O ASA IKEv2 debuga para o Troubleshooting do acesso remoto VPN

Descrição de mensagem do server

Debugs

Descrição de mensagem de cliente

Data: 04/23/2013
Tempo: 16:24:55
Digite: Informações
Fonte: acvpnui

Descrição: Função: ClientIfcBase:: conecte
Arquivo: . \ ClientIfcBase.cpp
Linha: 964
Uma conexão de VPN a Anu-IKEV2 foi pedida pelo usuário.

****************************************
Data: 04/23/2013
Tempo: 16:24:55
Digite: Informações
Fonte: acvpnui

Descrição: Informação do tipo de mensagem enviada ao usuário:
Contactando Anu-IKEV2.
****************************************
Data: 04/23/2013
Tempo: 16:24:55
Digite: Informações
Fonte: acvpnui

Descrição: Função: ApiCert:: getCertList
Arquivo: . \ ApiCert.cpp
Linha: 259
Número de Certificados encontrados: 0
****************************************
Data: 04/23/2013
Tempo: 16:25:00
Digite: Informações
Fonte: acvpnui

Descrição: Iniciando a conexão de VPN ao gateway seguro https://10.0.0.1/ASA-IKEV2
****************************************
Data: 04/23/2013
Tempo: 16:25:00
Digite: Informações
Fonte: acvpnagent

Descrição: Túnel iniciado pelo cliente GUI.

****************************************

Data: 04/23/2013
Tempo: 16:25:02
Digite: Informações
Fonte: acvpnagent

Descrição: Função: CIPsecProtocol:: connectTransport
Arquivo: . \ IPsecProtocol.cpp
Linha: 1629
Soquete aberto IKE de 192.168.1.1:25170 a 10.0.0.1:500
****************************************

O ASA recebe a mensagem IKE_SA_INIT do cliente.

IKEv2-PLAT-4: [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000 RECV PACOTE

IKEv2-PROTO-3: RX [L m_id 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0]: 0x0

O primeiro par de mensagens é a troca IKE_SA_INIT. Estas mensagens negociam algoritmos criptográficos, nonces da troca, e fazem uma troca do Diffie-Hellman (DH).

A mensagem IKE_SA_INIT recebida do cliente contém estes campos:

1. Encabeçamento ISAKMP - SPI/version/flags.
2. SAi1 - Algoritmo criptográfico que o iniciador IKE apoia.
3. KEi - Valor de chave pública DH do iniciador.
4. N - Nonce do iniciador.

O ASA verifica e processa
Mensagem IKE_INIT. O ASA:

1. Escolhe a série cripto de
   aqueles oferecidos pelo iniciador.
2. Computa sua própria chave secreta DH.
3. Computa um valor SKEYID de
   qual todas as chaves podem ser derivadas para
   este IKE_SA. Os encabeçamentos de tudo
   os mensagens subsequente são
   cifrado e autenticado.
   chaves usadas para a criptografia e
   a proteção da integridade é derivada
   de SKEYID e são sabidos como:
   
   
   1. SK_e - Criptografia.
   2. SK_a - Autenticação.
   3. SK_d - Derivado e usado
      para a derivação de mais adicional
      material de ajuste para
      CHILD_SAs.
   Um SK_e e um SK_a separados são
   computado para cada sentido.

Configuração relevante:

crypto ikev2 policy 10
 encryption aes-192 integrity 
 sha group 2  prf sha lifetime 
 seconds 86400
crypto ikev2 enable outside

O ASA constrói o mensagem de resposta para a troca IKE_SA_INIT.

Este pacote contém:

1. Encabeçamento ISAKMP - SPI/version/flags.
2. SAr1 - Algoritmo criptográfico que o que responde IKE escolhe.
3. KEr - Valor de chave pública DH do que responde.
4. N - Nonce do que responde.

O cliente mostra o túnel de IPsec como o “início.”

Data: 04/23/2013
Tempo: 16:25:02
Digite: Informações
Fonte: acvpnagent

Descrição: Função: ikev2_log
Arquivo: .\ikev2_anyconnect_osal.cpp
Linha: 2730
Pedido recebido estabelecer um túnel de IPsec; seletor = escala de endereço do tráfego local: 0.0.0.0-255.255.255.255 Protocolo: 0 intervalos de porta: 0-65535; seletor = escala de endereço remotos do tráfego: 0.0.0.0-255.255.255.255 Protocolo: 0 intervalos de porta: 0-65535
****************************************
Data: 04/23/2013
Tempo: 16:25:02
Digite: Informações
Fonte: acvpnagent

Descrição: Função: CIPsecProtocol:: connectTransport
Arquivo: . \ IPsecProtocol.cpp
Linha: 1629
Soquete aberto IKE de 192.168.1.1:25171 a 10.0.0.1:4500
****************************************

A autenticação é feita com EAP. Somente um único método de autenticação de EAP é permitido dentro de uma conversação EAP. O ASA recebe a mensagem IKE_AUTH do cliente.

IKEv2-PLAT-4: [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1] RECV PACOTE: 4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001

IKEv2-PROTO-3: RX [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0]: 0x1

Quando o cliente incluir um payload IDi
mas não um payload do AUTH, isto indica
o cliente declarou uma identidade mas tem-na
não provado lhe. No debuga, o AUTH
o payload não está atual no IKE_AUTH
pacote enviado pelo cliente. O cliente
envia o payload do AUTH somente depois
A troca EAP é bem sucedida. Se o ASA
é disposto usar um elástico
método de autenticação, coloca um EAP
o payload na mensagem 4 e adia a emissão
SAr2, TSi, e TSr até o iniciador
a autenticação está completa na
troca subsequente IKE_AUTH.

O pacote do iniciador IKE_AUTH contém:

1. Encabeçamento ISAKMP -
   SPI/version/flags.
2. IDi - O nome de grupo de túneis isso
   os desejos do cliente a conectar a
   pode ser entregado pelo IDi
   payload do tipo ID_KEY_ID dentro
   a mensagem inicial do
   Troca IKE_AUTH. Isto
   ocorre quando o profile* do cliente for
   preconfigured com um nome do grupo
   ou, após um bem sucedido precedente
   a autenticação, o cliente tem
   pôs em esconderijo o nome do grupo no seu
   arquivo das preferências. O ASA
   tentativas de combinar um grupo de túneis
   nome com os índices do IKE
   Payload IDi. Após o primeiro
   o IPSec VPN bem sucedido é
   estabelecido, os caches de cliente
   nome do grupo (grupo aliás) a que
   o usuário autenticado. Este grupo
   o nome é entregado no IDi
   payload da conexão seguinte
   tentativa a fim indicar
   grupo provável desejado pelo
   usuário. Quando a autenticação de EAP for
   especificado ou implicado pelo cliente
   o perfil e o perfil não fazem
   contenha o <IKEIdentity>
   o elemento, o cliente envia
   Tipo payload ID_GROUP IDi
   com a corda fixa
   *$AnyConnectClient$*.
   
3. CERTREQ - O cliente é
   pedindo o ASA para a
   certificado preferido. Certificado
   as cargas úteis do pedido podem ser incluídas
   em uma troca quando o remetente
   precisa de obter o certificado do
   receptor. O pedido do certificado
   o payload é processado por
   inspeção “da codificação CERT”
   campo a fim determinar
   se o processador tem alguns
   Certificados deste tipo. Em caso afirmativo,
   O campo da “autoridade de certificação” é
   inspecionado a fim determinar se
   o processador tem todos os Certificados
   isso pode ser validado até um de
   a certificação especificada
   autoridades. Esta pode ser uma corrente de
   Certificados.
   
4. CFG - CFG_REQUEST/
   CFG_REPLY permite um IKE
   valor-limite para pedir a informação
   de seu par. Se um atributo no
   Configuração CFG_REQUEST
   o payload não está a um zero-comprimento, ele é
   tomado como uma sugestão para isso
   atributo. O CFG_REPLY
   o payload da configuração pode retornar
   esse valor ou um novo. Pode
   igualmente adicionar atributos novos e não
   inclua algum pediu.
   Os utilizadores ignoram retornado
   atributos que não fazem
   reconheça. Nestes debuga,
   o cliente está pedindo o túnel
   configuração no
   CFG_REQUEST. O ASA
   as respostas a esta e enviam o túnel
   atributos de configuração somente depois
   a troca EAP é bem sucedida.
   
5. SAi2 - SAi2 inicia o SA,
   qual é similar à fase 2
   transforme a troca do grupo em IKEv1.
   
6. TSi e TSr - O iniciador e
   seletores do tráfego do que responde
   contenha, respectivamente, a fonte
   e endereço de destino do
   iniciador e que responde
   envie e receba cifrado
   tráfego. A escala de endereço
   especifica que todo o tráfego a e de
   essa escala é escavada um túnel. Se a
   a proposta é aceitável ao
   que responde, envia o TS idêntico
   as cargas úteis suportam.

Os atributos que o cliente deve entregar para
a autenticação do grupo é armazenada no
Arquivo de perfil de AnyConnect.

Configuração de perfil *Relevant:

<ServerList>
<HostEntry>
  <HostName>Anu-IKEV2
  </HostName>
  <HostAddress>10.0.0.1
  </HostAddress>
  <UserGroup>ASA-IKEV2
  </UserGroup>
<PrimaryProtocol>IPsec
</PrimaryProtocol>
</HostEntry>
</ServerList>

O ASA gerencie uma resposta à mensagem IKE_AUTH e prepara-se para autenticar-se ao cliente.

Pacote decifrado: Data&colon; 540 bytes
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando o temporizador para esperar a mensagem do AUTH
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_CHK_NAT_T
IKEv2-PROTO-3: (6): Verifique a descoberta NAT
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_CHG_NAT_T_PORT
IKEv2-PROTO-2: (6): Flutuador detectado NAT à porta 25171 do init, porta 4500 do resp
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_PROC_ID
IKEv2-PROTO-2: (6): Parameteres válidos recebidos na identificação de processo
IKEv2-PLAT-3: (6) método do AUTH do par ajustado a: 0
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_CHK_IF_PEER_CERT_NEEDS_TO_BE_FETCHED_FOR_PROF_SEL
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_GET_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): Obtendo políticas configuradas
IKEv2-PLAT-3: Conexão de cliente nova de AnyConnect detectada baseada no payload ID
IKEv2-PLAT-3: my_auth_method = 1
IKEv2-PLAT-3: (6) método do AUTH do par ajustado a: 256
IKEv2-PLAT-3: supported_peers_auth_method = 16
IKEv2-PLAT-3: (6) tp_name ajustado a: Anu-ikev2
IKEv2-PLAT-3: ponto da confiança ajustado a: Anu-ikev2
IKEv2-PLAT-3: P1 ID= 0
IKEv2-PLAT-3: Traduzindo IKE_ID_AUTO a = 9
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_SET_POLICY
IKEv2-PROTO-3: (6): Ajustando políticas configuradas
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_VERIFY_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): Verifique a política do par
IKEv2-PROTO-3: (6): Certificado de harmonização encontrado
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_CHK_CONFIG_MODE
IKEv2-PROTO-3: (6): Dados válidos recebidos do modo de configuração
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_SET_RECD_CONFIG_MODE
IKEv2-PLAT-3: (6) o hostname DHCP para o DDNS é ajustado a: winxp64template
IKEv2-PROTO-3: (6): Ajuste dados recebidos do modo de configuração
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_CHK_AUTH4EAP
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_WAIT_AUTH: EV_CHK_EAP
IKEv2-PROTO-3: (6): Verifique para ver se há a troca EAP
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_BLD_AUTH: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Gerencia meus dados de autenticação
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_BLD_AUTH: EV_CHK4_SIGN
IKEv2-PROTO-3: (6): Obtenha meu método de autenticação
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_BLD_AUTH: EV_SIGN
IKEv2-PROTO-3: (6): Dados do AUTH do sinal
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_BLD_AUTH: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_BLD_EAP_AUTH_REQ: EV_AUTHEN_REQ
IKEv2-PROTO-2: (6): Pedindo o autenticador para enviar o pedido EAP

Valor criado do configuração-AUTH do nome de elemento
Vpn adicionado do valor do cliente do nome do atributo ao configuração-AUTH do elemento
O nome adicionado do atributo datilografa o valor olá! ao configuração-AUTH do elemento
Valor criado 9.0(2)8 da versão do nome de elemento
Valor adicionado 9.0(2)8 da versão do nome de elemento ao configuração-AUTH do elemento
Nome adicionado do atributo que avalia o SG à versão do elemento
Mensagem gerada XML abaixo
<? xml version="1.0" encoding="UTF-8"?>
type= " do " vpn do client=” do <config-AUTH olá! " >
<version who="sg">9.0(2)8</version>
</config-auth>

IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_BLD_EAP_AUTH_REQ: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Ação: Action_Null
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_BLD_EAP_AUTH_REQ: EV_CHK_REDIRECT
IKEv2-PROTO-3: (6): Reoriente a verificação com plataforma para a função de balanceamento de carga
IKEv2-PLAT-3: Reoriente a verificação na plataforma
IKEv2-PLAT-3: ikev2_osal_redirect: Sessão aceitada por 10.0.0.1
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: Evento R_BLD_EAP_AUTH_REQ: EV_SEND_EAP_AUTH_REQ
IKEv2-PROTO-2: (6): Enviando o pedido EAP
IKEv2-PROTO-5: Payload específico do vendedor da construção: CISCO-GRANITEIKEv2-PROTO-3: (6): Construção

O ASA envia o payload do AUTH a fim pedir credenciais do usuário do cliente. O ASA envia o método do AUTH como o “RSA,” assim que ele envia seu próprio certificado ao cliente, assim que o cliente pode autenticar o server ASA.

Desde que o ASA é disposto usar um método de autenticação extensível, coloca um payload EAP na mensagem 4 e adia a emissão de SAr2, de TSi, e de TSr até que a autenticação do iniciador esteja completa em uma troca subsequente IKE_AUTH. Assim, aquelas três cargas úteis não estão atuais no debugam.

O pacote EAP contém:

1. Código: pedido - Este código é enviado pelo autenticador ao par.
2. identificação: 1 - A identificação ajuda o fósforo as respostas EAP com os pedidos. Aqui o valor é 1, que indica que é o primeiro pacote na troca EAP. Este pedido EAP tem o “configuração-AUTH” tipo de “olá!; ” é enviado do ASA ao cliente a fim iniciar a troca EAP.
3. Comprimento: 150 - O comprimento do pacote EAP inclui o código, a identificação, o comprimento, e os dados EAP.
4. Dados EAP.

A fragmentação pode resultar se os Certificados são grandes ou se os certificates chain são incluídos. As cargas úteis do iniciador e do que responde KE podem igualmente incluir as grandes chaves, que podem igualmente contribuir à fragmentação.

****************************************
Data: 04/23/2013
Tempo: 16:25:02
Digite: Informações
Fonte: acvpnagent

Descrição: Função: ikev2_verify_X509_SIG_certs
Arquivo: .\ikev2_anyconnect_osal.cpp
Linha: 2077
Pedindo a aceitação do certificado do usuário
****************************************
Data: 04/23/2013
Tempo: 16:25:02
Digite: Erro
Fonte: acvpnui

Descrição: Função: CCapiCertificate:: verifyChainPolicy
Arquivo: . \ Certificados \ CapiCertificate.cpp
Linha: 2032
Função invocada: CertVerifyCertificateChainPolicy
Código de retorno: -2146762487 (0x800B0109)
Descrição: Um certificate chain processado, mas terminado em um certificado de raiz que não seja confiado pelo fornecedor da confiança.
****************************************
Data: 04/23/2013
Tempo: 16:25:04
Digite: Informações
Fonte: acvpnagent

Descrição: Função: CEAPMgr:: dataRequestCB
Arquivo: . \ EAPMgr.cpp
Linha: 400
Tipo proposto EAP: EAP-ANYCONNECT
****************************************

O cliente responde ao pedido EAP com uma resposta.

O pacote EAP contém:

1. Código: resposta - Este código é enviado pelo par ao autenticador em resposta ao pedido EAP.
2. identificação: 1 - A identificação ajuda o fósforo as respostas EAP com os pedidos. Aqui o valor é 1, que indica que esta é uma resposta ao pedido enviado previamente pelo ASA (autenticador). Esta resposta EAP tem o tipo do “configuração-AUTH” de “init”; o cliente está inicializando a troca EAP e está esperando o ASA para gerar o pedido de autenticação.
3. Comprimento: 252 - O comprimento do pacote EAP inclui o código, a identificação, o comprimento, e os dados EAP.
4. Dados EAP.

O ASA decifra esta resposta, e o cliente diz que recebeu o payload do AUTH no pacote anterior (com o certificado) e recebeu o primeiro pacote de requisição EAP do ASA. Este é o que o pacote de resposta EAP do “init” contém.

IKEv2-PLAT-4: [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002 RECV PACOTE
IKEv2-PROTO-3: RX [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0]: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: Ispi IKEV2 HDR: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload seguinte: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo da troca: IKE_AUTH, bandeiras: INICIADOR
IKEv2-PROTO-4: ID de mensagem: 0x2, comprimento: 332
IKEv2-PROTO-5: (6): O pedido tem o mess_id 2; 2 previstos a 2
Pacote decifrado REAL: Dados: bytes 256
 Payload seguinte EAP: NENHUNS, reservado: 0x0, comprimento: 256
    Código: resposta: identificação: 1, comprimento: 252
    Digite: Desconhecido - 254
Bytes EAP data:247

Pacote decifrado: Data&colon; 332 bytes
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: Evento R_WAIT_EAP_RESP: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando o temporizador para esperar a mensagem do AUTH
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: Evento R_WAIT_EAP_RESP: EV_RECV_EAP_RESP

IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: Evento R_PROC_EAP_RESP: EV_PROC_MSG
IKEv2-PROTO-2: (6): Processando a resposta EAP

Mensagem recebida XML abaixo do cliente
<? xml version="1.0" encoding="UTF-8"?>
type= " init " do " vpn” do client= do <config-AUTH >
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<group-select>ASA-IKEV2</group-select>
<group-access>ASA-IKEV2</group-access>
</config-auth>
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: Evento R_PROC_EAP_RESP: EV_RECV_EAP_AUTH

IKEv2-PROTO-5: (6): Ação: Action_Null
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: Evento R_BLD_EAP_REQ: EV_RECV_EAP_REQ

Este é o segundo pedido enviado pelo ASA ao cliente.

O pacote EAP contém:

1. Código: pedido - Este código é enviado pelo autenticador ao par.
2. identificação: 2 - A identificação ajuda o fósforo as respostas EAP com os pedidos. Aqui o valor é 2, que indica que é o segundo pacote na troca. Este pedido tem o tipo do “configuração-AUTH” de “solicitação de autorização”; o ASA está pedindo que o cliente envia as credenciais da autenticação de usuário.
3. Comprimento: 457 - O comprimento do pacote EAP inclui o código, a identificação, o comprimento, e os dados EAP.
4. Dados EAP.

Payload ENCR:

Este payload é decifrado, e seus índices são analisados gramaticalmente como cargas úteis adicionais.

IKEv2-PROTO-2: (6): Enviando o pedido EAP

Mensagem gerada XML abaixo
<? xml version="1.0" encoding="UTF-8"?>
type= " solicitação de autorização " do " vpn” do client= do <config-AUTH >
<version who="sg">9.0(2)8</version>
is-for= " SG " do <opaque >
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash>
</opaque>
<csport>443</csport>
id= <authentic " cano principal " >
<form>
username” do label= " " username” do name= do " texto do type= do <input: “></input>
senha” do label= " da " senha” do name= da " senha do type= do <input: “></input>
</form>
</authentic>
</config-auth>
IKEv2-PROTO-3: (6): Pacote de construção para a criptografia; os índices são:
 Payload seguinte EAP: NENHUNS, reservado: 0x0, comprimento: 461
    Código: pedido: identificação: 2, comprimento: 457
    Digite: Desconhecido - 254
Dados EAP: 452 bytes

IKEv2-PROTO-3: Tx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0]: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: Ispi IKEV2 HDR: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload seguinte: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo da troca: IKE_AUTH, bandeiras: QUE RESPONDE MSG-RESPONSE
IKEv2-PROTO-4: ID de mensagem: 0x2, comprimento: 524
 Payload seguinte ENCR: EAP, reservado: 0x0, comprimento: 496
Data&colon cifrado; 492 bytes

IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002 de PACOTE
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: Evento R_BLD_EAP_REQ: EV_START_TMR
IKEv2-PROTO-3: (6): Começando o temporizador esperar a mensagem do AUTH do usuário (segundo 120)
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: Evento R_WAIT_EAP_RESP: EV_NO_EVENT   

Os pedidos do cliente autenticação de usuário e enviam-na ao ASA como uma resposta EAP no próximo pacote (“autêntico-resposta ").

O cliente envia uma outra mensagem do iniciador IKE_AUTH com o payload EAP.

O pacote EAP contém:

1. Código: resposta - Este código é enviado pelo par ao autenticador em resposta ao pedido EAP.
2. identificação: 2 - A identificação ajuda o fósforo as respostas EAP com os pedidos. Aqui o valor é 2, que indica que esta é uma resposta ao pedido enviado previamente pelo ASA (autenticador).
3. Comprimento: 420 - O comprimento do pacote EAP inclui o código, a identificação, o comprimento, e os dados EAP.
4. Dados EAP.

O ASA processa esta resposta. O cliente tinha pedido que o usuário incorpora credenciais. Esta resposta EAP tem o tipo do “configuração-AUTH” de “autêntico-resposta.” Este pacote contém as credenciais incorporadas pelo usuário.

Pacote decifrado: Dados: 492 bytes
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: Evento R_WAIT_EAP_RESP: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando o temporizador para esperar a mensagem do AUTH
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: Evento R_WAIT_EAP_RESP: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: Evento R_PROC_EAP_RESP: EV_PROC_MSG
IKEv2-PROTO-2: (6): Processando a resposta EAP

Mensagem recebida XML abaixo do cliente
<? xml version="1.0" encoding="UTF-8"?>
type= " autêntico-resposta " do " vpn” do client= do <config-AUTH >
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<session-token></session-token>
<session-id></session-id>
is-for= " SG " do <opaque >
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash></opaque>
<authentic>
<password>cisco123</password>
<username>Anu</username></authentic>
</config-auth>
IKEv2-PLAT-1: EAP: Autenticação de usuário iniciada
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: Evento R_PROC_EAP_RESP: EV_NO_EVENT
IKEv2-PLAT-5: EAP: Na rechamada AAA
Resumo recuperado CERT do server: DACE1C274785F28BA11D64453096BAE294A3172E
IKEv2-PLAT-5: EAP: sucesso na rechamada AAA
IKEv2-PROTO-3: Resposta recebida do autenticador
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: Evento R_PROC_EAP_RESP: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Ação: Action_Null

O ASA constrói um terceiro pedido EAP na troca.

O pacote EAP contém:

1. Código: pedido - Este código é enviado pelo autenticador ao par.
2. identificação: 3 - A identificação ajuda o fósforo as respostas EAP com os pedidos. Aqui o valor é 3, que indica que é o terceiro pacote na troca. Este pacote manda o tipo do “configuração-AUTH” de “terminar”; o ASA recebeu uma resposta, e a troca EAP está completa.
3. Comprimento: 4235 - O comprimento do pacote EAP inclui o código, a identificação, o comprimento, e os dados EAP.
4. Dados EAP.

Payload ENCR:

Este payload é decifrado, e seus índices são analisados gramaticalmente como cargas úteis adicionais.

IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: Evento R_BLD_EAP_REQ: EV_RECV_EAP_REQ
IKEv2-PROTO-2: (6): Enviando o pedido EAP

Mensagem gerada XML abaixo
<? xml version="1.0" encoding="UTF-8"?>
o type= " do " vpn do client=” do <config-AUTH termina " >
<version who="sg">9.0(2)8</version>
<session-id>32768</session-id>
<session-token>18wA0TtGmDxPKPQCJywC7fB7EWLCEgz-ZtjYpAyXx2yJH0H3G3H8t5xpBOx3Ixag</session-token>
id= <authentic " sucesso " >
<message id="0" param1="" param2=""></message>
</authentic>

IKEv2-PROTO-3: (6): Pacote de construção para a criptografia; os índices são:
 Payload seguinte EAP: NENHUNS, reservado: 0x0, comprimento: 4239
    Código: pedido: identificação: 3, comprimento: 4235
    Digite: Desconhecido - 254
Dados EAP: 4230 bytes

IKEv2-PROTO-3: Tx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0]: 0x3
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: Ispi IKEV2 HDR: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload seguinte: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo da troca: IKE_AUTH, bandeiras: QUE RESPONDE MSG-RESPONSE
IKEv2-PROTO-4: ID de mensagem: 0x3, comprimento: 4300
 Payload seguinte ENCR: EAP, reservado: 0x0, comprimento: 4272
Bytes data&colon;4268 cifrados

IKEv2-PROTO-5: (6): Fragmentando o pacote, fragmento MTU: 544, número de fragmentos: 9, fragmento ID: 2
IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 de PACOTE
IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 de PACOTE
IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 de PACOTE
IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 de PACOTE
IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 de PACOTE
IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 de PACOTE
IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 de PACOTE
IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 de PACOTE
IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 de PACOTE
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: Evento R_BLD_EAP_REQ: EV_START_TMR
IKEv2-PROTO-3: (6): Começando o temporizador esperar a mensagem do AUTH do usuário (segundo 120)
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: Evento R_WAIT_EAP_RESP: EV_NO_EVENT

O cliente envia o pacote do iniciador com o payload EAP.

O pacote EAP contém:

1. Código: resposta - Este código é enviado pelo par ao autenticador em resposta ao pedido EAP.
2. identificação: 3 - A identificação ajuda o fósforo as respostas EAP com os pedidos. Aqui o valor é 3, que indica que esta é uma resposta ao pedido enviado previamente pelo ASA (autenticador). O ASA recebe agora o pacote de resposta do cliente, que tem o tipo do “configuração-AUTH” de “ack”; esta resposta reconhece a mensagem “completa” EAP enviada previamente pelo ASA.
3. Comprimento: 173 - O comprimento do pacote EAP inclui o código, a identificação, o comprimento, e os dados EAP.
4. Dados EAP.

O ASA processa este pacote.
A troca EAP é bem sucedida. O ASA
prepara-se para enviar o grupo de túneis
configuração no próximo pacote, que
foi pedido previamente pelo cliente dentro
o payload IDi. O ASA recebe
pacote de resposta do cliente, que
tem o tipo do “configuração-AUTH” de “ack”. Isto
a resposta reconhece o EAP
“termine” a mensagem que foi enviada pelo
ASA previamente.

Configuração relevante:

tunnel-group ASA-IKEV2 
 type remote-access
tunnel-group ASA-IKEV2 
 general-attributes
 address-pool webvpn1
 authorization-server-group 
 LOCAL default-group-policy 
  ASA-IKEV2
tunnel-group ASA-IKEV2
 webvpn-attributes
 group-alias ASA-IKEV2 
 enable

A troca EAP é agora bem sucedida.

O pacote EAP contém:

1. Código: sucesso - Este código é
   enviado pelo autenticador ao
   par após conclusão de um EAP
   método de autenticação. Isto
   indica que o par tem
   autenticado com sucesso ao
   autenticador.
2. identificação: 3 - A identificação ajuda o fósforo
   Respostas EAP com os pedidos.
   Aqui o valor é 3, que
   indica que esta é uma resposta a
   o pedido enviado previamente pelo
   ASA (autenticador). O terceiro grupo
   dos pacotes na troca era
   bem sucedido, e a troca EAP
   é bem sucedido.
3. Comprimento: 4 - Comprimento do EAP
   o pacote inclui o código, identificação,
   comprimento, e dados EAP.
4. Dados EAP.

Bytes packet:Data:252 decifrados
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: Evento R_WAIT_EAP_RESP: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando o temporizador para esperar a mensagem do AUTH
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: Evento R_WAIT_EAP_RESP: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: Evento R_PROC_EAP_RESP: EV_PROC_MSG
IKEv2-PROTO-2: (6): Processando a resposta EAP

Mensagem recebida XML abaixo do cliente
<? xml version="1.0" encoding="UTF-8"?>
type= " ack " do " vpn” do client= do <config-AUTH >
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
</config-auth>

IKEv2-PLAT-3: (6) aggrAuthHdl ajustado a 0x2000
IKEv2-PLAT-3: (6) tg_name ajustado a: ASA-IKEV2
IKEv2-PLAT-3: (6) tipo do grp do tunn ajustado a: RA
IKEv2-PLAT-1: EAP: Autenticação bem sucedida
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: Evento R_PROC_EAP_RESP: EV_RECV_EAP_SUCCESS
IKEv2-PROTO-2: (6): Enviando o mensagem de status EAP
IKEv2-PROTO-3: (6): Pacote de construção para a criptografia; os índices são:
 Payload seguinte EAP: NENHUNS, reservado: 0x0, comprimento: 8
    Código: sucesso: identificação: 3, comprimento: 4

IKEv2-PROTO-3: Tx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0]: 0x4
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: Ispi IKEV2 HDR: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload seguinte: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo da troca: IKE_AUTH, bandeiras: QUE RESPONDE MSG-RESPONSE
IKEv2-PROTO-4: ID de mensagem: 0x4, comprimento: 76
 Payload seguinte ENCR: EAP, reservado: 0x0, comprimento: 48
Bytes data&colon;44 cifrados

IKEv2-PLAT-4: [IKE_AUTH] ENVIADO [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000004 de PACOTE

IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: Evento R_PROC_EAP_RESP: EV_START_TMR
IKEv2-PROTO-3: (6): Começando o temporizador esperar a mensagem do AUTH (segundo 30)
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: Evento R_WAIT_EAP_AUTH_VERIFY: EV_NO_EVENT

Quando a autenticação de EAP for especificada ou
implicado pelo perfil do cliente e
o perfil não contém
o elemento do <IKEIdentity>, o cliente envia
um tipo payload ID_GROUP IDi com
a corda fixa *$AnyConnectClient$*.

O ASA processa esta mensagem.

Configuração relevante:

crypto dynamic-map dynmap 1000 
 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 
 ipsec-isakmp dynamic dynmap
crypto map crymap interface 
 outside

Pacote decifrado: Dados: 92 bytes
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_WAIT_EAP_AUTH_VERIFY: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Parando o temporizador para esperar a mensagem do AUTH
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_GET_EAP_KEY
IKEv2-PROTO-2: (6): Envie o AUTH, para verificar o par depois que troca EAP
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_VERIFY_AUTH
IKEv2-PROTO-3: (6): Verifique dados de autenticação
IKEv2-PROTO-3: (6): Use a chave preshared para a identificação *$AnyConnectClient$*, chave len 20
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_GET_CONFIG_MODE
IKEv2-PLAT-3: Resposta do modo de configuração enfileirada
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_NO_EVENT
IKEv2-PLAT-3: PSH: client-os-version= dos client-os=Windows do client=AnyConnect client-version=3.0.1047
IKEv2-PLAT-3: Resposta do modo de configuração terminada
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_OK_GET_CONFIG
IKEv2-PROTO-3: (6): Tenha os dados do modo de configuração a enviar
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_CHK4_IC
IKEv2-PROTO-3: (6): Processando o contato inicial
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_CHK_REDIRECT
IKEv2-PROTO-5: (6): Reoriente a verificação é feito já para esta sessão, saltando a
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_PROC_SA_TS
IKEv2-PROTO-2: (6): Processando a mensagem do AUTH
IKEv2-PLAT-1: Crypto map: Dynmap 1000 segs.s do mapa. Seletor ajustado usando o IP atribuído
IKEv2-PLAT-3: Crypto map: fósforo no dynmap 1000 segs.s do mapa dinâmico
IKEv2-PLAT-3: PFS desabilitado para a conexão RA
IKEv2-PROTO-3: (6):
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_NO_EVENT
IKEv2-PLAT-2: Rechamada recebida PFKEY SPI para SPI 0x30B848A4, erro FALSO
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_VERIFY_AUTH: EV_OK_RECD_IPSEC_RESP

IKEv2-PROTO-2: (6): Processando a mensagem do AUTH

O ASA constrói o mensagem de resposta IKE_AUTH com as cargas úteis SA, de TSi, e de TSr.

O pacote do que responde IKE_AUTH contém:

1. Encabeçamento ISAKMP - SPI/version/flags.
2. Payload do AUTH - Com o método de autenticação escolhido.
3. CFG - CFG_REQUEST/CFG_REPLY permite que um ponto final IKE peça a informação de seu par. Se um atributo no payload da configuração CFG_REQUEST não está a um zero-comprimento, está tomado como uma sugestão para esse atributo. O payload da configuração CFG_REPLY pode retornar esse valor ou um novo. Pode igualmente adicionar atributos novos e para não incluir algum pediu. Os utilizadores ignoram os atributos retornados que não reconhecem. O ASA responde ao cliente com os atrributes da configuração de túnel no pacote CFG_REPLY.
4. SAr2 - SAr2 inicia o SA, que é similar à fase 2 transforma a troca do grupo em IKEv1.
5. TSi e TSr - Os seletores do tráfego do iniciador e do que responde contêm, respectivamente, o endereço de rementente e destinatário do iniciador e o que responde a fim enviar e receber o tráfego criptografado. A escala de endereço especifica que todo o tráfego a e dessa escala está escavado um túnel. Se a proposta é aceitável ao que responde, envia cargas úteis idênticas TS para trás.

Payload ENCR:

Este payload é decifrado, e seus índices são analisados gramaticalmente como cargas úteis adicionais.

IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_BLD_AUTH: EV_MY_AUTH_METHOD
IKEv2-PROTO-3: (6): Obtenha meu método de autenticação
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_BLD_AUTH: EV_GET_PRESHR_KEY
IKEv2-PROTO-3: (6): Obtenha a chave preshared do par para *$AnyConnectClient$*
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_BLD_AUTH: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Gerencia meus dados de autenticação
IKEv2-PROTO-3: (6): Use a chave preshared para a identificação hostname=ASA-IKEV2, chave len 20
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_BLD_AUTH: EV_CHK4_SIGN
IKEv2-PROTO-3: (6): Obtenha meu método de autenticação
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_BLD_AUTH: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_BLD_EAP_AUTH_VERIFY: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Gerencia meus dados de autenticação
IKEv2-PROTO-3: (6): Use a chave preshared para a identificação hostname=ASA-IKEV2, chave len 20
IKEv2-PROTO-5: (6): Trace-> SA S: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: Evento R_BLD_EAP_AUTH_VERIFY: EV_SEND_AUTH
IKEv2-PROTO-2: (6): Envie o AUTH, para verificar o par depois que troca EAP
IKEv2-PROTO-3:   Proposta ESP: 1, tamanho SPI: 4 (negociação de IPSec),
Numérico. transforma: 3
   AES-CBC SHA96   
IKEv2-PROTO-5: A construção notifica o payload: ESP_TFC_NO_SUPPORTIKEv2-PROTO-5: A construção notifica o payload: NON_FIRST_FRAGSIKEv2-PROTO-3: (6): Pacote de construção para a criptografia; os índices são:
 Payload seguinte do AUTH: CFG, reservado: 0x0, comprimento: 28
    Método PSK do AUTH, reservado: 0x0, 0x0 reservado
Data&colon do AUTH; 20 bytes
 Payload seguinte CFG: SA, reservado: 0x0, comprimento: 4196
    tipo do cfg: CFG_REPLY, reservado: 0x0, reservado: 0x0

   tipo do attrib: endereço IP4 interno, comprimento: 4

     01 01 01 01
   tipo do attrib: netmask IP4 interno, comprimento: 4

     00 00 00 00
   tipo do attrib: expiração do endereço interno, comprimento: 4

     00 00 00 00
   tipo do attrib: versão de aplicativo, comprimento: 16

     41 53 41 20 31 30 30 2e 37 28 36 29 31 31 36 00
   tipo do attrib: Desconhecido - 28704, comprimento: 4

     00 00 00 00
   tipo do attrib: Desconhecido - 28705, comprimento: 4

     00 00 07 08
   tipo do attrib: Desconhecido - 28706, comprimento: 4

     00 00 07 08
   tipo do attrib: Desconhecido - 28707, comprimento: 1

     01
   tipo do attrib: Desconhecido - 28709, comprimento: 4

     00 00 00 1e
   tipo do attrib: Desconhecido - 28710, comprimento: 4

     00 00 00 14
   tipo do attrib: Desconhecido - 28684, comprimento: 1

     01
   tipo do attrib: Desconhecido - 28711, comprimento: 2

     05 7e
   tipo do attrib: Desconhecido - 28679, comprimento: 1

     00
   tipo do attrib: Desconhecido - 28683, comprimento: 4

     80 0b 00 01
   tipo do attrib: Desconhecido - 28725, comprimento: 1

     00
   tipo do attrib: Desconhecido - 28726, comprimento: 1

     00
   tipo do attrib: Desconhecido - 28727, comprimento: 4056

     3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 22 31
     2e 30 22 20 65 6e 63 6f 64 69 6e 67 3d 22 55 54
     46 2d 38 22 3f 3e 3c 63 6f 6e 66 69 67 2d 61 75
     74 68 20 63 6c 69 65 6e 74 3d 22 76 70 6e 22 20
     74 79 70 65 3d 22 63 6f 6d 70 6c 65 74 65 22 3e
     3c 76 65 72 73 69 6f 6e 20 77 68 6f 3d 22 73 67
     22 3e 31 30 30 2e 37 28 36 29 31 31 36 3c 2f 76
     65 72 73 69 6f 6e 3e 3c 73 65 73 73 69 6f 6e 2d
     69 64 3e 38 31 39 32 3c 2f 73 65 73 73 69 6f 6e
<snip>
     72 6f 66 69 6c 65 2d 6d 61 6e 69 66 65 73 74 3e
     3c 2f 63 6f 6e 66 69 67 3e 3c 2f 63 6f 6e 66 69
     67 2d 61 75 74 68 3e 00
   tipo do attrib: Desconhecido - 28729, comprimento: 1

     00
 Payload seguinte SA: TSi, reservado: 0x0, comprimento: 44
IKEv2-PROTO-4:   última proposta: 0x0, reservado: 0x0, comprimento: 40
  Proposta: 1, ID de protocolo: ESP, tamanho SPI: 4, #trans: 3
IKEv2-PROTO-4:     último transforme: 0x3, reservado: 0x0: comprimento: 12
    tipo: 1, reservado: 0x0, identificação: AES-CBC
IKEv2-PROTO-4:     último transforme: 0x3, reservado: 0x0: comprimento: 8
    tipo: 3, reservado: 0x0, identificação: SHA96
IKEv2-PROTO-4:     último transforme: 0x0, reservado: 0x0: comprimento: 8
    tipo: 5, reservado: 0x0, identificação:

 Payload seguinte de TSi: TSr, reservado: 0x0, comprimento: 24
    Numérico dos TS: 1, 0x0 reservado, 0x0 reservado
    Tipo TS: TS_IPV4_ADDR_RANGE, identificação proto: 0, comprimento: 16
    porta do começo: 0, porta da extremidade: 65535
    ADDR do começo: 10.2.2.1, ADDR do fim: 10.2.2.1
 Payload seguinte de TSr: NOTIFIQUE, reservou: 0x0, comprimento: 24
    Numérico dos TS: 1, 0x0 reservado, 0x0 reservado
    Tipo TS: TS_IPV4_ADDR_RANGE, identificação proto: 0, comprimento: 16
    porta do começo: 0, porta da extremidade: 65535
    ADDR do começo: 0.0.0.0, ADDR do fim: 255.255.255.255

IKEv2-PROTO-3: Tx [L m_id 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0]: 0x5
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: Ispi IKEV2 HDR: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload seguinte: ENCR, versão: 2.0
IKEv2-PROTO-4: Tipo da troca: IKE_AUTH, bandeiras: QUE RESPONDE MSG-RESPONSE
IKEv2-PROTO-4: ID de mensagem: 0x5, comprimento: 4396
 Payload seguinte ENCR: AUTH, reservado: 0x0, comprimento: 4368
Data&colon cifrado; 4364 bytes

****************************************
Data: 04/23/2013
Tempo: 16:25:07
Digite: Informações
Fonte: acvpndownloader

Descrição: Função: ProfileMgr:: loadProfiles
Arquivo: . \ Api \ ProfileMgr.cpp
Linha: 148
Perfis carregados:
Usuários de C:\Documents and Settings\All \ dados do aplicativo \ Cisco \ mobilidade segura Client\Profile\anyconnect-ikev2.xml de Cisco AnyConnect
****************************************
****************************************
Data: 04/23/2013
Tempo: 16:25:07
Digite: Informações
Fonte: acvpndownloader

Descrição: Configurações de preferências atuais:
ServiceDisable: falso
CertificateStoreOverride: falso
CertificateStore: Todos
ShowPreConnectMessage: falso
AutoConnectOnStart: falso
MinimizeOnConnect: verdadeiro
LocalLanAccess: falso
AutoReconnect: verdadeiro
AutoReconnectBehavior: DisconnectOnSuspend
UseStartBeforeLogon: falso
AutoUpdate: verdadeiro
RSASecurIDIntegration: Automático
WindowsLogonEnforcement: SingleLocalLogon
WindowsVPNEstablishment: LocalUsersOnly
ProxySettings: Nativo
AllowLocalProxyConnections: verdadeiro
PPPExclusion: Disable
PPPExclusionServerIP:
AutomaticVPNPolicy: falso
TrustedNetworkPolicy: Desligue
UntrustedNetworkPolicy: Conecte
TrustedDNSDomains:
TrustedDNSServers:
AlwaysOn: falso
ConnectFailurePolicy: Fechado
AllowCaptivePortalRemediation: falso
CaptivePortalRemediationTimeout: 5
ApplyLastVPNLocalResourceRules: falso
AllowVPNDisconnect: verdadeiro
EnableScripting: falso
TerminateScriptOnNextEvent: falso
EnablePostSBLOnConnectScript: verdadeiro
AutomaticCertSelection: verdadeiro
RetainVpnOnLogoff: falso
UserEnforcement: SameUserOnly
EnableAutomaticServerSelection: falso
AutoServerSelectionImprovement: 20
AutoServerSelectionSuspendTime: 4
AuthenticationTimeout: 12
SafeWordSofTokenIntegration: falso
AllowIPsecOverSSL: falso
ClearSmartcardPin: verdadeiro
****************************************
Data: 04/23/2013
Tempo: 16:25:07
Digite: Informações
Fonte: acvpnui

Descrição: Informação do tipo de mensagem enviada ao usuário:
Estabelecendo o VPN - Sistema de exame…
****************************************
Data: 04/23/2013
Tempo: 16:25:07
Digite: Informações
Fonte: acvpnui

Descrição: Informação do tipo de mensagem enviada ao usuário:
Estabelecendo o VPN - Adaptador de VPN de ativação…
****************************************
Data: 04/23/2013
Tempo: 16:25:07
Digite: Informações
Fonte: acvpnagent

Descrição: Função: CVirtualAdapter:: DoRegistryRepair
Arquivo: . \ WindowsVirtualAdapter.cpp
Linha: 1869
Chave de controle encontrada VA: SYSTEM\CurrentControlSet\ENUM\ROOT\NET\0000\Control

****************************************
Data: 04/23/2013
Tempo: 16:25:07
Digite: Informações
Fonte: acvpnagent

Descrição: Uma interface de rede nova foi detectada.
****************************************
Data: 04/23/2013
Tempo: 16:25:07
Digite: Informações
Fonte: acvpnagent

Descrição: Função: CRouteMgr:: logInterfaces
Arquivo: . \ RouteMgr.cpp
Linha: 2076
Função invocada: logInterfaces
Código de retorno: 0 (0x00000000)
Descrição: Lista de interface do endereço IP de Um ou Mais Servidores Cisco ICM NT:
10.2.2.1
192.168.1.1
****************************************
Data: 04/23/2013
Tempo: 16:25:08
Digite: Informações
Fonte: acvpnagent

Descrição: Configuração do host:
 Endereço público: 192.168.1.1
 Máscara pública: 255.255.255.0
 Endereço privado: 10.2.2.1
 Máscara privada: 255.0.0.0
 Endereço privado do IPv6: N/A
 Máscara privada do IPv6: N/A
 Peer remotos: 10.0.0.1 (porta TCP 443, porta 500 UDP), 10.0.0.1 (porta 4500 UDP)
 Redes privadas: nenhum
 Redes públicas: nenhum
 Módo de túnel: sim
****************************************

A conexão é incorporada no base de dados da associação de segurança (SA), e o estado É REGISTRADO. O ASA igualmente executa algumas verificações como o stats comum do cartão do acesso (CAC), a presença da duplicata SA, e os valores de grupos como o Dead Peer Detection (DPD) e assim por diante.