المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

الاصطلاحات

التكوين

الرسم التخطيطي للشبكة

التكوينات

جدار حماية نقطة التحقق

أوامر show و clear debug

جدار حماية Cisco PIX

نقطة التفتيش:

استكشاف الأخطاء وإصلاحها

تلخيص الشبكة

إخراج تصحيح الأخطاء للعينة من PIX

معلومات ذات صلة

المقدمة

يوضح هذا التكوين النموذجي كيفية تكوين نفق IPSec بمفاتيح مشتركة مسبقا للانضمام إلى شبكتين خاصتين. في مثالنا، الشبكات المرتبطة هي الشبكة الخاصة 192.168.1.x داخل جدار حماية PIX الآمن من Cisco (PIX) والشبكة الخاصة 10.32.50.x داخل نقطة التفتيش. من المفترض أن حركة المرور من داخل PIX وداخل جدار حماية نقطة التفتيش 4.1 إلى الإنترنت (ممثلة هنا بشبكات 172.18.124.x) تتدفق قبل بدء هذا التكوين.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- برنامج PIX الإصدار 5.3.1

- جدار حماية نقطة التفتيش 4.1

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

التكوين

في هذا القسم، تُقدّم لك معلومات تكوين الميزات الموضحة في هذا المستند.

ملاحظة: للعثور على معلومات إضافية حول الأوامر المستخدمة في هذا المستند، أستخدم أداة بحث الأوامر (للعملاء المسجلين فقط).

الرسم التخطيطي للشبكة

يستخدم هذا المستند إعداد الشبكة الموضح في هذا الرسم التخطيطي:

التكوينات

يستخدم هذا المستند التكوينات الموضحة في هذا القسم.

تكوين PIX

PIX Version 5.3(1)

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname cisco_endpoint

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060

names

access-list 115 permit ip 192.168.1.0 255.255.255.0

10.32.50.0 255.255.255.0

access-list 115 deny ip 192.168.1.0 255.255.255.0 any

pager lines 24

logging on

no logging timestamp

no logging standby

no logging console

logging monitor debugging

no logging buffered

logging trap debugging

no logging history

logging facility 20

logging queue 512

interface ethernet0 auto

interface ethernet1 auto

mtu outside 1500

mtu inside 1500

ip address outside 172.18.124.35 255.255.255.240

ip address inside 192.168.1.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

no failover

failover timeout 0:00:00

failover poll 15

failover ip address outside 0.0.0.0

failover ip address inside 0.0.0.0

arp timeout 14400

global (outside) 1 172.18.124.36

nat (inside) 0 access-list 115

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

route outside 0.0.0.0 0.0.0.0 172.18.124.34 1

timeout xlate 3:00:00g SA 0x80bd6a10, conn_id = 0

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323

0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

!--- IPSec configuration

sysopt connection permit-ipsec

no sysopt route dnat

crypto ipsec transform-set myset esp-des esp-sha-hmac

crypto map rtpmap 10 ipsec-isakmp

crypto map rtpmap 10 match address 115

crypto map rtpmap 10 set peer 172.18.124.157

crypto map rtpmap 10 set transform-set myset

crypto map rtpmap 10 set security-association lifetime seconds

3600 kilobytes 4608000

crypto map rtpmap interface outside

!--- IKE configuration

isakmp enable outside

isakmp key ******** address 172.18.124.157 netmask 255.255.255.240

isakmp identity address

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption des

isakmp policy 10 hash sha

isakmp policy 10 group 1

isakmp policy 10 lifetime 86400

telnet timeout 5

ssh timeout 5

terminal width 80

Cryptochecksum:dc43c44e4513d3633a3fc7b1c3802c79

: end

[OK]

جدار حماية نقطة التحقق

1. ونظرا لأن فترات الحياة الافتراضية لكل من IKE و IPSec تختلف بين الموردين، فحدد خصائص > تشفير لتعيين فترات الحياة الافتراضية لنقطة الوصول للاتفاق مع إعدادات PIX الافتراضية.

مدة بقاء IKE الافتراضية ل PIX هي 86400 ثانية (=1440 دقيقة)، قابلة للتعديل بواسطة هذا الأمر: نهج ISAKMP # مدى الحياة 86400

يمكن تكوين العمر الافتراضي ل PIX IKE بين 60 و 86400 ثانية.

مدة بقاء IPSec الافتراضية ل PIX هي 28800 ثانية، قابلة للتعديل بواسطة هذا الأمر: ثواني العمر الافتراضي لاقتران أمان IPsec ل crypto ipsEc #

يمكنك تكوين عمر PIX IPSec بين 120 و 86400 ثانية.

2. حدد إدارة>كائنات الشبكة>جديد (أو تحرير)>الشبكة لتكوين الكائن لشبكة ("CPINSIDE") الداخلية خلف نقطة التفتيش.

يجب أن يتوافق هذا مع شبكة الوجهة (الثانية) في الأمر PIX: access-list 115 allowed ip 192.168.1.0 255.255.255.0 10.32.50.0 255.255.255.0

3. حدد إدارة>كائنات الشبكة>تحرير لتحرير الكائن لنقطة النهاية للبوابة ("RTPCPVPN") التي يشير إليها PIX في هذا الأمر: اسم خريطة التشفير # تعيين النظير ip_address

تحت الموقع، حدد داخلي. للنوع، حدد البوابة. تحت الوحدات المثبتة، حدد خانة الاختيار VPN-1 و FireWall-1، ثم حدد أيضا خانة الاختيار محطة الإدارة:

4. حدد إدارة>كائنات الشبكة>جديد>الشبكة لتكوين الكائن للشبكة الخارجية ("inside_cisco") خلف PIX.

يجب أن يتوافق هذا مع شبكة المصدر (أولا) في هذا الأمر PIX: يسمح access-list 115 ip 192.168.1.0 255.255.255.0 10.32.50.0 255.255.255.0

5. حدد إدارة>كائنات الشبكة>جديد>محطة عمل لإضافة كائن لبوابة PIX الخارجية ("Cisco_endpoint"). هذه هي واجهة PIX التي يتم تطبيق هذا الأمر عليها: واجهة اسم خريطة التشفير الخارجية

تحت الموقع، حدد خارجي. للنوع، حدد البوابة.

ملاحظة: لا تحدد خانة الاختيار VPN-1/FireWall-1.

6. حدد إدارة > كائنات الشبكة > تحرير لتحرير نقطة نهاية عبارة نقطة التحقق (تسمى "RTPCPVPN") لعلامة التبويب VPN. تحت المجال، حدد آخر ثم حدد داخل شبكة نقطة التفتيش (والتي تسمى "cpinside") من القائمة المنسدلة. تحت تشفير نظام يعين، حدد IKE، ثم انقر تحرير.

7. قم بتغيير خصائص IKE لتشفير DES لتوافق مع هذا الأمر:

سياسة ISAKMP # تشفير des

8. قم بتغيير خصائص IKE إلى تجزئة SHA1 للاتفاق مع هذا الأمر:

سياسة ISAKMP # hash SHA

تغيير هذه الإعدادات:

1. عدم تحديد الوضع المتداخل.

2. حدد خانة الاختيار شبكات الدعم الفرعية.

3. تحت أسلوب المصادقة، حدد خانة الاختيار سر مشترك مسبقا. وهذا يتفق مع هذا الأمر:

المشاركة المسبقة لسياسة # مصادقة ISAKMP

9. انقر على تحرير الأسرار لتعيين المفتاح المشترك مسبقا للاتفاق مع أمر PIX:

قناع الشبكة الخاص بعنوان مفتاح ISAKMP

10. حدد إدارة > كائنات الشبكة>تحرير لتحرير علامة التبويب "Cisco_Endpoint" VPN. تحت المجال، حدد آخر، ثم حدد داخل شبكة PIX (المسماة "inside_cisco"). تحت تشفير نظام يعين، حدد IKE، ثم انقر تحرير.

11. تغيير تشفير DES لخصائص IKE للاتفاق مع هذا الأمر:

سياسة ISAKMP # تشفير des

12. قم بتغيير خصائص IKE إلى تجزئة SHA1 للاتفاق مع هذا الأمر:

نهج التشفير ISAKMP # hash SHA

تغيير هذه الإعدادات:

1. عدم تحديد الوضع المتداخل.

2. حدد خانة الاختيار شبكات الدعم الفرعية.

3. تحت أسلوب المصادقة، حدد خانة الاختيار سر مشترك مسبقا. يتوافق هذا الإجراء مع هذا الأمر:

المشاركة المسبقة لسياسة # مصادقة ISAKMP

13. انقر فوق تحرير الأسرار" لتعيين المفتاح المشترك مسبقا للموافقة على أمر PIX هذا:

قناع الشبكة الخاص بعنوان مفتاح ISAKMP

14. في نافذة "محرر النهج"، قم بإدراج قاعدة بكل من "المصدر والوجهة" و"inside_cisco" و"cpinside" (ثنائي الإتجاه). set service=any، action=encrypt، وtrack=long.

15. تحت عنوان الإجراء، انقر على أيقونة التشفير الأخضر وحدد تحرير الخصائص لتكوين سياسات التشفير.

16. حدد IKE، ثم انقر تحرير.

17. على شاشة خصائص IKE، قم بتغيير هذه الخصائص لتوافق مع تحويلات PIX IPSec في هذا الأمر:

crypto ipSec transform-set myset esp-des esp-sha-hmac

تحت التحويل، حدد التشفير + تكامل البيانات (ESP). يجب أن تكون خوارزمية التشفير DES، ويجب أن تكون تكامل البيانات SHA1، ويجب أن تكون عبارة النظير المسموح بها عبارة PIX الخارجية (التي تسمى "cisco_endpoint"). وانقر فوق OK.

18. بعد تكوين نقطة التحقق، حدد نهج > تثبيت في قائمة نقطة التفتيش لكي تصبح التغييرات نافذة المفعول.

أوامر show و clear debug

يوفر هذا القسم معلومات يمكنك إستخدامها للتأكد من أن التكوين يعمل بشكل صحيح.

يتم دعم بعض أوامر العرض بواسطة أداة مترجم الإخراج (العملاء المسجلون فقط)، والتي تتيح لك عرض تحليل إخراج أمر العرض.

قبل إصدار أوامر تصحيح الأخطاء، راجع المعلومات المهمة في أوامر تصحيح الأخطاء.

جدار حماية Cisco PIX

- debug crypto engine—عرض رسائل تصحيح الأخطاء حول محركات التشفير، التي تقوم بالتشفير وفك التشفير.

- debug crypto isakmp—عرض الرسائل حول أحداث IKE.

- debug crypto ipSec—عرض أحداث IPSec.

- show crypto isakmp sa— عرض جميع اقترانات أمان IKE الحالية (SAs) في نظير.

- show crypto ipSec—عرض الإعدادات المستخدمة من قبل اقترانات الأمان الحالية.

- مسح التشفير isakmp sa— (من وضع التكوين) مسح جميع إتصالات IKE النشطة.

- مسح تشفير IPsec— (من وضع التكوين) احذف جميع اقترانات أمان IPSec.

نقطة التفتيش:

نظرا لتعيين التعقب لمدة طويلة في نافذة محرر النهج الموضحة في الخطوة 14، تظهر حركة المرور المرفوضة باللون الأحمر في عارض السجل. يمكن الحصول على تصحيح أخطاء أكثر تفصيلا من خلال إدخال:

C:\WINNT\FW1\4.1\fwstop

C:\WINNT\FW1\4.1\fw d -d

وفي نافذة تانية:

C:\WINNT\FW1\4.1\fwstart

ملاحظة: كان هذا تثبيت Microsoft Windows NT.

يمكنك مسح أسماء المجالات (SAs) على نقطة التفتيش باستخدام الأوامر التالية:

fw tab -t IKE_SA_table -x

fw tab -t ISAKMP_ESP_table -x

fw tab -t inbound_SPI -x

fw tab -t ISAKMP_AH_table -x

و عم يرد بنعم عند هل انت متأكد ؟ متأهب.

استكشاف الأخطاء وإصلاحها

يوفر هذا القسم معلومات يمكنك استخدامها لاستكشاف أخطاء التكوين وإصلاحها.

تلخيص الشبكة

عند تكوين شبكات داخلية متعددة متجاورة في مجال التشفير على نقطة التحقق، يمكن للجهاز تلخيصها تلقائيا فيما يتعلق بحركة المرور المفيدة. إذا لم يتم تكوين قائمة التحكم في الوصول للتشفير على PIX للمطابقة، فمن المحتمل أن يفشل النفق. على سبيل المثال، إذا تم تكوين الشبكات الداخلية من 10.0.0.0 /24 و 10.0.1.0 /24 لتضمينها في النفق، فيمكن تلخيصها إلى 10.0.0.0 /23.

إخراج تصحيح الأخطاء للعينة من PIX

cisco_endpoint# show debug

debug crypto ipsec 1

debug crypto isakmp 1

debug crypto engine

debug fover status

tx      Off

rx      Off

open    Off

cable   Off

txdmp   Off

rxdmp   Off

ifc     Off

rxip    Off

txip    Off

get     Off

put     Off

verify  Off

switch  Off

fail    Off

fmsg    Off

cisco_endpoint# term mon

cisco_endpoint#

ISAKMP (0): beginning Quick Mode exchange,

M-ID of 2112882468:7df00724IPSEC(key_engine):

got a queue event...

IPSEC(spi_response): getting spi 0x9d71f29c(2641490588) for SA

from  172.18.124.157 to   172.18.124.35 for prot 3

70

crypto_isakmp_process_block: src 172.18.124.157, dest 172.18.124.35

OAK_QM exchange

oakley_process_quick_mode:

OAK_QM_IDLE

ISAKMP (0): processing SA payload. message ID = 2112882468

ISAKMP : Checking IPSec proposal 1

ISAKMP: transform 1, ESP_DES

ISAKMP:   attributes in transform:

ISAKMP:      encaps is 1

ISAKMP:      SA life type in seconds

ISAKMP:      SA life duration (basic) of 28800

ISAKMP:      SA life type in kilobytes

ISAKMP:      SA life duration (VPI) of  0x0 0x46 0x50 0x0

ISAKMP:      authenticator is HMAC-SHA

ISAKMP (0): atts are acceptable.IPSEC(validate_proposal_request):

proposal part #1,

(key eng. msg.) dest= 172.18.124.157, src= 172.18.124.35,

dest_proxy= 10.32.50.0/255.255.255.0/0/0 (type=4),

src_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4),

protocol= ESP, transform= esp-des esp-sha-hmac ,

lifedur= 0s and 0kb,

spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4

ISAKMP (0): processing NONCE payload. message ID = 2112882468

ISAKMP (0): processing ID payload. message ID = 2112882468

ISAKMP (0): processing ID payload. message ID = 2112882468map_alloc_entry:

allocating entry 3

map_alloc_entry: allocating entry 4

ISAKMP (0): Creating IPSec SAs

inbound SA from  172.18.124.157 to   172.18.124.35 (proxy

10.32.50.0 to 192.168.1.0)

has spi 2641490588 and conn_id 3 and flags 4

lifetime of 28800 seconds

lifetime of 4608000 kilobytes

outbound SA from   172.18.124.35 to  172.18.124.157 (proxy

192.168.1.0 to 10.32.50.0)

has spi 3955804195 and conn_id 4 and flags 4

lifetime of 28800 seconds

lifetime of 4608000 kilobytesIPSEC(key_engine): got a queue event...

IPSEC(initialize_sas): ,

(key eng. msg.) dest= 172.18.124.35, src= 172.18.124.157,

dest_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4),

src_proxy= 10.32.50.0/255.255.255.0/0/0 (type=4),

protocol= ESP, transform= esp-des esp-sha-hmac ,

lifedur= 28800s and 4608000kb,

spi= 0x9d71f29c(2641490588), conn_id= 3, keysize= 0, flags= 0x4

IPSEC(initialize_sas): ,

(key eng. msg.) src= 172.18.124.35, dest= 172.18.124.157,

src_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4),

dest_proxy= 10.32.50.0/255.255.255.0/0/0 (type=4),

protocol= ESP, transform= esp-des esp-sha-hmac ,

lifedur= 28800s and 4608000kb,

spi= 0xebc8c823(3955804195), conn_id= 4, keysize= 0, flags= 0x4

return status is IKMP_NO_ERROR2303: sa_request, (key eng. msg.)

src= 172.18.124.35, dest= 172.18.124.157,

src_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4), dest_proxy=

10.32.50.0/255.255.255.0/0/0 (type=4),

protocol= ESP,

transform= esp-des esp-sha-hmac , lifedur= 28800s and 4608000kb,

spi= 0x0(0), conn_id= 0, keysize= 0,

flags= 0x4004

602301: sa created, (sa) sa_dest= 172.18.124.35, sa_prot= 50, sa_spi=

0x9d71f29c(2641490588),

sa_trans= esp-des esp-sha-hmac , sa_conn_id= 3

602301: sa created, (sa) sa_dest= 172.18.124.157, sa_prot= 50, sa_spi=

0xebc8c823(3955804195),

sa_trans= esp-des esp-sha-hmac , sa_conn_id= 4

cisco_endpoint# sho cry ips sa

interface: outside

Crypto map tag: rtpmap, local addr. 172.18.124.35

local  ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

current_peer: 172.18.124.157

PERMIT, flags={origin_is_acl,}

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify 0

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0,

#pkts decompress failed: 0 #send errors 0, #recv errors 0

local crypto endpt.: 172.18.124.35,

remote crypto endpt.: 172.18.124.157

path mtu 1500, ipsec overhead 0, media mtu 1500

current outbound spi: 0

inbound esp sas:

inbound ah sas:

inbound pcp sas:

outbound esp sas:

outbound ah sas:

outbound pcp sas:

local  ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.32.50.0/255.255.255.0/0/0)

current_peer: 172.18.124.157

PERMIT, flags={origin_is_acl,}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0

#send errors 1, #recv errors 0

local crypto endpt.: 172.18.124.35, remote crypto endpt.: 172.18.124.157

path mtu 1500, ipsec overhead 56, media mtu 1500

current outbound spi: ebc8c823

inbound esp sas:

spi: 0x9d71f29c(2641490588)

transform: esp-des esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 3, crypto map: rtpmap

sa timing: remaining key lifetime (k/sec): (4607999/28777)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xebc8c823(3955804195)

transform: esp-des esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 4, crypto map: rtpmap

sa timing: remaining key lifetime (k/sec): (4607999/28777)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

cisco_endpoint# sho cry is sa

dst            src         state     pending    created

172.18.124.157   172.18.124.35    QM_IDLE        0           2

معلومات ذات صلة

- صفحة دعم PIX

- مرجع أوامر PIX

- طلبات التعليقات (RFCs)

- تكوين أمان شبكة IPSec

- تكوين بروتوكول أمان Internet Key Exchange

- PIX 5.2: تكوين IPSec

- PIX 5.3: تكوين IPSec

- صفحة دعم IPSec

- الدعم الفني - Cisco Systems