Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Conventions

Configuration

Diagramme du réseau

Configurations

Vérification

Dépannage

Dépannage des commandes

Les jeux de transformation ne correspondent pas

Les listes de contrôle d’accès ne correspondent pas

Un côté possède une carte de chiffrement et l'autre ne le fait pas

La carte Accélérateur Crypto Engine est activée

Informations connexes

Introduction

Cet exemple de configuration vous permet de chiffrer le trafic entre les réseaux 12.12.12.x et 14.14.14.x à l'aide de la saisie manuelle de la clé IPsec. Aux fins du test, une liste de contrôle d'accès (ACL) et un ping étendu envoyé de l'hôte du réseau 12.12.12.12 au réseau 14.14.14.14 ont été utilisés.

La clé manuelle est généralement nécessaire uniquement lorsqu'un périphérique Cisco est configuré pour chiffrer le trafic vers un périphérique d'un autre fournisseur qui ne prend pas en charge l'échange de clés Internet (IKE). Si IKE est configurable sur les deux périphériques, il est préférable d'utiliser la clé automatique. Les index de paramètres de sécurité des périphériques Cisco (SPI) sont en notation décimale, mais certains fournisseurs utilisent des SPI au format hexadécimal. Si c'est le cas, la conversion est parfois nécessaire.

Conditions préalables

Conditions requises

Aucune condition préalable spécifique n'est requise pour ce document.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Routeurs Cisco 3640 et 1605

- Logiciel Cisco IOS® Version 12.3.3.a

Remarque : Sur toutes les plates-formes qui contiennent des adaptateurs de chiffrement matériel, le chiffrement manuel n'est pas pris en charge lorsque la carte de chiffrement matériel est activée.

Les informations présentées dans ce document ont été créées à partir de périphériques dans un environnement de laboratoire spécifique. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est actif, assurez-vous de bien comprendre l'incidence potentielle de chaque commande avant de l'utiliser.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : Utilisez l’outil de recherche de commandes (clients inscrits seulement) pour en savoir plus sur les commandes figurant dans le présent document.

Diagramme du réseau

Ce document utilise la configuration réseau suivante :

Configurations

Ce document utilise les configurations suivantes :

- Configuration de la lumière

- Configuration de la maison

Configuration de la lumière

light#show running-config

Building configuration...

Current configuration : 1177 bytes

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname light

!

boot-start-marker

boot-end-marker

!

enable password cisco

!

no aaa new-model

ip subnet-zero

!

no crypto isakmp enable

!

!--- IPsec configuration

crypto ipsec transform-set encrypt-des esp-des esp-sha-hmac

!

!

crypto map testcase 8 ipsec-manual

set peer 11.11.11.12

set session-key inbound esp 1001 cipher 1234abcd1234abcd authenticator 20

set session-key outbound esp 1000 cipher abcd1234abcd1234 authenticator 20

set transform-set encrypt-des

!--- Traffic to encrypt

match address 100

!

!

interface Ethernet2/0

ip address 12.12.12.12 255.255.255.0

half-duplex<br>!

interface Ethernet2/1

ip address 11.11.11.11 255.255.255.0

half-duplex

!--- Apply crypto map.

crypto map testcase

!

ip http server

no ip http secure-server

ip classless

ip route 0.0.0.0 0.0.0.0 11.11.11.12

!

!

!--- Traffic to encrypt

access-list 100 permit ip host 12.12.12.12 host 14.14.14.14

!

!

!

!

line con 0

line aux 0

line vty 0 4

login

!

!

!

Configuration de la maison

house#show running-config

Current configuration : 1194 bytes

!

version 12.3

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname house

!

!

logging buffered 50000 debugging

enable password cisco

!

no aaa new-model

ip subnet-zero

ip domain name cisco.com

!

ip cef

!

!

no crypto isakmp enable

!

!

!--- IPsec configuration

crypto ipsec transform-set encrypt-des esp-des esp-sha-hmac

!

crypto map testcase 8 ipsec-manual

set peer 11.11.11.11

set session-key inbound esp 1000 cipher abcd1234abcd1234 authenticator 20

set session-key outbound esp 1001 cipher 1234abcd1234abcd authenticator 20

set transform-set encrypt-des

!--- Traffic to encrypt

match address 100

!

!

interface Ethernet0

ip address 11.11.11.12 255.255.255.0

!--- Apply crypto map.

crypto map testcase

!

interface Ethernet1

ip address 14.14.14.14 255.255.255.0

!

ip classless

ip route 0.0.0.0 0.0.0.0 11.11.11.11

no ip http server

no ip http secure-server

!

!

!--- Traffic to encrypt

access-list 100 permit ip host 14.14.14.14 host 12.12.12.12

!

!

line con 0

exec-timeout 0 0

transport preferred none

transport output none

line vty 0 4

exec-timeout 0 0

password cisco

login

transport preferred none

transport input none

transport output none

!

!

end

Vérification

Cette section fournit des informations que vous pouvez utiliser pour confirmer correctement vos fonctions de configuration.

L'Outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .

- show crypto ipsec sa - Affiche les associations de sécurité de phase 2.

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Dépannage des commandes

L'Outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .

Remarque : Consulter les renseignements importants sur les commandes de débogage avant d’utiliser les commandes de débogage.

- debug crypto ipsec - Affiche les négociations IPsec de la phase deux.

- debug crypto engine : Cette commande affiche le trafic chiffré.

Les jeux de transformation ne correspondent pas

La lumière a ah-sha-hmac et House a esp-des.

*Mar  2 01:16:09.849: IPSEC(sa_request): ,

(key eng. msg.) OUTBOUND local= 11.11.11.11, remote= 11.11.11.12,

local_proxy= 12.12.12.12/255.255.255.255/0/0 (type=1),

remote_proxy= 14.14.14.14/255.255.255.255/0/0 (type=1),

protocol= AH, transform= ah-sha-hmac ,

lifedur= 3600s and 4608000kb,

spi= 0xACD76816(2899798038), conn_id= 0, keysize= 0, flags= 0x400A

*Mar  2 01:16:09.849: IPSEC(manual_key_stuffing):

keys missing for addr 11.11.11.12/prot 51/spi 0.....

Les listes de contrôle d’accès ne correspondent pas

Sur le côté A (le routeur « léger ») il y a un hôte interne à l'intérieur de l'hôte et sur le côté B (le routeur « maison ») il y a une interface à l'interface. Les listes de contrôle d’accès doivent toujours être symétriques (ce n’est pas le cas).

hostname house

match address 101

access-list 101 permit ip host 11.11.11.12 host 11.11.11.11

!

hostname light

match address 100

access-list 100 permit ip host 12.12.12.12 host 14.14.14.14

Cette sortie provient de la requête ping initiale side_A :

nothing

light#show crypto engine connections active

ID Interface       IP-Address      State  Algorithm           Encrypt  Decrypt

2000 Ethernet2/1     11.11.11.11     set    DES_56_CBC                5        0

2001 Ethernet2/1     11.11.11.11     set    DES_56_CBC                0        0

Cette sortie est obtenue de side_B lorsque side_A lance une requête ping :

house#

1d00h: IPSEC(epa_des_crypt): decrypted packet failed SA identity check

1d00h: IPSEC(epa_des_crypt): decrypted packet failed SA identity check

1d00h: IPSEC(epa_des_crypt): decrypted packet failed SA identity check

1d00h: IPSEC(epa_des_crypt): decrypted packet failed SA identity check

1d00h: IPSEC(epa_des_crypt): decrypted packet failed SA identity check

house#show crypto engine connections active

ID Interface       IP-Address      State  Algorithm           Encrypt  Decrypt

2000 Ethernet0       11.11.11.12     set    DES_56_CBC                0        0

2001 Ethernet0       11.11.11.12     set    DES_56_CBC                0       5

Cette sortie provient de la commande ping initiée par side_B :

side_ B

%CRYPTO-4-RECVD_PKT_NOT_IPSEC: Rec'd packet not an IPSEC packet.

(ip) vrf/dest_addr= /12.12.12.12, src_addr= 14.14.14.14, prot= 1

Un côté possède une carte de chiffrement et l'autre ne le fait pas

%CRYPTO-4-RECVD_PKT_NOT_IPSEC: Rec'd packet not an IPSEC packet.

(ip) vrf/dest_addr= /14.14.14.14, src_addr= 12.12.12.12, prot= 1

Cette sortie provient de side_B qui possède une carte de chiffrement :

house#show crypto engine connections active

ID Interface       IP-Address      State  Algorithm           Encrypt  Decrypt

2000 Ethernet0       11.11.11.12     set    DES_56_CBC                5        0

2001 Ethernet0       11.11.11.12     set    DES_56_CBC                0        0

La carte Accélérateur Crypto Engine est activée

1d05h: %HW_VPN-1-HPRXERR: Hardware VPN0/13: Packet

Encryption/Decryption error, status=4098.....

Informations connexes

- Négociation IPSec/Protocoles IKE

- Support et documentation techniques - Cisco Systems