arquivo de perfil do AnyConnect.

*Configuração de perfil relevante:

<ServerList>
<HostEntry>
  <HostName>Anu-IKEV2
  </HostName>
  <HostAddress>10.0.0.1
  </HostAddress>
  
         
         
           ASA-IKEV2 
          
 
         
<PrimaryProtocol>IPsec
</PrimaryProtocol>
</HostEntry>
</ServerList>

O ASA gera uma resposta para a mensagem IKE_AUTH e se prepara para se autenticar no cliente.

Pacote descriptografado:Dados e dois-pontos; 540 bytes
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando temporizador para aguardar mensagem de autenticação
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_NAT_T
IKEv2-PROTO-3: (6): Verificar descoberta de NAT
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHG_NAT_T_PORT
IKEv2-PROTO-2: (6): o NAT detectou flutuação para inicializar porta 25171, respectivamente porta 4500
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_PROC_ID
IKEv2-PROTO-2: (6): parâmetros válidos recebidos na ID do processo
IKEv2-PLAT-3: (6) método de autenticação de peer definido como: 0
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_IF_PEER_CERT_NEEDS_TO_BE_FETCHED_FOR_PROF_SEL
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_GET_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): Obtendo políticas configuradas
IKEv2-PLAT-3: nova conexão do AnyConnect Client detectada com base no payload de ID
IKEv2-PLAT-3: my_auth_method = 1
IKEv2-PLAT-3: (6) método de autenticação de peer definido como: 256
IKEv2-PLAT-3: supported_peers_auth_method = 16
IKEv2-PLAT-3: (6) tp_name definido como: Anu-ikev2
IKEv2-PLAT-3: ponto de confiança definido como: Anu-ikev2
IKEv2-PLAT-3: ID de P1 = 0
IKEv2-PLAT-3: Tradução de IKE_ID_AUTO para = 9
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_SET_POLICY
IKEv2-PROTO-3: (6): Definindo políticas configuradas
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_VERIFY_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): verificar política do par
IKEv2-PROTO-3: (6): Certificado correspondente encontrado
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_CONFIG_MODE
IKEv2-PROTO-3: (6): dados do modo de configuração válidos recebidos
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_SET_RECD_CONFIG_MODE
IKEv2-PLAT-3: (6) O nome de host DHCP para DDNS está definido como: winxp64template
IKEv2-PROTO-3: (6): definir dados do modo de configuração recebidos
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_AUTH4EAP
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_EAP
IKEv2-PROTO-3: (6): Verificar troca de EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Evento: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Gerar meus dados de autenticação
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Evento: EV_CHK4_SIGN
IKEv2-PROTO-3: (6): Obter meu método de autenticação
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Evento: EV_SIGN
IKEv2-PROTO-3: (6): dados de autenticação de assinatura
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Evento: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_AUTHEN_REQ
IKEv2-PROTO-2: (6): Solicitando que o autenticador envie uma solicitação EAP

Valor config-auth do nome do elemento criado
Valor de cliente de nome de atributo adicionado a elemento config-auth
Valor de tipo de nome de atributo adicionado hello ao elemento config-auth
Valor da versão do nome do elemento criado 9.0(2)8
Valor 9.0(2)8 da versão do nome do elemento adicionado ao elemento config-auth
Adicionado nome do atributo que valoriza sg para a versão do elemento
Mensagem XML gerada abaixo
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="hello">
<version who="sg">9.0(2)8</version>
</config-auth>

IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Ação: Action_Null
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_CHK_REDIRECT
IKEv2-PROTO-3: (6): verificação de redirecionamento com plataforma para balanceamento de carga
IKEv2-PLAT-3: verificação de redirecionamento na plataforma
IKEv2-PLAT-3: ikev2_osal_redirect: Sessão aceita por 10.0.0.1
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_SEND_EAP_AUTH_REQ
IKEv2-PROTO-2: (6): Enviando solicitação EAP
IKEv2-PROTO-5: Criar carga específica do fornecedor: CISCO-GRANITEIKEv2-PROTO-3: (6): Criar

O ASA envia o payload de AUTH para solicitar credenciais de usuário do cliente. O ASA envia o método AUTH como 'RSA', para que ele envie seu próprio certificado ao cliente, de modo que o cliente possa autenticar o servidor ASA.

Como o ASA está disposto a usar um método de autenticação extensível, ele coloca um payload EAP na mensagem 4 e adia o envio de SAr2, TSi e TSr até que a autenticação do iniciador seja concluída em uma troca IKE_AUTH subsequente. Assim, essas três cargas não estão presentes nas depurações.

O pacote EAP contém:

1. Code: request - Este código é enviado pelo autenticador ao peer.
2. id: 1 - A id ajuda a corresponder as respostas EAP com as solicitações. Aqui, o valor é 1, o que indica que é o primeiro pacote na troca de EAP. Essa solicitação EAP tem o tipo 'config-auth' de 'hello;' e é enviada do ASA para o cliente para iniciar a troca de EAP.
3. Comprimento: 150 - O comprimento do pacote EAP inclui os dados de código, id, comprimento e EAP.
4. Dados EAP.

A fragmentação poderá ocorrer se os certificados forem grandes ou se as cadeias de certificados forem incluídas. As cargas de KE do iniciador e do respondente também podem incluir chaves grandes, o que também pode contribuir para a fragmentação.

****************************************
Data: 23/04/2013
Tempo : 16:25:02
Tipo : Informações
Origem : acvpnagent

Descrição : Função: ikev2_verify_X509_SIG_certs
Arquivo: .\ikev2_anyconnect_osal.cpp
Linha: 2077
Solicitando aceitação do certificado do usuário
****************************************
Data: 23/04/2013
Tempo : 16:25:02
Tipo : Erro
Fonte: acvpnui

Descrição : Função: CapiCertificate::verifyChainPolicy
Arquivo: .\Certificates\CapiCertificate.cpp
Linha: 2032
Função Chamada: CertVerifyCertificateChainPolicy
Código de retorno: -2146762487 (0x800B0109)
Descrição: uma cadeia de certificados processada, mas terminada em um certificado raiz que não é confiável para o provedor de confiança.
****************************************
Data: 23/04/2013
Tempo : 16:25:04
Tipo : Informações
Origem : acvpnagent

Descrição : Função: CEAPMgr::dataRequestCB
Arquivo: .\EAPMgr.cpp
Linha: 400
Tipo proposto de EAP: EAP-ANYCONNECT
****************************************

O cliente responde à solicitação EAP com uma resposta.

O pacote EAP contém:

1. Code: response - Este código é enviado pelo peer para o autenticador em resposta à solicitação EAP.
2. id: 1 - A id ajuda a corresponder as respostas EAP com as solicitações. Aqui, o valor é 1, o que indica que essa é uma resposta à solicitação enviada anteriormente pelo ASA (autenticador). Esta resposta EAP tem o tipo 'config-auth' de 'init'; o cliente está inicializando a troca EAP e está aguardando que o ASA gere a solicitação de autenticação.
3. Comprimento: 252 - O comprimento do pacote EAP inclui os dados de código, id, comprimento e EAP.
4. Dados EAP.

O ASA descriptografa essa resposta, e o cliente diz que recebeu o payload de AUTH no pacote anterior (com o certificado) e recebeu o primeiro pacote de solicitação EAP do ASA. Isso é o que o pacote de resposta EAP 'init' contém.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Próxima carga útil: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo de troca: IKE_AUTH, sinalizadores: INITIATOR
IKEv2-PROTO-4: ID da mensagem: 0x2, comprimento: 332
IKEv2-PROTO-5: (6): A solicitação tem messe_id 2; esperada de 2 a 2
REAL Pacote descriptografado:Dados: 256 bytes
 Próxima carga EAP: NENHUMA, reservada: 0x0, comprimento: 256
    Código: resposta: id: 1, comprimento: 252
    Tipo: Desconhecido - 254
Dados EAP:247 bytes

Pacote descriptografado:Dados e dois-pontos; 332 bytes
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando temporizador para aguardar mensagem de autenticação
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_EAP_RESP

IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP Evento: EV_PROC_MSG
IKEv2-PROTO-2: (6): processando resposta EAP

Mensagem XML recebida abaixo do cliente
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="init">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<group-select>ASA-IKEV2</group-select>
<group-access>ASA-IKEV2</group-access>
</config-auth>
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP Evento: EV_RECV_EAP_AUTH

IKEv2-PROTO-5: (6): Ação: Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_BLD_EAP_REQ Evento: EV_RECV_EAP_REQ

Esta é a segunda solicitação enviada pelo ASA ao cliente.

O pacote EAP contém:

1. Code: request - Este código é enviado pelo autenticador ao peer.
2. id: 2 - A id ajuda a corresponder as respostas EAP com as solicitações. Aqui, o valor é 2, o que indica que é o segundo pacote na troca. Esta solicitação tem o tipo 'config-auth' de 'auth-request'; o ASA está solicitando que o cliente envie as credenciais de autenticação do usuário.
3. Comprimento: 457 - O comprimento do pacote EAP inclui os dados de código, id, comprimento e EAP.
4. Dados EAP.

payload ENCR:

Essa carga é descriptografada e seu conteúdo é analisado como cargas adicionais.

IKEv2-PROTO-2: (6): Enviando solicitação EAP

Mensagem XML gerada abaixo
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-request">
<version who="sg">9.0(2)8</version>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash>
</opaco>
<csport>443</csport>
<auth id="main">
<formulário>
<input type="text" name="username" label="Username:"></input>
<input type="password" name="password" label="Password:"></input>
</formulário>
</auth>
</config-auth>
IKEv2-PROTO-3: (6): Criando pacote para criptografia; o conteúdo é:
 Próxima carga EAP: NENHUMA, reservada: 0x0, comprimento: 461
    Código: pedido: id: 2, comprimento: 457
    Tipo: Desconhecido - 254
Dados EAP: 452 bytes

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Próxima carga útil: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo de troca: IKE_AUTH, sinalizadores: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID da mensagem: 0x2, comprimento: 524
 ENCR Próxima carga útil: EAP, reservado: 0x0, comprimento: 496
&Dois-pontos criptografados; 492 bytes

IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_BLD_EAP_REQ Evento: EV_START_TMR
IKEv2-PROTO-3: (6): Iniciando temporizador para aguardar mensagem de autenticação do usuário (120 seg)
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_WAIT_EAP_RESP Evento: EV_NO_EVENT   

O cliente solicita a autenticação do usuário e a envia ao ASA como uma resposta EAP no próximo pacote ('auth-reply').

O cliente envia outra mensagem do iniciador IKE_AUTH com o payload EAP.

O pacote EAP contém:

1. Code: response - Este código é enviado pelo peer para o autenticador em resposta à solicitação EAP.
2. id: 2 - A id ajuda a corresponder as respostas EAP com as solicitações. Aqui, o valor é 2, o que indica que essa é uma resposta à solicitação enviada anteriormente pelo ASA (autenticador).
3. Comprimento: 420 - O comprimento do pacote EAP inclui os dados de código, id, comprimento e EAP.
4. Dados EAP.

O ASA processa essa resposta. O cliente solicitou que o usuário insira as credenciais. Esta resposta EAP tem o tipo 'config-auth' de 'auth-reply.' Este pacote contém as credenciais inseridas pelo usuário.

Pacote descriptografado:Dados: 492 bytes
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando temporizador para aguardar mensagem de autenticação
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Evento: EV_PROC_MSG
IKEv2-PROTO-2: (6): processando resposta EAP

Mensagem XML recebida abaixo do cliente
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-reply">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<session-token></session-token>
<session-id></session-id>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash></opaque>
<auth>
<password>cisco123</password>
<username>Anu</username></auth>
</config-auth>
IKEv2-PLAT-1: EAP:Autenticação de Usuário Iniciada
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Evento: EV_NO_EVENT
IKEv2-PLAT-5: EAP:Em retorno de chamada AAA
Resumo de certificados do servidor recuperado: DACE1C274785F28BA11D64453096BAE294A3172E
IKEv2-PLAT-5: EAP:sucesso no retorno de chamada AAA
IKEv2-PROTO-3: resposta recebida do autenticador
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Evento: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Ação: Action_Null

O ASA cria uma terceira solicitação EAP na troca.

O pacote EAP contém:

1. Code: request - Este código é enviado pelo autenticador ao peer.
2. id: 3 - A id ajuda a corresponder as respostas EAP com as solicitações. Aqui, o valor é 3, o que indica que é o terceiro pacote na troca. Este pacote tem o tipo 'config-auth' de 'complete'; o ASA recebeu uma resposta e a troca de EAP está completa.
3. Comprimento: 4235 - O comprimento do pacote EAP inclui os dados de código, id, comprimento e EAP.
4. Dados EAP.

payload ENCR:

Essa carga é descriptografada e seu conteúdo é analisado como cargas adicionais.

IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Evento: EV_RECV_EAP_REQ
IKEv2-PROTO-2: (6): Enviando solicitação EAP

Mensagem XML gerada abaixo
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="complete">
<version who="sg">9.0(2)8</version>
<session-id>32768</session-id>
<session-token>18wA0TtGmDxPKPQCJywC7fB7EWLCEgz-ZtjYpAyXx2yJH0H3G3H8t5xpBOx3Ixag</session-token>
<auth id="success">
<message id="0" param1="" param2=""></message>
</auth>

IKEv2-PROTO-3: (6): Criando pacote para criptografia; o conteúdo é:
 Próxima carga útil de EAP: NONE, reservada: 0x0, comprimento: 4239
    Código: pedido: id: 3, comprimento: 4235
    Tipo: Desconhecido - 254
Dados EAP: 4.230 bytes

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x3
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Próxima carga útil: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo de troca: IKE_AUTH, sinalizadores: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID da mensagem: 0x3, comprimento: 4300
 ENCR Próxima carga útil: EAP, reservado: 0x0, comprimento: 4272
Dados e vírgula criptografados;4268 bytes

IKEv2-PROTO-5: (6): Fragmentação de pacote, MTU de Fragmento: 544, Número de fragmentos: 9, ID de Fragmento: 2
IKEv2-PLAT-4: PKT ENVIADO [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: PKT ENVIADO [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: PKT ENVIADO [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: PKT ENVIADO [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: PKT ENVIADO [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: PKT ENVIADO [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: PKT ENVIADO [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: PKT ENVIADO [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: PKT ENVIADO [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Evento: EV_START_TMR
IKEv2-PROTO-3: (6): iniciando temporizador para aguardar mensagem de autenticação de usuário (120 seg)
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Evento: EV_NO_EVENT

O cliente envia o pacote do iniciador com o payload EAP.

O pacote EAP contém:

1. Code: response - Este código é enviado pelo peer para o autenticador em resposta à solicitação EAP.
2. id: 3 - A id ajuda a corresponder as respostas EAP com as solicitações. Aqui, o valor é 3, o que indica que essa é uma resposta à solicitação enviada anteriormente pelo ASA (autenticador). O ASA agora recebe o pacote de resposta do cliente, que tem o tipo 'config-auth' de 'ack'; essa resposta confirma a mensagem EAP 'complete' enviada anteriormente pelo ASA .
3. Comprimento: 173 - O comprimento do pacote EAP inclui os dados de código, id, comprimento e EAP.
4. Dados EAP.

O ASA processa esse pacote. O
Troca de EAP bem-sucedida. O ASA
prepara para enviar o grupo de túneis
configuração no próximo pacote, que
foi solicitado anteriormente pelo cliente em
a carga IDi. O ASA recebe o
pacote de resposta do cliente, que
tem o tipo 'config-auth' de 'ack'. Este
a resposta confirma o EAP
mensagem de 'conclusão' enviada pelo
ASA anteriormente.

Configuração relevante:

tunnel-group ASA-IKEV2 
 type remote-access
tunnel-group ASA-IKEV2 
 general-attributes
 address-pool webvpn1
 authorization-server-group 
 LOCAL default-group-policy 
  ASA-IKEV2
tunnel-group ASA-IKEV2
 webvpn-attributes
 group-alias ASA-IKEV2 
 enable

A troca de EAP agora foi bem-sucedida.

O pacote EAP contém:

1. Código: sucesso - Este código é
   enviado pelo autenticador ao
   peer após a conclusão de um EAP
   método de autenticação. Este
   indica que o peer
   autenticado com êxito no
   autenticador.
2. id: 3 - O id ajuda a corresponder ao
   Respostas EAP com as solicitações.
   Aqui o valor é 3, que
   indica que esta é uma resposta a
   a solicitação enviada anteriormente pelo
   ASA (autenticador). O terceiro conjunto
   de pacotes na troca foi
   bem-sucedido e a troca de EAP
   é bem-sucedido.
3. Comprimento: 4 - Comprimento do EAP
   pacote inclui o código, a id,
   e dados EAP.
4. Dados EAP.

Pacote descriptografado:Dados:252 bytes
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando temporizador para aguardar mensagem de autenticação
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Evento: EV_PROC_MSG
IKEv2-PROTO-2: (6): processando resposta EAP

Mensagem XML recebida abaixo do cliente
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="ack">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
</config-auth>

IKEv2-PLAT-3: (6) aggrAuthHdl definido como 0x2000
IKEv2-PLAT-3: (6) tg_name definido como: ASA-IKEV2
IKEv2-PLAT-3: (6) tipo de grp de sintonia definido como: RA
IKEv2-PLAT-1: EAP:autenticação bem-sucedida
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Evento: EV_RECV_EAP_SUCCESS
IKEv2-PROTO-2: (6): Enviando mensagem de status EAP
IKEv2-PROTO-3: (6): Criando pacote para criptografia; o conteúdo é:
 Próxima carga EAP: NENHUMA, reservada: 0x0, comprimento: 8
    Código: sucesso: id: 3, comprimento: 4

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x4
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Próxima carga útil: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo de troca: IKE_AUTH, sinalizadores: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID da mensagem: 0x4, comprimento: 76
 Próxima carga útil de ENCR: EAP, reservada: 0x0, comprimento: 48
Dados criptografados e ponto-e-vírgula;44 bytes

IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000004

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Evento: EV_START_TMR
IKEv2-PROTO-3: (6): iniciando temporizador para aguardar mensagem de autenticação (30 seg)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_AUTH_VERIFY Evento: EV_NO_EVENT

Quando a autenticação EAP é especificada ou
implícito no perfil do cliente e no
perfil não contém o
elemento <IKEIdentity>, o cliente envia
uma carga IDi do tipo ID_GROUP com
a cadeia de caracteres fixa *$AnyConnectClient$*.

O ASA processa essa mensagem.

Configuração relevante:

crypto dynamic-map dynmap 1000 
 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 
 ipsec-isakmp dynamic dynmap
crypto map crymap interface 
 outside

Pacote descriptografado:Dados: 92 bytes
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_WAIT_EAP_AUTH_VERIFY Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando temporizador para aguardar mensagem de autenticação
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_GET_EAP_KEY
IKEv2-PROTO-2: (6): Enviar AUTH, para verificar o par após a troca de EAP
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_VERIFY_AUTH
IKEv2-PROTO-3: (6): Verificar dados de autenticação
IKEv2-PROTO-3: (6): Usar chave pré-compartilhada para id *$AnyConnectClient$*, key len 20
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_GET_CONFIG_MODE
IKEv2-PLAT-3: resposta do modo de configuração na fila
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_NO_EVENT
IKEv2-PLAT-3: PSH: cliente=AnyConnect client-version=3.0.1047 client-os=Windows client-os-version=
IKEv2-PLAT-3: resposta do modo de configuração concluída
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_OK_GET_CONFIG
IKEv2-PROTO-3: (6): tem dados do modo de configuração para enviar
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_CHK4_IC
IKEv2-PROTO-3: (6): processando contato inicial
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_CHK_REDIRECT
IKEv2-PROTO-5: (6): a verificação de redirecionamento já foi feita para esta sessão, ignorando-a
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_PROC_SA_TS
IKEv2-PROTO-2: (6): processando mensagem de autenticação
IKEv2-PLAT-1: Mapa de Criptografia: Mapa dynmap seq 1000. Seletor ajustado usando o IP atribuído
IKEv2-PLAT-3: Mapa de Criptografia: correspondência no mapa dinâmico dynmap seq 1000
IKEv2-PLAT-3: PFS desabilitado para conexão RA
IKEv2-PROTO-3: (6):
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_NO_EVENT
IKEv2-PLAT-2: retorno de chamada SPI PFKEY recebido para SPI 0x30B848A4, erro FALSE
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_OK_RECD_IPSEC_RESP

IKEv2-PROTO-2: (6): processando mensagem de autenticação

O ASA cria a mensagem de resposta IKE_AUTH com as cargas SA, TSi e TSr.

O pacote do respondente IKE_AUTH contém:

1. Cabeçalho ISAKMP - SPI/version/flags.
2. payload de AUTH - Com o método de autenticação escolhido.
3. CFG - CFG_REQUEST/ CFG_REPLY permite que um endpoint IKE solicite informações de seu peer. Se um atributo no payload de configuração CFG_REQUEST não tiver comprimento zero, ele será considerado como uma sugestão para esse atributo. O payload de configuração CFG_REPLY pode retornar esse valor ou um novo valor. Ele também pode adicionar novos atributos e não incluir alguns solicitados. Os solicitantes ignoram os atributos retornados que não reconhecem. O ASA responde ao cliente com os atributos de configuração de túnel no pacote CFG_REPLY.
4. SAr2 - SAr2 inicia o SA, que é semelhante à troca do conjunto de transformação da fase 2 em IKEv1.
5. TSi e TSr - Os seletores de tráfego do iniciador e do respondente contêm, respectivamente, o endereço de origem e de destino do iniciador e do respondente para encaminhar e receber tráfego criptografado. O intervalo de endereços especifica que todo o tráfego de e para esse intervalo é encapsulado. Se a proposta for aceitável para o respondente, ele enviará payloads TS idênticos de volta.

payload ENCR:

Essa carga é descriptografada e seu conteúdo é analisado como cargas adicionais.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_MY_AUTH_METHOD
IKEv2-PROTO-3: (6): Obter meu método de autenticação
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_GET_PRESHR_KEY
IKEv2-PROTO-3: (6): Obter chave pré-compartilhada do par para *$AnyConnectClient$*
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Gerar meus dados de autenticação
IKEv2-PROTO-3: (6): Usar chave pré-compartilhada para id hostname=ASA-IKEV2, key len 20
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_CHK4_SIGN
IKEv2-PROTO-3: (6): Obter meu método de autenticação
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_EAP_AUTH_VERIFY Evento: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Gerar meus dados de autenticação
IKEv2-PROTO-3: (6): usar chave pré-compartilhada para id hostname=ASA-IKEV2, key len 20
IKEv2-PROTO-5: (6): Rastreamento SM-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_EAP_AUTH_VERIFY Evento: EV_SEND_AUTH
IKEv2-PROTO-2: (6): Send AUTH, para verificar o par após a troca de EAP
IKEv2-PROTO-3: ESP Proposta: 1, SPI tamanho: 4 (negociação IPSec),
Número de transformações: 3
   AES-CBC SHA96   
IKEv2-PROTO-5: Construir Carga de Notificação: ESP_TFC_NO_SUPPORTIKEv2-PROTO-5: Construir Carga de Notificação: NON_FIRST_FRAGSIKEv2-PROTO-3: (6): Criando pacote para criptografia; o conteúdo é:
 AUTH Próxima carga útil: CFG, reservado: 0x0, comprimento: 28
    Método de autenticação PSK, reservado: 0x0, reservado 0x0
Auth data&colon; 20 bytes
 CFG Próxima carga útil: SA, reservado: 0x0, comprimento: 4196
    cfg tipo: CFG_REPLY, reservado: 0x0, reservado: 0x0

   tipo de atributo: endereço IP4 interno, comprimento: 4

     01 01 01 01
   tipo de atributo: máscara de rede IP4 interna, comprimento: 4

     00 00 00 00
   tipo de atributo: expiração de endereço interno, comprimento: 4

     00 00 00 00
   tipo de atributo: versão do aplicativo, comprimento: 16

     41 53 41 20 31 30 30 2e 37 28 36 29 31 31 36 00
   tipo de atributo: Desconhecido - 28704, comprimento: 4

     00 00 00 00
   tipo de atributo: Desconhecido - 28705, comprimento: 4

     00 00 07 08
   tipo de atributo: Desconhecido - 28706, comprimento: 4

     00 00 07 08
   tipo de atributo: Desconhecido - 28707, comprimento: 1

     01
   tipo de atributo: Desconhecido - 28709, comprimento: 4

     00 00 00 1e
   tipo de atributo: Desconhecido - 28710, comprimento: 4

     00 00 00 14
   tipo de atributo: Desconhecido - 28684, comprimento: 1

     01
   tipo de atributo: Desconhecido - 28711, comprimento: 2

     05 7e
   tipo de atributo: Desconhecido - 28679, comprimento: 1

     00
   tipo de atributo: Desconhecido - 28683, comprimento: 4

     80 0b 00 01
   tipo de atributo: Desconhecido - 28725, comprimento: 1

     00
   tipo de atributo: Desconhecido - 28726, comprimento: 1

     00
   tipo de atributo: Desconhecido - 28727, comprimento: 4056

     3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 22 31
     2e 30 22 20 65 6e 63 6f 64 69 6e 67 3d 22 55 54
     46 2d 38 22 3f 3e 3c 63 6f 6e 66 69 67 2d 61 75
     74 68 20 63 6c 69 65 6e 74 3d 22 76 70 6e 22 20
     74 79 70 65 3d 22 63 6f 6d 70 6c 65 74 65 22 3e
     3c 76 65 72 73 69 6f 6e 20 77 68 6f 3d 22 73 67
     22 3e 31 30 30 2e 37 28 36 29 31 31 36 3c 2f 76
     65 72 73 69 6f 6e 3c 73 65 73 73 69 6f 6e 2d
     69 64 3e 38 31 39 32 3c 2f 73 65 73 73 69 6f 6e
<snip>
     72 6f 66 69 6c 65 2d 6d 61 6e 69 66 65 73 74 3e
     3c 2f 63 6f 6e 66 69 67 3e 3c 2f 63 6f 6e 66 69
     67 2d 61 75 74 68 3e 00
   tipo de atributo: Desconhecido - 28729, comprimento: 1

     00
 SA Próxima carga útil: TSi, reservado: 0x0, comprimento: 44
IKEv2-PROTO-4: última proposta: 0x0, reservado: 0x0, comprimento: 40
  Proposta: 1, ID do protocolo: ESP, tamanho SPI: 4, #trans: 3
IKEv2-PROTO-4: última transformação: 0x3, reservado: 0x0: comprimento: 12
    tipo: 1, reservado: 0x0, id: AES-CBC
IKEv2-PROTO-4: última transformação: 0x3, reservado: 0x0: comprimento: 8
    tipo: 3, reservado: 0x0, id: SHA96
IKEv2-PROTO-4: última transformação: 0x0, reservado: 0x0: comprimento: 8
    tipo: 5, reservado: 0x0, id:

 TSi Próxima carga útil: TSr, reservado: 0x0, comprimento: 24
    Número de TSs: 1, 0x0 reservado, 0x0 reservado
    Tipo de TS: TS_IPV4_ADDR_RANGE, id do proto: 0, comprimento: 16
    porta inicial: 0, porta final: 65535
    end. inicial: 10.2.2.1, end. final: 10.2.2.1
 TSr Próxima carga útil: NOTIFY, reservado: 0x0, comprimento: 24
    Número de TSs: 1, 0x0 reservado, 0x0 reservado
    Tipo de TS: TS_IPV4_ADDR_RANGE, id do proto: 0, comprimento: 16
    porta inicial: 0, porta final: 65535
    end. inicial: 0.0.0.0, end. final: 255.255.255.255

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Próxima carga útil: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo de intercâmbio: IKE_AUTH, sinalizadores: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID da mensagem: 0x5, comprimento: 4396
 ENCR Próxima carga útil: AUTH, reservado: 0x0, comprimento: 4368
Dados criptografados e dois-pontos; 4364 bytes

****************************************
Data: 23/04/2013
Tempo : 16:25:07
Tipo : Informações
Origem : acvpndownloader

Descrição : Função: ProfileMgr::loadProfiles
Arquivo: ..\Api\ProfileMgr.cpp
Linha: 148
Perfis carregados:
C:\Documents and Settings\All Users\Application Data\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\anyconnect-ikev2.xml
****************************************
****************************************
Data: 23/04/2013
Tempo : 16:25:07
Tipo : Informações
Origem : acvpndownloader

Descrição : Configurações de preferência atuais:
ServiceDisable: falso
CertificateStoreOverride: falso
Repositório de Certificados: Todos
ShowPreConnectMessage: falso
AutoConnectOnStart: falso
MinimizarAoConectar: verdadeiro
LocalLanAccess: falso
Reconexão Automática: verdadeiro
AutoReconnectBehavior: DisconnectOnSuspend
UsarIniciarAntesLogon: falso
AutoUpdate: verdadeiro
RSASecurIDIntegration: Automático
WindowsLogonEnforcement: SingleLocalLogon
EstabelecimentoVPNdoWindows: LocalUsersOnly
ProxySettings: Nativo
AllowLocalProxyConnections: verdadeiro
PPPExclusion: Desabilitar
IPdoServidorDeExclusãoPPPE:
AutomaticVPNPolicy: falso
TrustedNetworkPolicy: Desconectar
UntrustedNetworkPolicy: Conectar
DomíniosDNSDonfiados:
ServidoresDNS Confiáveis:
AlwaysOn: falso
ConnectFailurePolicy: Fechado
AllowCaptivePortalRemediation: falso
Tempo limite de correção do portal cativo: 5
ApplyLastVPNLocalResourceRules: falso
AllowVPNDisconnect: true
AtivarScript: falso
TerminateScriptOnNextEvent: falso
EnablePostSBLOnConnectScript: verdadeiro
AutomaticCertSelection: verdadeiro
RetainVpnOnLogoff: falso
Imposição do Usuário: SameUserOnly
EnableAutomaticServerSelection: false
AperfeiçoamentoDaSeleçãoDeServidorAutomático: 20
Hora de SuspensãoSeleçãoAutomáticaServidor: 4
Tempo limite de autenticação: 12
SafeWordSofTokenIntegration: falso
AllowIPsecOverSSL: falso
ClearSmartcardPin: verdadeiro
****************************************
Data: 23/04/2013
Tempo : 16:25:07
Tipo : Informações
Fonte: acvpnui

Descrição : informações sobre o tipo de mensagem enviadas ao usuário:
Estabelecendo VPN - Examinando sistema...
****************************************
Data: 23/04/2013
Tempo : 16:25:07
Tipo : Informações
Fonte: acvpnui

Descrição : informações sobre o tipo de mensagem enviadas ao usuário:
Estabelecendo VPN - Ativando adaptador VPN...
****************************************
Data: 23/04/2013
Tempo : 16:25:07
Tipo : Informações
Origem : acvpnagent

Descrição : Função: CVirtualAdapter::DoRegistryRepair
Arquivo: .\WindowsVirtualAdapter.cpp
Linha: 1869
Encontrada chave de Controle VA: SYSTEM\CurrentControlSet\ENUM\ROOT\NET\0000\Control

****************************************
Data: 23/04/2013
Tempo : 16:25:07
Tipo : Informações
Origem : acvpnagent

Descrição : Uma nova interface de rede foi detectada.
****************************************
Data: 23/04/2013
Tempo : 16:25:07
Tipo : Informações
Origem : acvpnagent

Descrição : Função: CRouteMgr::logInterfaces
Arquivo: .\RouteMgr.cpp
Linha: 2076
Função Chamada: logInterfaces
Código de Retorno: 0 (0x00000000)
Descrição: IP Address Interface List:
10.2.2.1
192.168.1.1
****************************************
Data: 23/04/2013
Tempo : 16:25:08
Tipo : Informações
Origem : acvpnagent

Descrição : Configuração do host:
 Endereço público: 192.168.1.1
 Máscara pública: 255.255.255.0
 Endereço privado: 10.2.2.1
 Máscara Privada: 255.0.0.0
 Endereço IPv6 privado: N/D
 Máscara IPv6 privada: N/D
 Pontos remotos: 10.0.0.1 (porta TCP 443, porta UDP 500), 10.0.0.1 (porta UDP 4500)
 Redes privadas: nenhuma
 Redes públicas: nenhuma
 Modo de túnel: sim
****************************************

A conexão é inserida no banco de dados SA (Security Association) e o status é REGISTERED. O ASA também executa algumas verificações, como estatísticas de Cartão de Acesso Comum (CAC), presença de SAs duplicadas e define valores como detecção de ponto inativo (DPD) e assim por diante.