在Cisco VPN集中器、Cisco IOS和PIX裝置之間重新協商LAN到LAN配置

下載選項

  • PDF     (175.7 KB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (87.2 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (80.7 KB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2006 年 2 月 2 日
文件 ID:14111

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本檔案將報告各種情況下(例如VPN裝置重新啟動、重新設定金鑰和手動終止IPSec安全關聯(SA))之間不同Cisco VPN產品之間的IP安全(IPSec)LAN到LAN通道重新交涉的實驗室測試結果。

必要條件

需求

本文件沒有特定需求。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

  • Cisco IOS®軟體版本12.1(5)T8

  • Cisco PIX軟體版本6.0(1)

  • Cisco VPN 3000 Concentrator軟體版本3.0(3)A

  • Cisco VPN 5000 Concentrator軟體版本5.2(21)

此測試中使用的IP流量是主機A和主機B之間的雙向網際網路控制訊息通訊協定(ICMP)封包。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

網路圖表

這是測試台的概念圖。

renegotiate.gif

VPN裝置代表Cisco IOS路由器、Cisco Secure PIX防火牆、Cisco VPN 3000集中器或Cisco VPN 5000集中器。

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

測試方案

測試了三種常見方案。以下是測試方案的簡要定義：

  • 手動終止IPSec SA — 使用者登入到VPN裝置並使用命令列介面(CLI)或圖形使用者介面(GUI)手動清除IPSec SA。

  • Rekey — 當定義的生存期到期時，正常IPSec階段I和階段II重新生成金鑰。在本測試中，兩個VPN終端裝置配置了相同的I階段和II階段壽命。

  • VPN裝置重新引導 — 已重新引導VPN隧道的任一端終止點以模擬服務中斷。

注意：對於使用VPN 5000集中器的LAN到LAN隧道，使用主模式和隧道響應器配置集中器。

測試結果

設定 手動終止IPSec SA 重新生成金鑰 VPN裝置重新啟動
IOS到PIX
  • 在任一端清除階段I或階段II SA後重新建立隧道
  • 測試流量工作
  • 在第一階段或第二階段重新生成金鑰後，測試流量仍然可以正常工作
  • 在兩台裝置上啟用IKE保持連線後，隧道重新建立
  • 測試流量1在通道恢復後工作
IOS到VPN 3000
  • 在任一端清除階段I或階段II SA後重新建立隧道
  • 測試流量工作
  • 在第一階段或第二階段重新生成金鑰後，測試流量仍然可以正常工作
  • 在兩台裝置上啟用IKE保持連線後，隧道重新建立
  • 測試流量1在通道恢復後工作
IOS到VPN 5000
  • 在IOS上：
    • 在第II階段SA清除後，測試流量仍可工作
    • 階段I SA清除時，VPN隧道關閉
    • 測試流量停止工作
  • 在VPN 5000上：
    • 手動清除SA後，通道無法恢復
    • 必須清除IOS上的I階段和II階段SA才能重新建立隧道
  • 第II階段重新生成金鑰後，測試流量仍可正常工作
  • 第一階段重新生成金鑰使隧道關閉
  • 測試流量停止工作
  • 必須手動清除SA才能恢復隧道
  • 重新引導任一VPN裝置（具有雙向測試流量）後，通道無法恢復
  • 測試流量停止工作
  • 必須手動清除未重新啟動的裝置上的SA才能恢復隧道
PIX到VPN 3000
  • 在任一端清除階段I或階段II SA後重新建立隧道
  • 測試流量工作
  • 在第一階段或第二階段重新生成金鑰後，測試流量仍然可以正常工作
  • 測試流量1在通道恢復後工作
  • 使用失效對等體檢測(DPD)2（預設情況下啟用），重新建立通道
PIX到VPN 5000
  • 在PIX上：
    • 在第II階段SA清除後，測試流量仍可工作
    • 階段I SA清除時，VPN隧道關閉
    • 測試流量停止工作
  • 在VPN 5000上：
    • 手動清除SA後，通道無法恢復
    • 必須清除PIX上的I階段和II階段SA才能重建隧道
  • 第II階段重新生成金鑰後，測試流量仍可正常工作
  • 第一階段重新生成金鑰使隧道關閉
  • 測試流量停止工作
  • 必須手動清除SA才能恢復隧道
  • 重新引導任一VPN裝置（具有雙向測試流量）後，通道無法恢復
  • 測試流量停止工作
  • 必須手動清除未重新啟動的裝置上的SA才能恢復隧道
VPN 3000到VPN 5000
  • 在VPN 3000上：
    • 手動清除作業階段後通道即可復原
    • 流量仍然有效
  • 在VPN 5000上：
    • 手動清除通道後通道無法復原
    • 測試流量停止工作
    • 必須清除VPN 3000上的SA才能重建隧道
  • 在第一階段或第二階段重新生成金鑰後，測試流量仍然可以正常工作
  • 重新引導任一VPN裝置後，通道無法恢復（使用雙向測試流量）
  • 測試流量停止工作
  • 必須手動清除未重新啟動的裝置上的SA才能恢復隧道

1 如上所述，使用的測試流量是主機A和主機B之間的雙向ICMP封包。在VPN裝置重新開機測試中，也會測試單向流量來模擬最糟糕的情況（其中流量僅來自未重新開機的VPN裝置之後的主機重新開機至重新開機的VPN裝置）。 從表中可以看到，使用IKE keepalive或使用DPD協定時，VPN隧道可以從最壞的情況中恢復。

2 DPD是Unity協定的一部分。目前，此功能僅在軟體版本為3.0及更高版本的Cisco VPN 3000 Concentrator和軟體版本為6.0(1)及更高版本的PIX防火牆上可用。

相關資訊

修訂記錄

修訂 發佈日期 意見
1.0
02-Feb-2006
初始版本

這份文件是否有所幫助？

Feedback意見

讓思科協助您

本文件適用於這些產品