Configurazione di SD-WAN Remote Access (SDRA) con AnyConnect e ISE Server
Sommario
Introduzione
In questo documento viene descritto come configurare SD-WAN Remote Access (SDRA) con il client AnyConnect utilizzando una modalità autonoma Cisco IOS® XE come server CA e un server Cisco Identity Services Engine (ISE) per l'autenticazione, l'autorizzazione e l'accounting.
Prerequisiti
Requisiti
Cisco raccomanda la conoscenza dei seguenti argomenti:
- SD-WAN (Wide Area Network) definito dal software Cisco
- PKI (Public Key Infrastructure)
- FlexVPN
- server RADIUS
Componenti usati
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
- C800V versione 17.07.01a
- vManage versione 20.7.1
- CSR1000V versione 17.03.04.a
- ISE versione 2.7.0.256
- AnyConnect Secure Mobility Client versione 4.10.04071
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Premesse
Che cos'è una VPN ad accesso remoto?
La VPN ad accesso remoto consente all'utente remoto di connettersi in modo sicuro alle reti aziendali, utilizzare applicazioni e dati accessibili solo tramite i dispositivi collegati in ufficio.
Una VPN ad accesso remoto funziona tramite un tunnel virtuale creato tra il dispositivo di un dipendente e la rete aziendale.
Questo tunnel passa attraverso la rete pubblica, ma i dati inviati avanti e indietro attraverso di esso sono protetti da protocolli di crittografia e sicurezza per aiutarlo a mantenerlo privato e sicuro.
I due componenti principali di questo tipo di VPN sono un headend server di accesso alla rete/server di accesso remoto e un software client VPN.
Che cos'è SD-WAN Remote Access VPN?
L'accesso remoto è stato integrato nella soluzione SD-WAN che elimina la necessità di un'infrastruttura Cisco SD-WAN e RA separata e consente una rapida scalabilità dei servizi RA utilizzando Cisco AnyConnect come client software RA.
Accesso remoto consente agli utenti remoti di accedere alla rete dell'organizzazione. In questo modo è possibile lavorare da casa.
I vantaggi
- L'accesso remoto consente di accedere alla rete di un'organizzazione da dispositivi/utenti in postazioni remote. HO
- Estende la soluzione Cisco SD-WAN agli utenti RA senza che il dispositivo di ciascun utente RA debba far parte del fabric Cisco SD-WAN.
- Sicurezza dei dati
- Tunneling ripartito o Tunnel tutto
- Scalabilità
- Possibilità di distribuire il carico RSA su numerosi dispositivi Cisco IOS® XE SD-WAN nel fabric Cisco SD-WAN.
Tunneling ripartito e tunnel completo
Il tunneling ripartito è usato negli scenari in cui deve essere tunneling solo del traffico specifico (ad esempio, subnet SD-WAN), come mostrato nell'immagine.
Prima di SDRA e dopo SDRA
La struttura VPN ad accesso remoto tradizionale richiede un'infrastruttura RA separata al di fuori del fabric Cisco SD-WAN per fornire l'accesso remoto degli utenti alla rete come ad esempio appliance non SD-WAN come ASA, Cisco IOS® XE standard o dispositivi di terze parti, e il traffico RA viene spostato verso l'appliance SD-WAN come mostrato nell'immagine.
SD-WAN Remote Access cambia il modo in cui gli utenti remoti si connettono alla rete. Si collegano direttamente al cEdge utilizzato come headend RA. Estende le funzionalità e i vantaggi di Cisco SD-WAN agli utenti RSA. Gli utenti RSA diventano utenti di filiali sul lato LAN.
Per ogni client RA, l'headend RA SD-WAN assegna un indirizzo IP a un client RA e aggiunge una route host statica all'indirizzo IP assegnato nel VRF di servizio in cui si trova l'utente RA.
La route statica specifica il tunnel VPN della connessione client di Autorità registrazione integrità. L'headend RA SD-WAN annuncia l'IP statico all'interno del VRF di servizio del client RA con l'utilizzo di OMP su tutti i dispositivi periferici della VPN di servizio.
Cos’è FlexVPN?
SD-WAN RA Sfrutta la soluzione Cisco FlexVPN RA. FlexVPN è l'implementazione Cisco dello standard IKEv2, un paradigma unificato e una CLI che combina sito a sito, accesso remoto, topologie hub e spoke e trame parziali (spoke diretto). FlexVPN offre un framework semplice ma modulare che utilizza ampiamente il paradigma dell'interfaccia tunnel pur rimanendo compatibile con le implementazioni VPN legacy.
Configurazione prerequisiti
Per questo esempio, è stata creata un'impostazione del laboratorio RA SD-WAN, come mostrato nell'immagine.
Sono stati configurati componenti aggiuntivi per questo scenario di laboratorio RA SD-WAN:
- Cisco IOS® XE standard in modalità autonoma come server CA.
- Un server ISE/Radius per autenticazione, autorizzazione e accounting.
- Un PC Windows raggiungibile da cEdge tramite l'interfaccia WAN.
- AnyConnect Client già installato.
Configurazione di ISE
Per supportare l'headend RA SD-WAN, verificare che i parametri siano configurati sul server RADIUS. Questi parametri sono obbligatori per le connessioni RA:
- Credenziali di autenticazione utente
- Nome utente e password per le connessioni AnyConnect-EAP
- Parametri (attributi) dei criteri applicati a un utente o a un gruppo di utenti
- VRF: VPN del servizio assegnata all'utente RA
- Nome pool IP: Nome del pool IP definito nell'headend RA
- Subnet server: Accesso alla subnet da fornire all'utente RA
Il primo passaggio da configurare nell'ISE è l'headend RA o l'indirizzo IP cEdge come dispositivo di rete per poter effettuare richieste Radius all'ISE.
Passare a Amministrazione > Dispositivi di rete e aggiungere l'indirizzo IP e la password dell'intestazione RA (cEdge) come mostrato nell'immagine.
Dispositivo di rete aggiunto come mostrato nell'immagine.
Sul server RADIUS, è necessario configurare i nomi utente e la password per l'autenticazione AnyConnect, come mostrato nell'immagine. Passare a Amministrazione > Identità. 
È necessario creare un set di criteri con la condizione di corrispondenza da raggiungere, come mostrato nell'immagine. In questo caso viene utilizzata la condizione Tutti i tipi di dispositivo, che indica che tutti gli utenti hanno eseguito questa impostazione.
I criteri di autorizzazione sono stati quindi creati uno per ogni condizione. La condizione Tutti i tipi di dispositivo e i gruppi di identità corrispondenti.
Nel profilo di autorizzazione, è necessario configurare il tipo di accesso come Access_ACCEPT in Impostazioni avanzate attributi, selezionare il fornitore Cisco e l'attributo Cisco-AV-pair.
È necessario configurare alcuni parametri dei criteri per gli utenti:
- VRF, il VRF del servizio a cui appartiene l'utente.
- Al nome del pool IP, a ogni connessione utente viene assegnato un indirizzo IP, che appartiene al pool IP configurato nei bordi.
- le subnet a cui l'utente può accedere
Attributi utente:
Access Type = ACCESS_ACCEPT
cisco-av-pair = ip:interface-config=vrf forwarding 1
cisco-av-pair = ip:interface-config=ip unnumbered Loopback1
cisco-av-pair = ipsec:addr-pool=RA-POOL
cisco-av-pair = ipsec:route-set=prefix 10.11.15.0/24
cisco-av-pair = ipsec:route-set=prefix 10.11.16.0/24
Confronto tra split-tunneling e tunnel nel client AnyConnect
ipsec:route-set=prefix ricevuto nel client AnyConnect viene installato come mostrato nell'immagine.
Configurazione del server CA in Cisco IOS® XE
Il server CA fornisce i certificati ai dispositivi Cisco IOS® XE SD-WAN e consente all'headend RA di autenticarsi ai client RA.
CEDGE non può essere un server CA perché questi comandi del server crypto PKI non sono supportati in Cisco IOS® XE SD-WAN.
- Generare una coppia di chiavi RSA
- Creare il trust point PKI per il server CA
- Configurare la coppia di chiavi con la chiave generata in precedenza da KEY-CA.
- Creare il server CA
- Configurare il nome dell'autorità emittente per il server CA
- Attivare il server CA utilizzando "No shutdown" (Nessun arresto)
crypto key generate rsa modulus 2048 label KEY-CA
!
crypto pki trustpoint CA
revocation-check none
rsakeypair KEY-CA
auto-enroll
!
crypto pki server CA
no database archive
issuer-name CN=CSR1Kv_SDWAN_RA
grant auto
hash sha1
lifetime certificate 3600
lifetime ca-certificate 3650
auto-rollover
no shutdown
!
Verificare se il server CA è abilitato.
CA-Server-CSRv#show crypto pki server CA
Certificate Server CA:
Status: enabled
State: enabled
Server's configuration is locked (enter "shut" to unlock it)
Issuer name: CN=CSR1Kv_SDWAN_RA
CA cert fingerprint: 10DA27AD EF54A3F8 12925750 CE2E27EB
Granting mode is: auto
Last certificate issued serial number (hex): 3
CA certificate expiration timer: 23:15:33 UTC Jan 17 2032
CRL NextUpdate timer: 05:12:12 UTC Jan 22 2022
Current primary storage dir: nvram:
Database Level: Minimum - no cert data written to storage
Auto-Rollover configured, overlap period 30 days
Autorollover timer: 23:15:37 UTC Dec 18 2031
Verificare che il certificato del server CA sia installato.
CA-Server-CSRv#show crypto pki certificates verbose CA
CA Certificate
Status: Available
Version: 3
Certificate Serial Number (hex): 01
Certificate Usage: Signature
Issuer:
cn=CSR1Kv_SDWAN_RA
Subject:
cn=CSR1Kv_SDWAN_RA
Validity Date:
start date: 23:15:33 UTC Jan 19 2022
end date: 23:15:33 UTC Jan 17 2032
Subject Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (2048 bit)
Signature Algorithm: SHA1 with RSA Encryption
Fingerprint MD5: 10DA27AD EF54A3F8 12925750 CE2E27EB
Fingerprint SHA1: 44E256C3 4FA45C5D F0398630 9D88B75E 5026CE4A
X509v3 extensions:
X509v3 Key Usage: 86000000
Digital Signature
Key Cert Sign
CRL Signature
X509v3 Subject Key ID: 92F7CD72 355AA85F 672867D4 EC0C10C5 0B177C38
X509v3 Basic Constraints:
CA: TRUE
X509v3 Authority Key ID: 92F7CD72 355AA85F 672867D4 EC0C10C5 0B177C38
Authority Info Access:
Cert install time: 23:44:35 UTC Mar 13 2022
Associated Trustpoints: -RA-truspoint CA
Storage: nvram:CSR1Kv_SDWAN#1CA.cer
L'impronta digitale SHA 1 dal certificato CA viene utilizzata sul trust point PKI crittografico nel router cEdge (headend RA) con la configurazione di accesso remoto.
Fingerprint SHA1: 44E256C3 4FA45C5D F0398630 9D88B75E 5026CE4A
Configurazione SD-WAN RA
Configurazione PKI di crittografia
- Creare un trust point PKI.
- Configurare l'URL per il server CA.
- Copiare l'impronta digitale sha 1 dal certificato del server CA.
- Configurare il Nome soggetto e il Nome alternativo per il nuovo certificato di identità.
- Configurare il parametro rsakeypar con l'ID della chiave generato in precedenza.
crypto pki trustpoint RA-TRUSTPOINT
subject-name CN=cEdge-SDWAN-1.crv
enrollment url http://10.11.14.226:80
fingerprint 44E256C34FA45C5DF03986309D88B75E5026CE4A
subject-name CN=cEdge-SDWAN-1.crv
vrf 1
rsakeypair KEY-NEW
revocation-check none
Chiedere il certificato CA da autenticare:
crypto pki authenticate RA-TRUSTPOINT
Genera il CSR, lo invia al server CA e riceve il nuovo certificato di identità:
Crypto pki enroll RA-TRUSTPOINT
Verificare il certificato CA e il certificato cEdge:
cEdge-207#show crypto pki certificates RA-TRUSTPOINT
Certificate
Status: Available
Certificate Serial Number (hex): 04
Certificate Usage: General Purpose
Issuer:
cn=CSR1Kv_SDWAN_RA
Subject:
Name: cEdge-207
hostname=cEdge-207
cn=cEdge-SDWAN-1.crv
Validity Date:
start date: 03:25:40 UTC Jan 24 2022
end date: 03:25:40 UTC Dec 3 2031
Associated Trustpoints: RA-TRUSTPOINT
Storage: nvram:CSR1Kv_SDWAN#4.cer
CA Certificate
Status: Available
Certificate Serial Number (hex): 01
Certificate Usage: Signature
Issuer:
cn=CSR1Kv_SDWAN_RA
Subject:
cn=CSR1Kv_SDWAN_RA
Validity Date:
start date: 23:15:33 UTC Jan 19 2022
end date: 23:15:33 UTC Jan 17 2032
Associated Trustpoints: RA-TRUSTPOINT
Storage: nvram:CSR1Kv_SDWAN#1CA.cer
Configurazione AAA
aaa new-model
!
aaa group server radius ISE-RA-Group
server-private 10.11.14.225 key Cisc0123
ip radius source-interface GigabitEthernet2
!
aaa authentication login ISE-RA-Authentication group ISE-RA-Group
aaa authorization network ISE-RA-Authorization group ISE-RA-Group
aaa accounting network ISE-RA-Accounting start-stop group ISE-RA-Group
Configurazione FlexVPN
Configura pool IP
ip local pool RA-POOL 10.20.14.1 10.20.14.100
Configurare una proposta IKEv2 (cifrature e parametri) e un criterio:
crypto ikev2 proposal IKEV2-RA-PROP
encryption aes-cbc-256
integrity sha256
group 19
prf sha256
crypto ikev2 policy IKEV2-RA-POLICY
proposal IKEV2-RA-PROP
Configurare un gestore dei nomi dei profili IKEv2:
crypto ikev2 name-mangler IKEV2-RA-MANGLER
eap suffix delimiter @
Configurare le cifrature IPsec:
crypto ipsec transform-set IKEV2-RA-TRANSFORM-SET esp-aes 256 esp-sha-hmac
mode tunnel
Configurare il profilo Crypto IKEv2:
crypto ikev2 profile RA-SDWAN-IKEV2-PROFILE
match identity remote any
identity local address 192.168.10.218
authentication local rsa-sig
authentication remote anyconnect-eap aggregate
pki trustpoint RA-TRUSTPOINT
aaa authentication anyconnect-eap ISE-RA-Authentication
aaa authorization group anyconnect-eap list ISE-RA-Authorization name-mangler IKEV2-RA-MANGLER password Cisc0123456
aaa authorization user anyconnect-eap list ISE-RA-Authorization USER-SDWAN password Us3r123456
aaa accounting anyconnect-eap ISE-RA-Accounting
Configurare il profilo IPSEC di crittografia:
crypto ipsec profile IKEV2-RA-PROFILE
set transform-set IKEV2-RA-TRANSFORM-SET
set ikev2-profile RA-SDWAN-IKEV2-PROFILE
Configura interfaccia modello virtuale:
!
interface Virtual-Template101 type tunnel
vrf forwarding 1
tunnel mode ipsec ipv4
tunnel protection ipsec profile IKEV2-RA-PROFILE
Configurare il modello virtuale nel profilo Crypto IKEv2:
crypto ikev2 profile RA-SDWAN-IKEV2-PROFILE
virtual-template 101
Esempio di configurazione di SD-WAN RA
aaa new-model
!
aaa group server radius ISE-RA-Group
server-private 10.11.14.225 key Cisc0123
!
aaa authentication login ISE-RA-Authentication group ISE-RA-Group
aaa authorization network ISE-RA-Authorization group ISE-RA-Group
aaa accounting network ISE-RA-Accounting start-stop group ISE-RA-Group
!
crypto pki trustpoint RA-TRUSTPOINT
subject-name CN=cEdge-SDWAN-1.crv
enrollment url http://10.11.14.226:80
fingerprint 44E256C34FA45C5DF03986309D88B75E5026CE4A
subject-name CN=cEdge-SDWAN-1.crv
vrf 1
rsakeypair KEY-NEW
revocation-check none
!
ip local pool RA-POOL 10.20.14.1 10.20.14.100
!
crypto ikev2 name-mangler IKEV2-RA-MANGLER
eap suffix delimiter @
!
crypto ikev2 proposal IKEV2-RA-PROP
encryption aes-cbc-256
integrity sha256
group 19
prf sha256
!
crypto ikev2 policy IKEV2-RA-POLICY
proposal IKEV2-RA-PROP
!
crypto ipsec transform-set IKEV2-RA-TRANSFORM-SET esp-aes 256 esp-sha-hmac
mode tunnel
!
crypto ikev2 profile RA-SDWAN-IKEV2-PROFILE
match identity remote any
identity local address 192.168.10.218
authentication local rsa-sig
authentication remote anyconnect-eap aggregate
pki trustpoint RA-TRUSTPOINT
aaa authentication anyconnect-eap ISE-RA-Authentication
aaa authorization group anyconnect-eap list ISE-RA-Authorization name-mangler IKEV2-RA-MANGLER password Cisc0123456
aaa authorization user anyconnect-eap list ISE-RA-Authorization USER-SDWAN password Us3r123456
aaa accounting anyconnect-eap ISE-RA-Accounting
!
crypto ipsec profile IKEV2-RA-PROFILE
set transform-set IKEV2-RA-TRANSFORM-SET
set ikev2-profile RA-SDWAN-IKEV2-PROFILE
!
interface Virtual-Template101 type tunnel
vrf forwarding 1
tunnel mode ipsec ipv4
tunnel protection ipsec profile IKEV2-RA-PROFILE
!
crypto ikev2 profile RA-SDWAN-IKEV2-PROFILE
virtual-template 101
Configurazione client AnyConnect
Il client AnyConnect utilizza SSL come protocollo predefinito per la definizione del tunnel e questo protocollo non è supportato per SD-WAN RA (Road map). RSA utilizza FlexVPN, pertanto IPSEC è il protocollo utilizzato ed è obbligatorio modificarlo e ciò avviene tramite il profilo XML.
L'utente può immettere manualmente il nome di dominio completo del gateway VPN nella barra degli indirizzi del client AnyConnect. Il risultato è la connessione SSL al gateway.
Configurazione dell'Editor di profili AnyConnect
- Passare a Elenco server e fare clic su Aggiungi.
- Selezionare IPsec come "Protocollo primario".
- Deselezionare l'opzione ASA gateway.
- Selezionare EAP-AnyConnect come "Metodo di autenticazione durante la negoziazione IKE".
- Display/Name (obbligatorio) è il nome usato per salvare la connessione sul client AnyConnect.
- L'FQDN o l'indirizzo IP deve essere archiviato con l'indirizzo IP del perimetro (pubblico).
- Salvare il profilo.
Installare il profilo AnyConnect (XML)
Il profilo XML può essere inserito manualmente nella directory:
For Windows:
C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile
For MAC OS:
/opt/cisco/anyconnect/profile
Affinché il profilo sia visibile nella GUI, è necessario riavviare il client AnyConnect. Per riavviare il processo, fare clic con il pulsante destro del mouse sull'icona AnyConnect nell'area di notifica di Windows e selezionare l'opzione Quit (Esci):
Disabilitazione del download di AnyConnect
Il client AnyConnect tenta di eseguire il download del profilo XML dopo aver eseguito l'accesso per impostazione predefinita.
Se il profilo non è disponibile, la connessione non riesce. Per risolvere questo problema, è possibile disabilitare la funzionalità di download dei profili AnyConnect sul client stesso.
Per Windows:
C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\AnyConnectLocalPolicy.xml
Per MAC OS:
/opt/cisco/anyconnect/AnyConnectLocalPolicy.xml
L'opzione "BypassDownloader" è impostata su "true":
<?xml version="1.0" encoding="UTF-8"?>
<AnyConnectLocalPolicy xmlns="http://schemas.xmlsoap.org/encoding/" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://schemas.xmlsoap.org/encoding/ AnyConnectLocalPolicy.xsd" acversion="4.9.04043">
<BypassDownloader>true</BypassDownloader>
<EnableCRLCheck>false</EnableCRLCheck>
<ExcludeFirefoxNSSCertStore>false</ExcludeFirefoxNSSCertStore>
<ExcludeMacNativeCertStore>false</ExcludeMacNativeCertStore>
<ExcludePemFileCertStore>false</ExcludePemFileCertStore>
<ExcludeWinNativeCertStore>false</ExcludeWinNativeCertStore>
<FipsMode>false</FipsMode>
<RestrictPreferenceCaching>false</RestrictPreferenceCaching>
<RestrictServerCertStore>false</RestrictServerCertStore>
<RestrictTunnelProtocols>false</RestrictTunnelProtocols>
<RestrictWebLaunch>false</RestrictWebLaunch>
<StrictCertificateTrust>false</StrictCertificateTrust>
<UpdatePolicy>
<AllowComplianceModuleUpdatesFromAnyServer>true</AllowComplianceModuleUpdatesFromAnyServer>
<AllowISEProfileUpdatesFromAnyServer>true</AllowISEProfileUpdatesFromAnyServer>
<AllowManagementVPNProfileUpdatesFromAnyServer>true</AllowManagementVPNProfileUpdatesFromAnyServer>
<AllowServiceProfileUpdatesFromAnyServer>true</AllowServiceProfileUpdatesFromAnyServer>
<AllowSoftwareUpdatesFromAnyServer>true</AllowSoftwareUpdatesFromAnyServer>
<AllowVPNProfileUpdatesFromAnyServer>true</AllowVPNProfileUpdatesFromAnyServer></UpdatePolicy>
</AnyConnectLocalPolicy>
Sblocco dei server non attendibili sul client AnyConnect
Passare a Impostazioni > Preferenze e deselezionare tutte le opzioni della casella.
Il più importante è il "Blocca connessioni a server non attendibili" per questo scenario.
Usa client AnyConnect
Una volta posizionata tutta la configurazione SDRA, il flusso per una connessione riuscita viene mostrato come immagine.
Verifica
L'interfaccia del modello virtuale viene utilizzata per creare l'interfaccia di accesso virtuale per avviare un canale crittografico e stabilire le associazioni di sicurezza (SA) IKEv2 e IPsec tra il server (cEdge) e il client (utente AnyConnect).
cEdge-207#show ip int brief
Interface IP-Address OK? Method Status Protocol
GigabitEthernet1 unassigned YES unset up up
GigabitEthernet2 192.168.10.218 YES other up up
GigabitEthernet3 10.11.14.227 YES other up up
Sdwan-system-intf 10.1.1.18 YES unset up up
Loopback1 192.168.50.1 YES other up up
Loopback65528 192.168.1.1 YES other up up
NVI0 unassigned YES unset up up
Tunnel2 192.168.10.218 YES TFTP up up
Virtual-Access1 192.168.50.1 YES unset up up
Virtual-Template101 unassigned YES unset up down
Controllare la configurazione effettiva applicata per l'interfaccia Virtual-Access associata al client con il comando show derivated-config interface virtual-access<number>.
cEdge-207#show derived-config interface virtual-access 1
Building configuration...
Derived configuration : 252 bytes
!
interface Virtual-Access1
vrf forwarding 1
ip unnumbered Loopback1
tunnel source 192.168.10.218
tunnel mode ipsec ipv4
tunnel destination 192.168.10.219
tunnel protection ipsec profile IKEV2-RA-PROFILE
no tunnel protection ipsec initiate
end
Verificare le associazioni di sicurezza IPsec (SA) del client AnyConnect con il comando show crypto ipsec sa peer <AnyConnect Public IP >.
cEdge-207#show crypto ipsec sa peer 192.168.10.219
interface: Virtual-Access2
Crypto map tag: Virtual-Access2-head-0, local addr 192.168.10.218
protected vrf: 1
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.20.14.13/255.255.255.255/0/0)
current_peer 192.168.10.219 port 50787
PERMIT, flags={origin_is_acl,}
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
outbound pcp sas:
… Output Omitted….
Controllare i parametri SA IKEv2 per la sessione, il nome utente e l'indirizzo IP assegnato.
cEdge-207#sh crypto ikev2 session detail
IPv4 Crypto IKEv2 Session
Session-id:21, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote fvrf/ivrf Status
1 192.168.10.218/4500 192.168.10.219/62654 none/1 READY
Encr: AES-CBC, keysize: 256, PRF: SHA256, Hash: SHA256, DH Grp:19, Auth sign: RSA, Auth verify: AnyConnect-EAP
Life/Active Time: 86400/532 sec
CE id: 1090, Session-id: 21
Local spi: DDB03CE8B791DCF7 Remote spi: 60052513A60C622B
Status Description: Negotiation done
Local id: 192.168.10.218
Remote id: *$AnyConnectClient$*
Remote EAP id: anavazar@cisco.com
Local req msg id: 0 Remote req msg id: 23
Local next msg id: 0 Remote next msg id: 23
Local req queued: 0 Remote req queued: 23
Local window: 5 Remote window: 1
DPD configured for 45 seconds, retry 2
Fragmentation not configured.
Dynamic Route Update: disabled
Extended Authentication not configured.
NAT-T is detected outside
Cisco Trust Security SGT is disabl
Assigned host addr: 10.20.14.19
Initiator of SA : No
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 10.20.14.19/0 - 10.20.14.19/65535
ESP spi in/out: 0x43FD5AD3/0xC8349D4F
AH spi in/out: 0x0/0x0
CPI in/out: 0x0/0x0
Encr: AES-CBC, keysize: 256, esp_hmac: SHA96
ah_hmac: None, comp: IPCOMP_NONE, mode tunnel
IPv6 Crypto IKEv2 Session
cEdge-207#show crypto session detail
Crypto session current status
Code: C - IKE Configuration mode, D - Dead Peer Detection
K - Keepalives, N - NAT-traversal, T - cTCP encapsulation
X - IKE Extended Authentication, F - IKE Fragmentation
R - IKE Auto Reconnect, U - IKE Dynamic Route Update
S - SIP VPN
Interface: Virtual-Access1
Profile: RA-SDWAN-IKEV2-PROFILE
Uptime: 00:17:07
Session status: UP-ACTIVE
Peer: 192.168.10.219 port 62654 fvrf: (none) ivrf: 1
Phase1_id: *$AnyConnectClient$*
Desc: (none)
Session ID: 94
IKEv2 SA: local 192.168.10.218/4500 remote 192.168.10.219/62654 Active
Capabilities:DN connid:1 lifetime:23:42:53
IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 host 10.20.14.19
Active SAs: 2, origin: crypto map
Inbound: #pkts dec'ed 89 drop 0 life (KB/Sec) 4607976/2573
Outbound: #pkts enc'ed 0 drop 0 life (KB/Sec) 4608000/2573
Informazioni correlate
Cronologia delle revisioni
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
2.0 |
15-Mar-2022 |
Comandi CLI modificati. |
1.0 |
01-Mar-2022 |
Versione iniziale |
Feedback