使用BGP路由通知配置安全覆蓋
目錄
簡介
本文檔介紹如何在NFVIS上為專用vBranch流量管理配置安全重疊和eBGP通告。
採用元件
本檔案中的資訊是根據以下硬體和軟體元件：
- 運行NFVIS 4.7.1的ENCS5412
- 執行Cisco IOS® XE 17.09.03a的Catalyst 8000v
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。
BGP路由通告
NFVIS BGP功能與安全重疊功能配合使用，通過安全重疊隧道從BGP鄰居獲取路由。這些獲知的路由或子網將新增到安全隧道的NFVIS路由表中，這使得路由可以通過隧道訪問。由於安全重疊僅允許從隧道獲取1條單獨的私有路由；配置BGP可通過通過加密隧道建立鄰接關係並將匯出的路由注入NFVIS vpnv4路由表（反之亦然）來克服此限制。
組態範例
拓撲圖表
此配置的目標是從c8000v到達NFVIS的管理IP地址。 隧道建立後，可以使用eBGP路由通告從專用vrf子網通告更多路由。
圖1. 針對本文準備的示例的拓撲圖
初始設定
在FlexVPN伺服器上配置相關的IP編址（全部在全域性配置模式下）
vrf definition private-vrf
rd 65000:7
address-family ipv4
exit-address-family
vrf definition public-vrf
address-family ipv4
exit-address-family
interface GigabitEthernet1
description Public-Facing Interface
vrf forwarding public-vrf
ip address 10.88.247.84 255.255.255.224
interface Loopback1001
description Tunnel Loopback
vrf forwarding private-vrf
ip address 166.34.121.112 255.255.255.255
interface Loopback80
description Route Announced Loopback
vrf forwarding private-vrf
ip address 81.81.81.1 255.255.255.255
interface GigabitEthernet3
description Route Announced Physical Interface
vrf forwarding private-vrf
ip address 91.91.91.1 255.255.255.0
對於NFVIS，請相應地配置WAN和MGMT介面
system settings mgmt ip address 192.168.1.1 255.255.255.0
system settings wan ip address 10.88.247.89 255.255.255.224
system settings default-gw 10.88.247.65
system settings ip-receive-acl 0.0.0.0/0
service [ ssh https netconf scpd ]
action accept
priority 10
!Catalyst 8000v路由器上的FlexVPN伺服器配置
1.建立IKEv2建議
它指定了兩個VPN終端在建立安全通訊通道的初始階段（第1階段）必須使用的安全協定和演算法。IKEv2提議的目的是概述身份驗證、加密、完整性和金鑰交換的引數，從而確保兩個端點在交換任何敏感資料之前同意一組通用的安全措施。
crypto ikev2 proposal uCPE-proposal
encryption aes-cbc-256
integrity sha512
group 16 14其中：
| 加密<演算法> | 該建議包括VPN必須用來保護資料的加密演算法（如AES或3DES）。加密可防止竊聽者讀取通過VPN隧道的流量。 |
| 完整性<hash> | 它指定用於確保IKEv2協商期間交換的消息的完整性和真實性的演算法（如SHA-512）。這可以防止篡改和重播攻擊。 |
2.建立IKEv2策略並將其與建議關聯。
它是指定建立IPsec VPN連線的初始階段（階段1）的引數的配置集。 它主要關注VPN終端如何相互驗證以及如何為VPN設定建立安全通訊通道。
crypto ikev2 policy uCPE-policy
match fvrf public-vrf
proposal uCPE-proposal3.配置IKEv2授權策略
IKEv2是用於在網路上的兩個端點之間建立安全會話的協定，而授權策略是一組規則，用於確定在建立VPN隧道後允許VPN客戶端訪問哪些資源和服務。
crypto ikev2 authorization policy uCPE-author-pol
pfs
route set interface Loopback1001其中：
| pfs | 完美轉發保密(PFS)是一種通過確保每個新加密金鑰獨立安全來增強VPN連線安全性的功能，即使以前的金鑰已被洩漏。 |
| route set interface <interface-name> | 成功建立VPN會話後，IKEv2授權策略中定義的路由將自動新增到裝置路由表中。這可確保通過VPN隧道正確路由發往路由集中指定網路的流量。 |
4.建立IKEv2配置檔案
IKEv2（Internet金鑰交換版本2）策略是在建立IPsec（Internet協定安全）VPN隧道的IKEv2階段中使用的一組規則或引數。IKEv2是一種協定，可促進希望通過不受信任的網路（例如Internet）進行安全通訊的兩方之間金鑰的安全交換和安全關聯(SA)的協商。IKEv2策略定義必須如何進行此協商，並指定雙方必須同意的各種安全引數，以建立安全且加密的通訊通道。
IKEv2配置檔案必須具有：
- 一種本地和遠端身份驗證方法。
- 匹配身份、匹配證書或匹配任何語句。
crypto ikev2 profile uCPE-profile
description uCPE profile
match fvrf public-vrf
match identity remote any
authentication remote pre-share key ciscociscocisco123
authentication local pre-share key ciscociscocisco123
dpd 60 2 on-demand
aaa authorization group psk list default uCPE-author-pol local
virtual-template 1 mode auto其中：
| match fvrf public-vrf | 使配置檔案vrf感知。 |
| match identity remote any | 識別傳入會話的有效措施；在這種情況下，為任何人。 |
| 驗證遠端預共用金鑰ciscociscocisco123 | 指定遠端對等體必須使用預共用金鑰進行身份驗證。 |
| 身份驗證本地預共用金鑰ciscociscocisco123 | 指定此裝置（本地）必須使用預共用金鑰進行身份驗證。 |
| dpd 60 2點播 | 失效對等項檢測；如果在一分鐘（60秒）內沒有收到任何資料包，請在此60秒間隔內傳送2個dpd資料包。 |
| aaa authorization group psk list default uCPE-author-pol local | 路由分配。 |
| virtual-template 1 mode auto | 繫結到虛擬模板。 |
5.建立IPsec轉換集
它定義了一組必須應用於通過IPsec隧道的資料流量的安全協定和演算法。實質上，轉換集指定資料必須如何加密和身份驗證，確保VPN端點之間的安全傳輸。隧道模式將IPsec隧道配置為封裝整個IP資料包，以便通過網路進行安全傳輸。
crypto ipsec transform-set tset_aes_256_sha512 esp-aes 256 esp-sha512-hmac
mode tunnel
其中：
| set transform-set <transform-set-name> | 指定必須用來保護通過VPN隧道的資料流的加密和完整性演算法（例如：AES用於加密，SHA用於完整性）。 |
| set ikev2-profile <ikev2-profile-name> | 定義VPN設定第1階段中安全關聯(SA)協商的引數，包括加密演算法、雜湊演算法、身份驗證方法和Diffie-Hellman組。 |
| set pfs <group> | 一個可選設定，如果啟用，該設定可確保每個新加密金鑰與之前的任何金鑰無關，從而增強了安全性。 |
6.刪除預設IPsec配置檔案
出於與安全性、自定義和系統清晰度相關的幾個原因，採用刪除預設IPsec配置檔案的做法。 預設IPsec配置檔案無法滿足網路的特定安全策略或要求。刪除它可確保沒有哪個VPN隧道會無意中使用次優設定或不安全的設定，從而降低漏洞風險。
每個網路都有獨特的安全要求，包括特定的加密和雜湊演算法、金鑰長度和身份驗證方法。刪除預設配置檔案可鼓勵建立定製配置檔案，以滿足這些特定需求，確保儘可能最好的保護和效能。
no crypto ipsec profile default7.建立IPsec配置檔案並將其與轉換集和IKEv2配置檔案相關聯。
IPsec（Internet協定安全）配置檔案是一個配置實體，封裝用於建立和管理IPsec VPN隧道的設定和策略。它可以作為一個模板，應用於多個VPN連線，標準化安全引數，並簡化整個網路的安全通訊管理。
crypto ipsec profile uCPE-ips-prof
set security-association lifetime seconds 28800
set security-association idle-time 1800
set transform-set tset_aes_256_sha512
set pfs group14
set ikev2-profile uCPE-profile8.建立虛擬模板
Virtual-Template介面充當虛擬訪問介面的動態模板，為管理VPN連線提供了一種可擴展且有效的方法。它允許虛擬訪問介面的動態例項化。啟動新的VPN會話時，裝置會根據虛擬模板中指定的配置建立虛擬訪問介面。此過程通過根據需要動態分配資源來支援大量遠端客戶端和站點，而無需為每個連線預配置物理介面。
通過使用虛擬模板，FlexVPN部署可以在建立新連線時有效地擴展，而無需手動配置每個單獨會話。
interface Virtual-Template1 type tunnel
vrf forwarding private-vrf
ip unnumbered Loopback1001
ip mtu 1400
ip tcp adjust-mss 1380
tunnel mode ipsec ipv4
tunnel vrf public-vrf
tunnel protection ipsec profile uCPE-ips-profNFVIS安全覆蓋最低配置
配置安全覆蓋例項
secure-overlay myconn local-bridge wan-br local-system-ip-addr 10.122.144.146 local-system-ip-subnet 10.122.144.128/27 remote-interface-ip-addr 10.88.247.84 remote-system-ip-addr 166.34.121.112 remote-system-ip-subnet 166.34.121.112/32
ike-cipher aes256-sha512-modp4096 esp-cipher aes256-sha512-modp4096
psk local-psk ciscociscocisco123 remote-psk ciscociscocisco123
commit
注意：通過IPSec隧道配置BGP路由通告時，請確保將安全重疊配置為對本地隧道IP地址使用虛擬IP地址（不是來自物理介面或OVS網橋）。對於上面的示例，以下是更改的虛擬定址命令：local-system-ip-addr 10.122.144.146 local-system-ip-subnet 10.122.144.128/27
檢視覆蓋狀態
show secure-overlay
secure-overlay myconn
state up
active-local-bridge wan-br
selected-local-bridge wan-br
active-local-system-ip-addr 10.122.144.146
active-remote-interface-ip-addr 10.88.247.84
active-remote-system-ip-addr 166.34.121.112
active-remote-system-ip-subnet 166.34.121.112/32
active-remote-id 10.88.247.84FlexVPN伺服器的BGP路由通告配置
此設定必須為peerings使用eBGP，其中必須將NFVIS端的源地址（本地隧道IP的虛擬IP地址）子網新增到偵聽範圍。
router bgp 65000
bgp router-id 166.34.121.112
bgp always-compare-med
bgp log-neighbor-changes
bgp deterministic-med
bgp listen range 10.122.144.0/24 peer-group uCPEs
bgp listen limit 255
no bgp default ipv4-unicast
address-family ipv4 vrf private-vrf
redistribute connected
redistribute static
neighbor uCPEs peer-group
neighbor uCPEs remote-as 200
neighbor uCPEs ebgp-multihop 10
neighbor uCPEs timers 610 1835
exit-address-family其中：
| bgp always-compare-med | 將路由器配置為始終比較所有路由的MED（多出口鑑別器）屬性，無論其源AS如何。 |
| bgp log-neighbor-changes | 啟用與BGP鄰居關係更改相關的事件記錄。 |
| bgp deterministic-med |
確保比較來自不同自治系統中鄰居的路徑的MED。 |
| bgp listen range <network>/<mask> peer-group <peer-group-name> |
在指定的IP範圍（網路/掩碼）內啟用動態鄰居發現，並將發現的鄰居分配給對等體組名稱.這通過將公共設定應用於組中的所有對等體來簡化配置。 |
| bgp偵聽限制255 |
將偵聽範圍內可以接受的動態BGP鄰居的最大數量設定為255。 |
| no bgp default ipv4-unicast |
禁止自動向BGP鄰居傳送IPv4單播路由資訊，需要顯式配置才能啟用此功能。 |
| 重新分配已連線 |
將來自直連網路的路由重分發到BGP（來自屬於private-vrf的FlexVPN伺服器的專用子網） |
| redistribute static |
將靜態路由重新分發到BGP。 |
| 鄰居uCPE ebgp-multihop 10 |
允許與對等體中的EBGP（外部BGP）連線可跨度高達10跳的組，對於連線不直接相鄰的裝置很有用。 |
| 鄰居uCPEs計時器<keep-alive> <hold-down> |
為中的鄰居設定BGP keepalive計時器和抑制計時器 對等體組（示例為610秒和1835秒）。 |
注意：可以配置出站字首清單來控制對等組中的鄰居路由通告：neighbor prefix-list out
NFVIS上的BGP配置
使用eBGP鄰居關係設定啟動BGP進程
router bgp 200
router-id 10.122.144.146
neighbor 166.34.121.112 remote-as 65000
commitBGP審查
此輸出顯示BIRD Internet路由守護程式報告的BGP會話的條件。此路由軟體負責處理IP路由並作出有關路由方向的決策。從給出的資訊中，可以清楚地看到BGP會話處於「已建立」狀態，這表明BGP對等過程已成功完成，並且會話當前處於活動狀態。它已成功匯入了四條路由，並且指出可以匯入的上限為15條路由。
nfvis# support show bgp
BIRD 1.6.8 ready.
name proto table state since info
bgp_166_34_121_112 BGP bgp_table_166_34_121_112 up 09:54:14 Established
Preference: 100
Input filter: ACCEPT
Output filter: ACCEPT
Import limit: 15
Action: disable
Routes: 4 imported, 0 exported, 8 preferred
Route change stats: received rejected filtered ignored accepted
Import updates: 4 0 0 0 4
Import withdraws: 0 0 --- 0 0
Export updates: 4 4 0 --- 0
Export withdraws: 0 --- --- --- 0
BGP state: Established
Neighbor address: 166.34.121.112
Neighbor AS: 65000
Neighbor ID: 166.34.121.112
Neighbor caps: refresh enhanced-refresh AS4
Session: external multihop AS4
Source address: 10.122.144.146
Route limit: 4/15
Hold timer: 191/240
Keepalive timer: 38/80確保通過BGP通告FlexVPN伺服器的專用子網
配置BGP路由通告時，唯一可配置的地址系列或傳輸組合是 ipv4單播用於IPSec。要檢視BGP狀態，IPSec的可配置地址系列或傳輸為 vpnv4單播.
nfvis# show bgp vpnv4 unicast
Family Transmission Router ID Local AS Number
vpnv4 unicast 10.122.144.146 200使用show bgp vpnv4 unicast route命令，您可以檢索BGP進程已知的VPNv4單播路由的相關資訊。
nfvis# show bgp vpnv4 unicast route
Network Next-Hop Metric LocPrf Path
81.81.81.1/32 166.34.121.112 0 100 65000 ?
91.91.91.0/24 166.34.121.112 0 100 65000 ?
10.122.144.128/27 166.34.121.112 0 100 65000 ?
166.34.121.112/32 166.34.121.112 0 100 65000 ?對於頭端VPN服務器，可以生成BGP配置和運行狀態的概述，以快速評估BGP會話的運行狀況和配置。
c8000v# show ip bgp summary
Number of dynamically created neighbors in vrf private-vrf: 1/(100 max)
Total dynamically created neighbors: 1/(255 max), Subnet ranges: 1此外，還可以顯示由BGP管理的VPNv4(VPN over IPv4)路由表條目的詳細資訊，它必須包含每個VPNv4路由的特定屬性，例如路由字首、下一跳IP地址、始發AS編號以及各種BGP屬性(例如本地優先順序、MED（多出口鑑別器）和社群值)。
c8000v# show ip bgp vpnv4 all
BGP table version is 5, local router ID is 166.34.121.112
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
x best-external, a additional-path, c RIB-compressed,
t secondary path, L long-lived-stale,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found
Network Next Hop Metric LocPrf Weight Path
Route Distinguisher: 65000:7 (default for vrf private-vrf)
*> 10.122.144.128/27
0.0.0.0 0 32768 ?
*> 81.81.81.1/32 0.0.0.0 0 32768 ?
*> 91.91.91.0/24 0.0.0.0 0 32768 ?
*> 166.34.121.112/32
0.0.0.0 0 32768 ?疑難排解
NFVIS（FlexVPN客戶端）
NFVIS日誌檔案
您可以從NFVIS charon.log日誌檔案檢視IPsec階段的所有初始化和錯誤日誌：
nfvis# show log charon.log
Feb 5 07:55:36.771 00[JOB] spawning 16 worker threads
Feb 5 07:55:36.786 05[CFG] received stroke: add connection 'myconn'
Feb 5 07:55:36.786 05[CFG] added configuration 'myconn'
Feb 5 07:55:36.787 06[CFG] received stroke: initiate 'myconn'
Feb 5 07:55:36.787 06[IKE]
initiating IKE_SA myconn[1] to 10.88.247.84 Feb 5 07:55:36.899 06[ENC]
generating IKE_SA_INIT request 0 [ SA KE No N(NATD_S_IP) N(NATD_D_IP) N(FRAG_SUP) N(HASH_ALG) N(REDIR_SUP) V ] Feb 5 07:55:36.899 06[NET]
sending packet: from 10.88.247.89[500] to 10.88.247.84[500] (741 bytes) Feb 5 07:55:37.122 09[NET]
received packet: from 10.88.247.84[500] to 10.88.247.89[500] (807 bytes) Feb 5 07:55:37.122 09[ENC]
parsed IKE_SA_INIT response 0 [ SA KE No V V V V N(NATD_S_IP) N(NATD_D_IP) CERTREQ N(HTTP_CERT_LOOK) ] Feb 5 07:55:37.122 09[IKE]
received Cisco Delete Reason vendor ID Feb 5 07:55:37.122 09[ENC]
received unknown vendor ID: 43:49:53:43:4f:56:50:4e:2d:52:45:56:2d:30:32 Feb 5 07:55:37.122 09[ENC]
received unknown vendor ID: 43:49:53:43:4f:2d:44:59:4e:41:4d:49:43:2d:52:4f:55:54:45 Feb 5 07:55:37.122 09[IKE]
received Cisco FlexVPN Supported vendor ID Feb 5 07:55:37.122 09[CFG]
selected proposal: IKE:AES_CBC_256/HMAC_SHA2_512_256/PRF_HMAC_SHA2_512/MODP_4096 Feb 5 07:55:37.235 09[IKE]
cert payload ANY not supported - ignored Feb 5 07:55:37.235 09[IKE]
authentication of '10.88.247.89' (myself) with pre-shared key Feb 5 07:55:37.235 09[IKE]
establishing CHILD_SA myconn{1} Feb 5 07:55:37.236 09[ENC]
generating IKE_AUTH request 1 [ IDi N(INIT_CONTACT) IDr AUTH SA TSi TSr N(MOBIKE_SUP) N(ADD_4_ADDR) N(ADD_4_ADDR) N(ADD_4_ADDR) N(ADD_4_ADDR) N(ADD_4_ADDR) N(ADD_4_ADDR) N(EAP_ONLY) N(MSG_ID_SYN_SUP) ] Feb 5 07:55:37.236 09[NET]
sending packet: from 10.88.247.89[4500] to 10.88.247.84[4500] (480 bytes) Feb 5 07:55:37.322 10[NET]
received packet: from 10.88.247.84[4500] to 10.88.247.89[4500] (320 bytes) Feb 5 07:55:37.322 10[ENC]
parsed IKE_AUTH response 1 [ V IDr AUTH SA TSi TSr N(SET_WINSIZE) N(ESP_TFC_PAD_N) N(NON_FIRST_FRAG) ] Feb 5 07:55:37.323 10[IKE]
authentication of '10.88.247.84' with pre-shared key successful Feb 5 07:55:37.323 10[IKE]
IKE_SA myconn[1] established between 10.88.247.89[10.88.247.89]...10.88.247.84[10.88.247.84] Feb 5 07:55:37.323 10[IKE]
scheduling rekeying in 86190s Feb 5 07:55:37.323 10[IKE]
maximum IKE_SA lifetime 86370s Feb 5 07:55:37.323 10[IKE]
received ESP_TFC_PADDING_NOT_SUPPORTED, not using ESPv3 TFC padding Feb 5 07:55:37.323 10[CFG]
selected proposal: ESP:AES_CBC_256/HMAC_SHA2_512_256/NO_EXT_SEQ Feb 5 07:55:37.323 10[IKE]
CHILD_SA myconn{1} established with SPIs cfc15900_i 49f5e23c_o and TS 10.122.144.128/27 === 0.0.0.0/0 Feb 5 07:55:37.342 11[NET]
received packet: from 10.88.247.84[4500] to 10.88.247.89[4500] (384 bytes) Feb 5 07:55:37.342 11[ENC]
parsed INFORMATIONAL request 0 [ CPS(SUBNET VER U_PFS) ] Feb 5 07:55:37.342 11[IKE]
Processing informational configuration payload CONFIGURATION Feb 5 07:55:37.342 11[IKE]
Processing information configuration payload of type CFG_SET Feb 5 07:55:37.342 11[IKE]
Processing attribute INTERNAL_IP4_SUBNET Feb 5 07:55:37.342 11[ENC]
generating INFORMATIONAL response 0 [ ] Feb 5 07:55:37.342 11[NET]
sending packet: from 10.88.247.89[4500] to 10.88.247.84[4500] (96 bytes)
Internal Kernel strongswan injected routes
在Linux上，strongswan（NFVIS使用的多平台IPsec實現）將路由（包括BGP VPNv4單播路由）安裝到路由表220預設情況下，因此需要核心支援基於策略的路由。
nfvis# support show route 220
10.122.144.128/27 dev ipsec0 proto bird scope link
81.81.81.1 dev ipsec0 proto bird scope link
91.91.91.0/24 dev ipsec0 proto bird scope link
166.34.121.112 dev ipsec0 scope link檢查IPsec0介面狀態
您可以使用ifconfig取得有關ipsec0虛擬介面的更多詳細資訊
nfvis# support show ifconfig ipsec0
ipsec0: flags=209
mtu 9196 inet 10.122.144.146 netmask 255.255.255.255 destination 10.122.144.146 tunnel txqueuelen 1000 (IPIP Tunnel) RX packets 5105 bytes 388266 (379.1 KiB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 5105 bytes 389269 (380.1 KiB) TX errors 1 dropped 0 overruns 0 carrier 1 collisions 0
頭端（FlexVPN伺服器）
檢視對等體之間的IPsec SA構建
從以下輸出中，通過虛擬接入1介面在10.88.247.84之間構建加密隧道，10.88.247.89用於網路0.0.0.0/0和10.122.144.128/27之間的流量；兩個封裝安全負載(ESP)SA構建入站和出站。
c8000v# show crypto ipsec sa
interface: Virtual-Access1
Crypto map tag: Virtual-Access1-head-0, local addr 10.88.247.84
protected vrf: private-vrf
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.122.144.128/255.255.255.224/0/0)
current_peer 10.88.247.89 port 4500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 218, #pkts encrypt: 218, #pkts digest: 218
#pkts decaps: 218, #pkts decrypt: 218, #pkts verify: 218
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 10.88.247.84, remote crypto endpt.: 10.88.247.89
plaintext mtu 1422, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet1
current outbound spi: 0xC91BCDE0(3374042592)
PFS (Y/N): Y, DH group: group16
inbound esp sas:
spi: 0xB80E6942(3087952194)
transform: esp-256-aes esp-sha512-hmac ,
in use settings ={Tunnel, }
conn id: 2123, flow_id: CSR:123, sibling_flags FFFFFFFF80000048, crypto map: Virtual-Access1-head-0, initiator : False
sa timing: remaining key lifetime (k/sec): (4607969/27078)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE)
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xC91BCDE0(3374042592)
transform: esp-256-aes esp-sha512-hmac ,
in use settings ={Tunnel, }
conn id: 2124, flow_id: CSR:124, sibling_flags FFFFFFFF80000048, crypto map: Virtual-Access1-head-0, initiator : False
sa timing: remaining key lifetime (k/sec): (4607983/27078)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE)
outbound ah sas:
outbound pcp sas:顯示作用中加密（加密）作業階段
show crypto session detail的輸出必須提供有關每個活動加密會話的全面詳細資訊，包括VPN型別（如站點到站點或遠端訪問）、使用的加密和雜湊演算法，以及入站和出站流量的安全關聯(SA)。此外，它還顯示有關加密和解密流量的統計資訊，例如資料包數和位元組數；這對於監視VPN保護的資料量以及解決吞吐量問題非常有用。
c8000v# show crypto session detail
Crypto session current status
Code: C - IKE Configuration mode, D - Dead Peer Detection
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
X - IKE Extended Authentication, F - IKE Fragmentation
R - IKE Auto Reconnect, U - IKE Dynamic Route Update
S - SIP VPN
Interface: Virtual-Access1
Profile: uCPE-profile
Uptime: 11:39:46
Session status: UP-ACTIVE
Peer: 10.88.247.89 port 4500 fvrf: public-vrf ivrf: private-vrf
Desc: uCPE profile
Phase1_id: 10.88.247.89
Session ID: 1235
IKEv2 SA: local 10.88.247.84/4500 remote 10.88.247.89/4500 Active
Capabilities:D connid:2 lifetime:12:20:14
IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 10.122.144.128/255.255.255.224
Active SAs: 2, origin: crypto map
Inbound: #pkts dec'ed 296 drop 0 life (KB/Sec) 4607958/7 hours, 20 mins
Outbound: #pkts enc'ed 296 drop 0 life (KB/Sec) 4607977/7 hours, 20 mins重置VPN連線
clear crypto命令用於手動重置VPN連線或清除安全關聯(SA)，而無需重新啟動整個裝置。
- clear crypto ikev2將清除IKEv2安全關聯(IKEv2 SA)。
- clear crypto session將清除IKEv1(isakmp)/IKEv2和IPSec SA。
-
clear crypto sa將僅清除IPSec SA。
- clear crypto ipsec sa 將刪除活動的IPSec安全關聯。
執行調試以進行進一步的故障排除
IKEv2調試有助於識別和排除頭端設備(c8000v)上在IKEv2協商過程和FlexVPN客戶端連線期間可能發生的錯誤，例如建立VPN會話的問題、策略應用或任何客戶端特定的錯誤。
c8000v# terminal no monitor
c8000v(config)# logging buffer 1000000
c8000v(config)# logging buffered debugging
c8000v# debug crypto ikev2 error
c8000v# debug crypto ikev2 internal
c8000v# debug crypto ikev2 client flexvpn相關文章和文檔
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
14-Feb-2024 |
初始版本 |
意見