目錄

簡介

必要條件

需求

採用元件

相關產品

慣例

設定

網路圖表

Sonicwall配置

IPsec主模式組態

IPsec主動模式配置

驗證

疑難排解

相關資訊

簡介

本文檔演示如何使用預共用金鑰配置IPsec隧道，以便使用主動模式和主模式在兩個專用網路之間進行通訊。在本示例中，通訊網路是思科安全裝置(PIX/ASA)內部的192.168.1.x專用網路和SonicwallTM TZ170防火牆內部的172.22.1.x專用網路。

必要條件

需求

嘗試此組態之前，請確保符合以下要求：

- 開始此配置之前，來自Cisco安全裝置內部和Sonicwall TZ170內部的流量應流至Internet（此處由10.x.x.x網路表示）。

- 使用者應熟悉IPsec交涉。此過程可分為五個步驟，其中包括兩個網際網路金鑰交換(IKE)階段。

1. IPsec隧道由相關流量發起。流量在IPsec對等路由器之間傳輸時，會被視為有趣。

2. 在IKE第1階段，IPsec對等體協商已建立的IKE安全關聯(SA)策略。對等點通過驗證後，會使用網際網路安全性關聯和金鑰管理通訊協定(ISAKMP)建立安全通道。

3. 在IKE第2階段，IPsec對等使用經過身份驗證的安全隧道協商IPsec SA轉換。共用策略的協商確定如何建立IPsec隧道。

4. 將建立IPsec隧道，並根據IPsec轉換集中配置的IPsec引數在IPsec對等體之間傳輸資料。

5. IPsec隧道在IPsec SA被刪除或其生存期到期時終止。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Cisco PIX 515E版本6.3(5)

- Cisco PIX 515版本7.0(2)

- Sonicwall TZ170,SonicOS標準2.2.0.1

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

相關產品

此配置還可以用於以下硬體和軟體版本：

- PIX 6.3(5)配置可用於運行該版本軟體的所有其他Cisco PIX防火牆產品（PIX 501、506等）

- PIX/ASA 7.0(2)配置只能用於運行PIX 7.0系列軟體（不包括501、506和可能更舊的515）以及Cisco 5500系列ASA的裝置。

慣例

請參閱思科技術提示慣例以瞭解更多有關文件慣例的資訊。

設定

本節提供用於設定本文件中所述功能的資訊。

註：使用Command Lookup Tool(僅供已註冊客戶使用)可獲取本節中使用的命令的詳細資訊。

注意：在IPsec主動模式下，Sonicwall需要啟動到PIX的IPsec隧道。分析此配置的調試時可以看到這一點。這是IPsec主動模式運行方式中固有的現象。

網路圖表

本檔案會使用以下網路設定：

Sonicwall配置

Sonicwall TZ170的配置通過基於Web的介面執行。

請完成以下步驟：

1. 使用標準Web瀏覽器連線到其中一個內部介面上的路由器的IP地址。

此時將顯示登入視窗。

2. 登入到Sonicwall裝置並選擇VPN > Settings。

3. 輸入VPN對等體的IP地址和將使用的預共用金鑰。按一下Destination Networks下的Add。

4. 輸入目的網路。

出現「Settings（設定）」視窗。

5. 按一下「設定」視窗頂部的「建議」頁籤。

6. 選擇您計畫用於此配置的交換（主模式或主動模式）以及階段1和階段2的其餘設定。

此示例配置在兩個階段使用AES-256加密，其中SHA1雜湊演算法用於身份驗證，1024位Diffie-Hellman組2用於IKE策略。

7. 按一下「高級」頁籤。

在此頁籤中可能需要配置其他選項。以下是用於此示例配置的設定。

8. 按一下「OK」（確定）。

完成此配置和遠端PIX上的配置後，「設定」視窗應類似於此示例「設定」視窗。

IPsec主模式組態

本節使用以下配置：

- Cisco PIX 515e版本6.3(5)

- Cisco PIX 515版本7.0(2)

Cisco PIX 515e版本6.3(5)

pix515e-635#show running-config

: Saved

:

PIX Version 6.3(5)

!--- Sets the hardware speed to auto on both interfaces.

interface ethernet0 auto

interface ethernet1 auto

!--- Specifies the inside and outside interfaces.

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname pix515e-635

fixup protocol dns maximum-length 512

fixup protocol ftp 21

fixup protocol h323 h225 1720

fixup protocol h323 ras 1718-1719

fixup protocol http 80

fixup protocol rsh 514

fixup protocol rtsp 554

fixup protocol sip 5060

fixup protocol sip udp 5060

fixup protocol skinny 2000

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol tftp 69

names

!--- Specifies the traffic that can pass through the IPsec tunnel.

access-list pixtosw permit ip 192.168.1.0 255.255.255.0 172.22.1.0 255.255.255.0

pager lines 24

mtu outside 1500

mtu inside 1500

!--- Sets the inside and outside IP addresses and subnet masks.

ip address outside 10.20.20.1 255.255.255.0

ip address inside 192.168.1.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

pdm history enable

arp timeout 14400

!--- Instructs PIX to perform PAT on the IP address on the outside interface.

global (outside) 1 interface

!--- Specifies addresses to be exempt from NAT (traffic to be tunneled).

nat (inside) 0 access-list pixtosw

!--- Specifies which addresses should use NAT (all except those exempted).

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

!--- Specifies the default route on the outside interface.

route outside 0.0.0.0 0.0.0.0 10.20.20.2 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00

timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout sip-disconnect 0:02:00 sip-invite 0:03:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server TACACS+ max-failed-attempts 3

aaa-server TACACS+ deadtime 10

aaa-server RADIUS protocol radius

aaa-server RADIUS max-failed-attempts 3

aaa-server RADIUS deadtime 10

aaa-server LOCAL protocol local

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

!--- Implicit permit for all packets that come from IPsec tunnels.

sysopt connection permit-ipsec

!--- PHASE 2 CONFIGURATION: !--- Defines the transform set for Phase 2 encryption and authentication. !--- Austinlab is the name of the transform set that uses aes-256 encryption !--- as well as the SHA1 hash algorithm for authentication.

crypto ipsec transform-set austinlab esp-aes-256 esp-sha-hmac

!--- Specifies IKE is used to establish the IPsec SAs for the map "maptosw".

crypto map maptosw 67 ipsec-isakmp

!--- Specifies the ACL "pixtosw" to use with this map

.

crypto map maptosw 67 match address pixtosw

!--- Specifies the IPsec peer for this map.

crypto map maptosw 67 set peer 10.10.10.1

!--- Specifies the transform set to use.

crypto map maptosw 67 set transform-set austinlab

!--- Specifies the interface to use with this map.

crypto map maptosw interface outside

!--- PHASE 1 CONFIGURATION !--- Specifies the interface to use for the IPsec tunnel.

isakmp enable outside

!--- Specifies the preshared key and the addresses to use with that key. !--- In this case only one address is used with the preshared key cisco123.

isakmp key ******** address 10.10.10.1 netmask 255.255.255.255

!--- Defines how the PIX identifies itself in !--- IKE negotiations (IP address in this case).

isakmp identity address

!--- These five commands specify the Phase 1 configuration settings !--- specific to this sample configuration.

isakmp policy 13 authentication pre-share

isakmp policy 13 encryption aes-256

isakmp policy 13 hash sha

isakmp policy 13 group 2

isakmp policy 13 lifetime 28800

telnet timeout 5

ssh timeout 5

console timeout 0

terminal width 80

Cryptochecksum:07a3815d59db9965b72c7d8a7aaf7f5f

: end

pix515e-635#

Cisco PIX 515版本7.0(2)

pix515-702#show running-config

: Saved

:

PIX Version 7.0(2)

names

!

!--- PIX 7 uses an interface configuration mode similar to Cisco IOS®. !--- This output configures the IP address, interface name, !--- and security level for interfaces Ethernet0 and Ethernet1.

interface Ethernet0

nameif outside

security-level 0

ip address 10.20.20.1 255.255.255.0

!

interface Ethernet1

nameif inside

security-level 100

ip address 192.168.1.1 255.255.255.0

!

interface Ethernet2

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet3

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet4

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet5

shutdown

no nameif

no security-level

no ip address

!

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname pix515-702

domain-name cisco.com

ftp mode passive

!--- Specifies the traffic that can pass through the IPsec tunnel.

access-list pixtosw extended permit ip 192.168.1.0 255.255.255.0 172.22.1.0 255.255.255.0

pager lines 24

mtu inside 1500

mtu outside 1500

no failover

monitor-interface inside

monitor-interface outside

no asdm history enable

arp timeout 14400

!--- Instructs PIX to perform PAT on the IP address on the outside interface.

global (outside) 1 interface

!--- Specifies addresses to be exempt from NAT (traffic to be tunneled).

nat (inside) 0 access-list pixtosw

!--- Specifies which addresses should use NAT (all except those exempted).

nat (inside) 1 0.0.0.0 0.0.0.0

!--- Specifies the default route on the outside interface.

route outside 0.0.0.0 0.0.0.0 10.20.20.2 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00

timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp

!--- Implicit permit for all packets that come from IPsec tunnels.

sysopt connection permit-ipsec

!--- PHASE 2 CONFIGURATION !--- Defines the transform set for Phase 2 encryption and authentication. !--- Austinlab is the name of the transform set that uses aes-256 encryption !--- as well as the SHA1 hash algorithm for authentication.

crypto ipsec transform-set austinlab esp-aes-256 esp-sha-hmac

!--- Specifies the ACL pixtosw to use with this map.

crypto map maptosw 67 match address pixtosw

!--- Specifies the IPsec peer for this map.

crypto map maptosw 67 set peer 10.10.10.1

!--- Specifies the transform set to use.

crypto map maptosw 67 set transform-set austinlab

!--- Specifies the interface to use with this map

.

crypto map maptosw interface outside

!--- PHASE 1 CONFIGURATION !--- Defines how the PIX identifies itself in !--- IKE negotiations (IP address in this case).

isakmp identity address

!--- Specifies the interface to use for the IPsec tunnel.

isakmp enable outside

!--- These five commands specify the Phase 1 configuration !--- settings specific to this sample configuration.

isakmp policy 13 authentication pre-share

isakmp policy 13 encryption aes-256

isakmp policy 13 hash sha

isakmp policy 13 group 2

isakmp policy 13 lifetime 28800

telnet timeout 5

ssh timeout 5

console timeout 0

!--- These three lines set the IPsec attributes for the tunnel to the !--- remote peer. This is where the preshared key is defined for Phase 1 and the !--- IPsec tunnel type is set to site-to-site.

tunnel-group 10.10.10.1 type ipsec-l2l

tunnel-group 10.10.10.1 ipsec-attributes

pre-shared-key *

Cryptochecksum:092b6fc5370e2ef0cf07c2bc10f1d44a

: end

pix515-702#

IPsec主動模式配置

本節使用以下配置：

- Cisco PIX 515e版本6.3(5)

- Cisco PIX 515版本7.0(2)

Cisco PIX 515e版本6.3(5)

pix515e-635#show running-config

: Saved

:

PIX Version 6.3(5)

!--- Sets the hardware speed to auto on both interfaces.

interface ethernet0 auto

interface ethernet1 auto

!--- Specifies the inside and outside interfaces.

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname pix515e-635

fixup protocol dns maximum-length 512

fixup protocol ftp 21

fixup protocol h323 h225 1720

fixup protocol h323 ras 1718-1719

fixup protocol http 80

fixup protocol rsh 514

fixup protocol rtsp 554

fixup protocol sip 5060

fixup protocol sip udp 5060

fixup protocol skinny 2000

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol tftp 69

names

!--- Specifies the traffic that can pass through the IPsec tunnel.

access-list pixtosw permit ip 192.168.1.0 255.255.255.0 172.22.1.0 255.255.255.0

pager lines 24

mtu outside 1500

mtu inside 1500

!--- Sets the inside and outside IP addresses and subnet masks.

ip address outside 10.20.20.1 255.255.255.0

ip address inside 192.168.1.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

pdm history enable

arp timeout 14400

!--- Instructs PIX to perform PAT on the IP address on the outside interface.

global (outside) 1 interface

!--- Specifies addresses to be exempt from NAT (traffic to be tunneled).

nat (inside) 0 access-list pixtosw

!--- Specifies which addresses should use NAT (all except those exempted).

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

!--- Specifies the default route on the outside interface.

route outside 0.0.0.0 0.0.0.0 10.20.20.2 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00

timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout sip-disconnect 0:02:00 sip-invite 0:03:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server TACACS+ max-failed-attempts 3

aaa-server TACACS+ deadtime 10

aaa-server RADIUS protocol radius

aaa-server RADIUS max-failed-attempts 3

aaa-server RADIUS deadtime 10

aaa-server LOCAL protocol local

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

!--- Implicit permit for all packets that come from IPsec tunnels.

sysopt connection permit-ipsec

!--- PHASE 2 CONFIGURATION !--- Defines the transform set for Phase 2 encryption and authentication. !--- Austinlab is the name of the transform set that uses aes-256 encryption !--- as well as the SHA1 hash algorithm for authentication.

crypto ipsec transform-set austinlab esp-aes-256 esp-sha-hmac

!--- Creates the dynamic map ciscopix for the transform set.

crypto dynamic-map ciscopix 1 set transform-set austinlab

!--- Specifies the IKE that should be used to establish SAs !--- for the dynamic map.

crypto map dynmaptosw 66 ipsec-isakmp dynamic ciscopix

!--- Applies the settings above to the outside interface.

crypto map dynmaptosw interface outside

!--- PHASE 1 CONFIGURATION !--- Specifies the interface to use for the IPsec tunnel

.

isakmp enable outside

!--- Specifies the preshared key and the addresses to use with that key. !--- In this case only one address is used as the preshared key "cisco123".

isakmp key ******** address 10.10.10.1 netmask 255.255.255.255

!--- Defines how the PIX identifies itself in !--- IKE negotiations (IP address in this case).

isakmp identity address

!--- These five commands specify the Phase 1 configuration settings !--- specific to this sample configuration.

isakmp policy 13 authentication pre-share

isakmp policy 13 encryption aes-256

isakmp policy 13 hash sha

isakmp policy 13 group 2

isakmp policy 13 lifetime 28800

telnet timeout 5

ssh timeout 5

console timeout 0

terminal width 80

Cryptochecksum:07a3815d59db9965b72c7d8a7aaf7f5f

: end

pix515e-635#

Cisco PIX 515版本7.0(2)

pix515-702#show running-config

: Saved

:

PIX Version 7.0(2)

names

!

!--- PIX 7 uses an interface configuration mode similar to Cisco IOS. !--- This output configures the IP address, interface name, and security level for !--- interfaces Ethernet0 and Ethernet1.

interface Ethernet0

nameif outside

security-level 0

ip address 10.20.20.1 255.255.255.0

!

interface Ethernet1

nameif inside

security-level 100

ip address 192.168.1.1 255.255.255.0

!

interface Ethernet2

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet3

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet4

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet5

shutdown

no nameif

no security-level

no ip address

!

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname pix515-702

domain-name cisco.com

ftp mode passive

!--- Specifies the traffic that can pass through the IPsec tunnel.

access-list pixtosw extended permit ip 192.168.1.0 255.255.255.0 172.22.1.0 255.255.255.0

pager lines 24

mtu inside 1500

mtu outside 1500

no failover

monitor-interface inside

monitor-interface outside

no asdm history enable

arp timeout 14400

!--- Instructs PIX to perform PAT on the IP address on the outside interface.

global (outside) 1 interface

!--- Specifies addresses to be exempt from NAT (traffic to be tunneled).

nat (inside) 0 access-list pixtosw

!--- Specifies which addresses should use NAT (all except those exempted).

nat (inside) 1 0.0.0.0 0.0.0.0

!--- Specifies the default route on the outside interface.

route outside 0.0.0.0 0.0.0.0 10.20.20.2 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00

timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp

!--- Implicit permit for all packets that come from IPsec tunnels.

sysopt connection permit-ipsec

!--- PHASE 2 CONFIGURATION !--- Defines the transform set for Phase 2 encryption and authentication. !--- Austinlab is the name of the transform set that uses aes-256 encryption !--- as well as the SHA1 hash algorithm for authentication.

crypto ipsec transform-set austinlab esp-aes-256 esp-sha-hmac

!--- Creates the dynamic map "ciscopix" for the defined transform set.

crypto dynamic-map ciscopix 1 set transform-set austinlab

!--- Specifies that IKE should be used to establish SAs !--- for the defined dynamic map.

crypto map dynmaptosw 66 ipsec-isakmp dynamic ciscopix

!--- Applies the settings to the outside interface.

crypto map dynmaptosw interface outside

!--- PHASE 1 CONFIGURATION !--- Defines how the PIX identifies itself in !--- IKE negotiations (IP address in this case).

isakmp identity address

!--- Specifies the interface to use for the IPsec tunnel.

isakmp enable outside

!--- These five commands specify the Phase 1 configuration settings !--- specific to this sample configuration.

isakmp policy 13 authentication pre-share

isakmp policy 13 encryption aes-256

isakmp policy 13 hash sha

isakmp policy 13 group 2

isakmp policy 13 lifetime 28800

telnet timeout 5

ssh timeout 5

console timeout 0

!--- These three lines set the IPsec attributes for the tunnel to the !--- remote peer. This is where the preshared key is defined for Phase 1 and the !--- IPsec tunnel type is set to site-to-site.

tunnel-group 10.10.10.1 type ipsec-l2l

tunnel-group 10.10.10.1 ipsec-attributes

pre-shared-key *

Cryptochecksum:092b6fc5370e2ef0cf07c2bc10f1d44a

: end

pix515-702#

驗證

使用本節內容，確認您的組態是否正常運作。

輸出直譯器工具(僅供已註冊客戶使用)(OIT)支援某些show命令。使用OIT檢視show命令輸出的分析。

- show crypto isakmp sa — 顯示對等體上的所有當前IKE SA。

- show crypto ipsec sa — 顯示當前SA使用的設定。

這些表顯示了隧道完全建立後PIX 6.3(5)和PIX 7.0(2)中主模式和主動模式的一些調試輸出。

注意：這些資訊應該足以讓這兩種型別的硬體之間建立IPsec隧道。如果您有任何意見，請使用本文檔左側的反饋表。

- Cisco PIX 515e版本6.3(5) — 主模式

- Cisco PIX 515版本7.0(2) — 主模式

- Cisco PIX 515e版本6.3(5) — 主動模式

- Cisco PIX 515版本7.0(2) — 主動模式

Cisco PIX 515e版本6.3(5) — 主模式

pix515e-635#show crypto isakmp sa

Total     : 1

Embryonic : 0

dst               src        state     pending     created

10.10.10.1       10.20.20.1    QM_IDLE         0           1

pix515e-635#

pix515e-635#show crypto ipsec sa

interface: outside

Crypto map tag: maptosw, local addr. 10.20.20.1

local ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (172.22.1.0/255.255.255.0/0/0)

current_peer: 10.10.10.1:500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0

#send errors 1, #recv errors 0

local crypto endpt.: 10.20.20.1, remote crypto endpt.: 10.10.10.1

path mtu 1500, ipsec overhead 72, media mtu 1500

current outbound spi: ed0afa33

inbound esp sas:

spi: 0xac624692(2892121746)

transform: esp-aes-256 esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 1, crypto map: maptosw

sa timing: remaining key lifetime (k/sec): (4607999/28718)

IV size: 16 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xed0afa33(3976919603)

transform: esp-aes-256 esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2, crypto map: maptosw

sa timing: remaining key lifetime (k/sec): (4607999/28718)

IV size: 16 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

pix515e-635#

Cisco PIX 515版本7.0(2) — 主模式

pix515-702#show crypto isakmp sa

Active SA: 1

Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)

Total IKE SA: 1

1 IKE Peer: 10.10.10.1

Type : L2L Role : initiator

Rekey : no State : MM_ACTIVE

pix515-702#

pix515-702#show crypto ipsec sa

interface: outside

Crypto map tag: maptosw, local addr: 10.20.20.1

local ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (172.22.1.0/255.255.255.0/0/0)

current_peer: 10.10.10.1

#pkts encaps: 5, #pkts encrypt: 5, #pkts digest: 5

#pkts decaps: 5, #pkts decrypt: 5, #pkts verify: 5

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 5, #pkts comp failed: 0, #pkts decomp failed: 0

#send errors: 0, #recv errors: 0

local crypto endpt.: 10.20.20.1, remote crypto endpt.: 10.10.10.1

path mtu 1500, ipsec overhead 76, media mtu 1500

current outbound spi: 2D006547

inbound esp sas:

spi: 0x309F7A33 (815757875)

transform: esp-aes-256 esp-sha-hmac

in use settings ={L2L, Tunnel, }

slot: 0, conn_id: 1, crypto-map: maptosw

sa timing: remaining key lifetime (kB/sec): (4274999/28739)

IV size: 16 bytes

replay detection support: Y

outbound esp sas:

spi: 0x2D006547 (755000647)

transform: esp-aes-256 esp-sha-hmac

in use settings ={L2L, Tunnel, }

slot: 0, conn_id: 1, crypto-map: maptosw

sa timing: remaining key lifetime (kB/sec): (4274999/28737)

IV size: 16 bytes

replay detection support: Y

pix515-702#

Cisco PIX 515e版本6.3(5) — 主動模式

pix515e-635#show crypto isakmp sa

Total     : 1

Embryonic : 0

dst               src        state     pending     created

10.20.20.1       10.10.10.1    QM_IDLE         0           1

pix515e-635#show crypto ipsec sa

interface: outside

Crypto map tag: dynmaptosw, local addr. 10.20.20.1

local ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (172.22.1.0/255.255.255.0/0/0)

current_peer: 10.10.10.1:500

PERMIT, flags={}

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify 0

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 10.20.20.1, remote crypto endpt.: 10.10.10.1

path mtu 1500, ipsec overhead 72, media mtu 1500

current outbound spi: efb1149d

inbound esp sas:

spi: 0x2ad2c13c(718455100)

transform: esp-aes-256 esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2, crypto map: dynmaptosw

sa timing: remaining key lifetime (k/sec): (4608000/28736)

IV size: 16 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xefb1149d(4021359773)

transform: esp-aes-256 esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 1, crypto map: dynmaptosw

sa timing: remaining key lifetime (k/sec): (4608000/28727)

IV size: 16 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

pix515e-635#

Cisco PIX 515版本7.0(2) — 主動模式

pix515-702#show crypto isakmp sa

Active SA: 1

Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)

Total IKE SA: 1

1 IKE Peer: 10.10.10.1

Type : L2L Role : responder

Rekey : no State : AM_ACTIVE

pix515-702#

pix515-702#show crypto ipsec sa

interface: outside

Crypto map tag: ciscopix, local addr: 10.20.20.1

local ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (172.22.1.0/255.255.255.0/0/0)

current_peer: 10.10.10.1

#pkts encaps: 5, #pkts encrypt: 5, #pkts digest: 5

#pkts decaps: 5, #pkts decrypt: 5, #pkts verify: 5

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 5, #pkts comp failed: 0, #pkts decomp failed: 0

#send errors: 0, #recv errors: 0

local crypto endpt.: 10.20.20.1, remote crypto endpt.: 10.10.10.1

path mtu 1500, ipsec overhead 76, media mtu 1500

current outbound spi: D7E2F5FD

inbound esp sas:

spi: 0xDCBF6AD3 (3703532243)

transform: esp-aes-256 esp-sha-hmac

in use settings ={L2L, Tunnel, }

slot: 0, conn_id: 1, crypto-map: ciscopix

sa timing: remaining key lifetime (sec): 28703

IV size: 16 bytes

replay detection support: Y

outbound esp sas:

spi: 0xD7E2F5FD (3621975549)

transform: esp-aes-256 esp-sha-hmac

in use settings ={L2L, Tunnel, }

slot: 0, conn_id: 1, crypto-map: ciscopix

sa timing: remaining key lifetime (sec): 28701

IV size: 16 bytes

replay detection support: Y

pix515-702#

疑難排解

目前尚無適用於此組態的具體疑難排解資訊。

相關資訊

- Cisco PIX防火牆軟體

- Cisco Secure PIX防火牆命令參考

- 安全產品現場通知（包括PIX）

- 要求建議 (RFC)

- 技術支援與文件 - Cisco Systems