원격 액세스 VPN 문제 해결을 위한 ASA IKEv2 디버그
목차
소개
이 문서에서는 Cisco AnyConnect Secure Mobility Client에서 IKEv2(Internet Key Exchange Version 2)를 사용하는 경우 Cisco ASA(Adaptive Security Appliance)의 디버그를 이해하는 방법에 대해 설명합니다. 이 문서에서는 ASA 컨피그레이션의 특정 디버그 라인을 변환하는 방법에 대한 정보도 제공합니다.
이 문서에서는 VPN 터널이 ASA에 설정된 후 트래픽을 전달하는 방법에 대해 설명하지 않으며 IPSec 또는 IKE의 기본 개념도 포함하지 않습니다.
사전 요구 사항
요구 사항
Cisco에서는 IKEv2의 패킷 교환에 대해 알고 있는 것이 좋습니다. 자세한 내용은 IKEv2 패킷 교환 및 프로토콜 수준 디버깅을 참조하십시오.
사용되는 구성 요소
이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.
- IKEv2(Internet Key Exchange Version 2)
- Cisco ASA(Adaptive Security Appliance) 버전 8.4 이상
이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.
핵심 문제
Cisco TAC(Technical Assistance Center)에서는 IPSec VPN 터널 설정에 문제가 있는 위치를 파악하기 위해 종종 IKE 및 IPSec debug 명령을 사용하지만, 이 명령은 암호적일 수 있습니다.
시나리오
디버그 명령
debug crypto ikev2 protocol 127
debug crypto ikev2 platform 127
debug aggregate-auth xml 5
ASA 컨피그레이션
이 ASA 컨피그레이션은 외부 서버를 사용하지 않는 매우 기본적인 구성입니다.
interface Ethernet0/1
nameif outside
security-level 0
ip address 10.0.0.1 255.255.255.0
ip local pool webvpn1 10.2.2.1-10.2.2.10
crypto ipsec ikev2 ipsec-proposal 3des
protocol esp encryption aes-256 aes 3des des
protocol esp integrity sha-1
crypto dynamic-map dynmap 1000 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 ipsec-isakmp dynamic dynmap
crypto map crymap interface outside
crypto ca trustpoint Anu-ikev2
enrollment self
crl configure
crypto ikev2 policy 10
encryption aes-192
integrity sha
group 2
prf sha
lifetime seconds 86400
crypto ikev2 enable outside client-services port 443
crypto ikev2 remote-access trustpoint Anu-ikev2
ssl encryption 3des-sha1 aes128-sha1 aes256-sha1 des-sha1
ssl trust-point Anu-ikev2 outside
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-3.0.1047-k9.pkg 1
anyconnect profiles Anyconnect-ikev2 disk0:/anyconnect-ikev2.xml
anyconnect enable
tunnel-group-list enable
group-policy ASA-IKEV2 internal
group-policy ASA-IKEV2 attributes
wins-server none
dns-server none
vpn-tunnel-protocol ikev2
default-domain none
webvpn
anyconnect modules value dart
anyconnect profiles value Anyconnect-ikev2 type user
username Anu password lAuoFgF7KmB3D0WI encrypted privilege 15
tunnel-group ASA-IKEV2 type remote-access
tunnel-group ASA-IKEV2 general-attributes
address-pool webvpn1
default-group-policy ASA-IKEV2
tunnel-group ASA-IKEV2 webvpn-attributes
group-alias ASA-IKEV2 enable
XML 파일
<ServerList>
<HostEntry>
<HostName>Anu-IKEV2</HostName>
<HostAddress>10.0.0.1</HostAddress>
<UserGroup>ASA-IKEV2</UserGroup>
<PrimaryProtocol>IPsec</PrimaryProtocol>
</HostEntry>
</ServerList>
디버그 로그 및 설명
서버 메시지 설명 |
디버그 |
클라이언트 메시지 설명 |
|
날짜: 2013년 4월 23일 **************************************** **************************************** |
클라이언트가 ASA에 대한 VPN 터널을 시작합니다. | ||
| ---------------------------------IKE_SA_INIT Exchange 시작------------------------------ | |||
ASA는 클라이언트로부터 IKE_SA_INIT 메시지를 수신합니다. |
IKEv2-PLAT-4: RECV PKT [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000 IKEv2-PROTO-3: Rx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] m_id: 0x0 |
||
첫 번째 메시지 쌍은 IKE_SA_INIT 교환입니다. 이러한 메시지는 암호화 알고리즘을 협상하고 논스를 교환하며 DH(Diffie-Hellman) 교환을 수행합니다. 클라이언트에서 받은 IKE_SA_INIT 메시지에는 다음 필드가 포함되어 있습니다.
|
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: 0000000000000000] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: 0000000000000000 IKEv2-PROTO-4: 다음 페이로드: SA, 버전: 2.0 IKEv2-PROTO-4: Exchange 유형: IKE_SA_INIT, 플래그: INITIATOR IKEv2-PROTO-4: 메시지 ID: 0x0, 길이: 528 SA 다음 페이로드: KE, 예약: 0x0, 길이: 168 IKEv2-PROTO-4: 마지막 제안: 0x0, 예약: 0x0, 길이: 164 제안: 1, 프로토콜 ID: IKE, SPI 크기: 0, #trans: 18 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 12 유형: 1, 예약: 0x0, ID: AES-CBC IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 12 유형: 1, 예약: 0x0, ID: AES-CBC IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 12 유형: 1, 예약: 0x0, ID: AES-CBC IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 1, 예약됨: 0x0, id: 3DES IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 1, 예약됨: 0x0, id: DES IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 2, 예약됨: 0x0, id: SHA512 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 2, 예약됨: 0x0, id: SHA384 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 2, 예약됨: 0x0, id: SHA256 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 2, 예약됨: 0x0, id: SHA1 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 2, 예약됨: 0x0, id: MD5 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: SHA512 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: SHA384 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: SHA256 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: SHA96 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: MD596 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 4, 예약됨: 0x0, id: DH_GROUP_1536_MODP/Group 5 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 4, 예약됨: 0x0, id: DH_GROUP_1024_MODP/Group 2 IKEv2-PROTO-4: 마지막 변환: 0x0, 예약됨: 0x0: 길이: 8 유형: 4, 예약됨: 0x0, id: DH_GROUP_768_MODP/Group 1 KE 다음 페이로드: N, 예약: 0x0, 길이: 104 DH 그룹: 1, 예약됨: 0x0 eb 5e 29 fe cb 2e d1 28 ed 4a 54 b1 13 7c b8 89 f7 62 13 6b df 95 88 28 b5 97 ba 52 ef e4 1d 28 ca 06 d1 36 b6 67 32 9a c2 dd 4e d8 c7 80 de 20 36 34 c5 b3 3e 1d 83 1a c7 fb 9d b8 c5 f5 ed 5f ba 4f b6 b2 e2 2d 43 4f a0 b6 90 9a 11 3f 7d 0a 21 c3 4d3 0a d2 1e 33 43 d3 5e cc 4b 38 e0 N 다음 페이로드: VID, 예약됨: 0x0, 길이: 24 20 12 8f 22 7b 16 23 52 e4 29 4d 98 c7 fd a8 77 ce 7c 0b b4 IKEv2-PROTO-5: 공급업체별 구문 분석 페이로드: CISCO-DELETE-REASON VID 다음 페이로드: VID, 예약됨: 0x0, 길이: 23 |
||
ASA는
관련 구성: crypto ikev2 policy 10 |
해독된 패킷:데이터: 528바이트 IKEv2-PLAT-3: 사용자 지정 VID 페이로드 처리 IKEv2-PLAT-3: 피어에서 받은 Cisco 저작권 VID IKEv2-PLAT-3: 피어에서 수신한 AnyConnect EAP VID IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE 이벤트: EV_RECV_INIT IKEv2-PROTO-3: (6): NAT 검색 확인 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE 이벤트: EV_CHK_REDIRECT IKEv2-PROTO-5: (6): 리디렉션 확인이 필요하지 않으므로 건너뜁니다. IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE 이벤트: EV_CHK_CAC IKEv2-PLAT-5: 새 ikev2 sa 요청이 승인됨 IKEv2-PLAT-5: 들어오는 협상 sa 수를 1씩 증가 IKEv2-PLAT-5: 잘못된 PSH 핸들 IKEv2-PLAT-5: 잘못된 PSH 핸들 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE 이벤트: EV_CHK_COOKIE IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: IDLE 이벤트: EV_CHK4_COOKIE_NOTIFY IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT 이벤트: EV_VERIFY_MSG IKEv2-PROTO-3: (6): SA 초기화 메시지 확인 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT 이벤트: EV_INSERT_SA IKEv2-PROTO-3: (6): SA 삽입 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT 이벤트: EV_GET_IKE_POLICY IKEv2-PROTO-3: (6): 구성된 정책 가져오기 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT 이벤트: EV_PROC_MSG IKEv2-PROTO-2: (6): 초기 메시지 처리 중 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT 이벤트: EV_DETECT_NAT IKEv2-PROTO-3: (6): NAT 검색 알림 처리 IKEv2-PROTO-5: (6): nat 처리 시 src 알림 감지 IKEv2-PROTO-5: (6): 원격 주소가 일치하지 않습니다. IKEv2-PROTO-5: (6): nat 처리 중 dst notify 탐지 IKEv2-PROTO-5: (6): 일치하는 로컬 주소 IKEv2-PROTO-5: (6): 호스트가 NAT 외부에 있음 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT 이벤트: EV_CHK_CONFIG_MODE IKEv2-PROTO-3: (6): 올바른 구성 모드 데이터를 받았습니다. IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_INIT 이벤트: EV_SET_RECD_CONFIG_MODE IKEv2-PROTO-3: (6): 수신된 컨피그레이션 모드 데이터를 설정합니다. IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_SET_POLICY IKEv2-PROTO-3: (6): 구성된 정책 설정 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_CHK_AUTH4PKI IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_PKI_SESH_OPEN IKEv2-PROTO-3: (6): PKI 세션 열기 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_GEN_DH_KEY IKEv2-PROTO-3: (6): DH 공개 키 컴퓨팅 IKEv2-PROTO-3: (6): IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_NO_EVENT IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_OK_RECD_DH_PUBKEY_RESP IKEv2-PROTO-5: (6): 작업: Action_Null IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_GEN_DH_SECRET IKEv2-PROTO-3: (6): DH 비밀 키 컴퓨팅 IKEv2-PROTO-3: (6): IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_NO_EVENT IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_OK_RECD_DH_SECRET_RESP IKEv2-PROTO-5: (6): 작업: Action_Null IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_GEN_SKEYID IKEv2-PROTO-3: (6): skeyid를 생성합니다. IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_GET_CONFIG_MODE |
||
ASA는 IKE_SA_INIT 교환을 위한 응답 메시지를 구성합니다. 이 패킷에는 다음이 포함됩니다.
|
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_BLD_INIT 이벤트: EV_BLD_MSG IKEv2-PROTO-2: (6): 초기 메시지 전송 IKEv2-PROTO-3: IKE 제안: 1, SPI 크기: 0(초기 협상), 변형 수: 4 AES-CBC SHA1 SHA96 DH_GROUP_768_MODP/Group 1 IKEv2-PROTO-5: 공급업체별 페이로드 구성: DELETE-REASONIKEv2-PROTO-5: 공급업체별 페이로드 구성: (CUSTOM)IKEv2-PROTO-5: 공급업체별 페이로드 구성: (CUSTOM)IKEv2-PROTO-5: 알림 페이로드 구성: NAT_DETECTION_SOURCE_IPIKEv2-PROTO-5: 알림 페이로드 구성: NAT_DETECTION_DESTINATION_IPIKEv2-PLAT-2: 신뢰할 수 있는 발급자 해시를 검색하지 못했거나 사용할 수 없음 IKEv2-PROTO-5: 공급업체별 페이로드 구성: FRAGMENTATIONIKEv2-PROTO-3: Tx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] m_id: 0x0 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: 다음 페이로드: SA, 버전: 2.0 IKEv2-PROTO-4: Exchange 유형: IKE_SA_INIT, 플래그: RESPONDER MSG-RESPONSE IKEv2-PROTO-4: 메시지 ID: 0x0, 길이: 386 SA 다음 페이로드: KE, 예약: 0x0, 길이: 48 IKEv2-PROTO-4: 마지막 제안: 0x0, 예약: 0x0, 길이: 44 제안: 1, 프로토콜 ID: IKE, SPI 크기: 0, #trans: 4 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 12 유형: 1, 예약: 0x0, ID: AES-CBC IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 2, 예약됨: 0x0, id: SHA1 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: SHA96 IKEv2-PROTO-4: 마지막 변환: 0x0, 예약됨: 0x0: 길이: 8 유형: 4, 예약됨: 0x0, id: DH_GROUP_768_MODP/Group 1 KE 다음 페이로드: N, 예약: 0x0, 길이: 104 DH 그룹: 1, 예약됨: 0x0 c9 30 f9 32 d4 7c d1 a7 5b 71 72 09 6e 7e 91 0c e1 ce b4 a4 3c f2 8b 74 4e 20 59 b4 0b a1 ff 65 37 88 cc c4 a4 b6 fa 4a 63 03 93 89 e1 7e bd 6a 64 9a 38 24 e2 a8 40 f5 a3 d6 ef f7 1a df 33 cc a1 8e fa dc 9c 34 45 79 1a 7c 29 05 87 8a ac 02 98 2e 7d cb 41 51 d6 fe fc c7 76 83 1d 03 b0 d7 N 다음 페이로드: VID, 예약됨: 0x0, 길이: 24 c2 28 7f 8c 7d b3 1e 51 fc eb f1 97 ec 97 b8 67 d5 e7 c2 f5 VID 다음 페이로드: VID, 예약됨: 0x0, 길이: 23 |
||
| ASA는 IKE_SA_INIT 교환에 대한 응답 메시지를 전송합니다. 이제 IKE_SA_INIT 교환이 완료되었습니다. ASA가 인증 프로세스에 대한 타이머를 시작합니다. | IKEv2-PLAT-4: PKT [IKE_SA_INIT] [10.0.0.1]:500->[192.168.1.1]:25170 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000000 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: INIT_DONE 이벤트: EV_DONE IKEv2-PROTO-3: (6): 단편화가 활성화됨 IKEv2-PROTO-3: (6): Cisco DeleteReason Notify가 활성화됩니다 IKEv2-PROTO-3: (6): SA init exchange 완료 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: INIT_DONE 이벤트: EV_CHK4_ROLE IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: INIT_DONE 이벤트: EV_START_TMR IKEv2-PROTO-3: (6): 인증 메시지 대기 타이머 시작(30초) IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState: R_WAIT_AUTH 이벤트: EV_NO_EVENT |
**************************************** 날짜: 2013년 4월 23일 시간 : 16:25:02 유형: 정보 소스: acvpnagent 설명: 기능: CIPsecProtocol::initiateTunnel 파일: .\IPsecProtocol.cpp 회선: 345 IPsec 터널이 시작 중입니다. **************************************** |
클라이언트는 IPSec 터널을 'initiating'으로 표시합니다. |
| -----------------------------------IKE_SA_INIT 완료--------------------------------- | |||
| -------------------------------------_AUTH가 시작됩니다------------------------------------- | |||
| **************************************** 날짜: 2013년 4월 23일 시간: 16:25:00 유형: 정보 소스: acvpnagent 설명: 보안 게이트웨이 매개변수: IP 주소: 10.0.0.1 포트: 443 URL: "10.0.0.1" 인증 방법: IKE - EAP-AnyConnect IKE ID: **************************************** 날짜: 2013년 4월 23일 시간: 16:25:00 유형: 정보 소스: acvpnagent 설명: Cisco AnyConnect Secure Mobility Client 연결 시작, 버전 3.0.1047 **************************************** 날짜: 2013년 4월 23일 |
클라이언트는 확장 가능한 인증을 사용하려는 의도를 나타내기 위해 메시지 3에서 AUTH 페이로드를 생략합니다. EAP(Extensible Authentication Protocol) 인증이 클라이언트 프로파일에서 지정되거나 암시되고 프로파일에 <IKEIdentity> 요소가 없는 경우 클라이언트는 고정 문자열 *$AnyConnectClient$*와 함께 ID_GROUP 유형 IDi 페이로드를 보냅니다. 클라이언트는 포트 4500에서 ASA에 대한 연결을 시작합니다. | ||
인증은 EAP로 수행됩니다. EAP 대화 내에서 단일 EAP 인증 방법만 허용됩니다. ASA는 클라이언트로부터 IKE_AUTH 메시지를 수신합니다. |
IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x1 |
||
클라이언트가 IDi 페이로드를 포함하는 경우 IKE_AUTH 개시자 패킷에는 다음이 포함됩니다.
클라이언트가 전달해야 하는 특성 *관련 프로필 구성: <ServerList> |
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: 다음 페이로드: ENCR, 버전: 2.0 IKEv2-PROTO-4: Exchange 유형: IKE_AUTH, 플래그: INITIATOR IKEv2-PROTO-4: 메시지 ID: 0x1, 길이: 540 IKEv2-PROTO-5: (6): 요청에 mess_id 1이 있습니다. 1~1이 필요합니다. 실제 암호 해독된 패킷:데이터: 465바이트 IKEv2-PROTO-5: 공급업체 특정 페이로드 구문 분석: (사용자 지정) VID 다음 페이로드: IDi, 예약됨: 0x0, 길이: 20 58 af f6 11 52 8d b0 2c b8 da 30 46 be 91 56 fa IDi 다음 페이로드: CERTREQ, 예약됨: 0x0, 길이: 28 ID 유형: 그룹 이름, 예약됨: 0x0 0x0 2a 24 41 6e 79 43 6f 6e 65 63 74 43 6c 69 65 6e 74 24 2a CERTREQ 다음 페이로드: CFG, 예약됨: 0x0, 길이: 25 인증서 인코딩 X.509 인증서 - 서명 CertReq 데이터&콜론, 20바이트 CFG 다음 페이로드: SA, 예약됨: 0x0, 길이: 196 cfg 유형: CFG_REQUEST, 예약됨: 0x0, 예약됨: 0x0 특성 유형: 내부 IP4 주소, 길이: 0 특성 유형: 내부 IP4 넷마스크, 길이: 0 특성 유형: 내부 IP4 DNS, 길이: 0 특성 유형: 내부 IP4 NBNS, 길이: 0 특성 유형: 내부 주소 만료, 길이: 0 특성 유형: 애플리케이션 버전, 길이: 27 41 6e 79 43 6f 6e 65 63 74 20 57 69 6e 64 6f 77 73 20 33 2e 30 2e 31 30 34 37 특성 유형: 내부 IP6 주소, 길이: 0 특성 유형: 내부 IP4 서브넷, 길이: 0 특성 유형: 알 수 없음 - 28682, 길이: 15 77 69 6e 78 70 36 34 74 65 6d 70 6c 61 74 65 특성 유형: 알 수 없음 - 28704, 길이: 0 특성 유형: 알 수 없음 - 28705, 길이: 0 특성 유형: 알 수 없음 - 28706, 길이: 0 특성 유형: 알 수 없음 - 28707, 길이: 0 특성 유형: 알 수 없음 - 28708, 길이: 0 특성 유형: 알 수 없음 - 28709, 길이: 0 특성 유형: 알 수 없음 - 28710, 길이: 0 특성 유형: 알 수 없음 - 28672, 길이: 0 특성 유형: 알 수 없음 - 28684, 길이: 0 특성 유형: 알 수 없음 - 28711, 길이: 2 05 7e 특성 유형: 알 수 없음 - 28674, 길이: 0 특성 유형: 알 수 없음 - 28712, 길이: 0 특성 유형: 알 수 없음 - 28675, 길이: 0 특성 유형: 알 수 없음 - 28679, 길이: 0 특성 유형: 알 수 없음 - 28683, 길이: 0 특성 유형: 알 수 없음 - 28717, 길이: 0 특성 유형: 알 수 없음 - 28718, 길이: 0 특성 유형: 알 수 없음 - 28719, 길이: 0 특성 유형: 알 수 없음 - 28720, 길이: 0 특성 유형: 알 수 없음 - 28721, 길이: 0 특성 유형: 알 수 없음 - 28722, 길이: 0 특성 유형: 알 수 없음 - 28723, 길이: 0 특성 유형: 알 수 없음 - 28724, 길이: 0 특성 유형: 알 수 없음 - 28725, 길이: 0 특성 유형: 알 수 없음 - 28726, 길이: 0 특성 유형: 알 수 없음 - 28727, 길이: 0 특성 유형: 알 수 없음 - 28729, 길이: 0 SA 다음 페이로드: TSi, 예약됨: 0x0, 길이: 124 IKEv2-PROTO-4: 마지막 제안: 0x0, 예약: 0x0, 길이: 120 제안: 1, 프로토콜 ID: ESP, SPI 크기: 4, #trans: 12 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 12 유형: 1, 예약: 0x0, ID: AES-CBC IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 12 유형: 1, 예약: 0x0, ID: AES-CBC IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 12 유형: 1, 예약: 0x0, ID: AES-CBC IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 1, 예약됨: 0x0, id: 3DES IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 1, 예약됨: 0x0, id: DES IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 1, 예약됨: 0x0, ID: NULL IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: SHA512 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: SHA384 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: SHA256 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: SHA96 IKEv2-PROTO-4: 마지막 변환: 0x3, 예약: 0x0: 길이: 8 유형: 3, 예약됨: 0x0, id: MD596 IKEv2-PROTO-4: 마지막 변환: 0x0, 예약됨: 0x0: 길이: 8 유형: 5, 예약됨: 0x0, id: TSi Next 페이로드: TSr, 예약됨: 0x0, 길이: 24 TS 수: 1, reserved 0x0, reserved 0x0 TS 유형: TS_IPV4_ADDR_RANGE, 프로토콜 ID: 0, 길이: 16 시작 포트: 0, 종료 포트: 65535 시작 주소: 0.0.0.0, 끝 주소: 255.255.255.255 TSr 다음 페이로드: NOTIFY, 예약됨: 0x0, 길이: 24 TS 수: 1, reserved 0x0, reserved 0x0 TS 유형: TS_IPV4_ADDR_RANGE, 프로토콜 ID: 0, 길이: 16 시작 포트: 0, 종료 포트: 65535 시작 주소: 0.0.0.0, 끝 주소: 255.255.255.255 |
||
ASA는 IKE_AUTH 메시지에 대한 응답을 생성하고 클라이언트에 대한 인증을 준비합니다. |
해독된 패킷:데이터&콜론; 540바이트 요소 이름 config-auth 값 생성됨 |
||
ASA는 클라이언트에서 사용자 자격 증명을 요청하기 위해 AUTH 페이로드를 전송합니다. ASA는 AUTH 방법을 'RSA'로 전송하므로 클라이언트가 ASA 서버를 인증할 수 있도록 자체 인증서를 클라이언트로 전송합니다. ASA는 확장 가능한 인증 방법을 사용할 의향이 있으므로 메시지 4에 EAP 페이로드를 배치하고 이후 IKE_AUTH 교환에서 개시자 인증이 완료될 때까지 SAr2, TSi 및 TSr 전송을 지연합니다. 따라서 이러한 세 페이로드는 디버그에 존재하지 않습니다. EAP 패킷에는 다음이 포함됩니다.
|
IDr. 다음 페이로드: CERT, reserved: 0x0, length: 36 ID 유형: DER ASN1 DN, 예약됨: 0x0 0x0 30 1a 31 18 30 16 06 09 2a 86 48 86 f7 0d 01 09 02 16 09 41 53 41 2d 49 4b 45 56 32 CERT Next payload: CERT, reserved: 0x0, length: 436 인증서 인코딩 X.509 인증서 - 서명 인증서 데이터(&Colon), 431바이트 인증서 다음 페이로드: AUTH, reserved: 0x0, length: 436 인증서 인코딩 X.509 인증서 - 서명 인증서 데이터(&Colon), 431바이트 AUTH 다음 페이로드: EAP, 예약: 0x0, 길이: 136 인증 방법 RSA, 예약됨: 0x0, 예약됨 0x0 인증 데이터(&Colon), 128바이트 EAP 다음 페이로드: 없음, 예약됨: 0x0, 길이: 154 코드: 요청: ID: 1, 길이: 150 유형: 알 수 없음 - 254 EAP 데이터: 145바이트 IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x1 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: 다음 페이로드: ENCR, 버전: 2.0 IKEv2-PROTO-4: 교환 유형: IKE_AUTH, 플래그: RESPONDER MSG-RESPONSE IKEv2-PROTO-4: 메시지 ID: 0x1, 길이: 1292 ENCR 다음 페이로드: VID, 예약됨: 0x0, 길이: 1264 암호화된 데이터(&Colon), 1260바이트 |
||
인증서가 크거나 인증서 체인이 포함된 경우 단편화가 발생할 수 있습니다. 개시자 및 응답자 KE 페이로드 모두 큰 키를 포함할 수 있으며, 이는 프래그먼트화에도 기여할 수 있습니다. |
IKEv2-PROTO-5: (6): 프래그먼트화 패킷, 프래그먼트 MTU: 544, 프래그먼트 수: 3, 프래그먼트 ID: 1 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 |
||
**************************************** |
ASA에서 전송한 인증서가 사용자에게 표시됩니다. 인증서를 신뢰할 수 없습니다. EAP 유형은 EAP-ANYCONNECT입니다. | ||
클라이언트는 응답으로 EAP 요청에 응답합니다. EAP 패킷에는 다음이 포함됩니다.
ASA는 이 응답을 해독하며, 클라이언트는 이전 패킷(인증서 포함)에서 AUTH 페이로드를 받았으며 ASA에서 첫 번째 EAP 요청 패킷을 받았다고 말합니다. 'init' EAP 응답 패킷에 포함된 내용입니다. |
IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002 해독된 패킷:데이터&콜론; 332바이트 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP 이벤트: EV_PROC_MSG 클라이언트로부터 아래 XML 메시지를 받았습니다. IKEv2-PROTO-5: (6): 작업: Action_Null |
||
ASA에서 클라이언트로 보낸 두 번째 요청입니다. EAP 패킷에는 다음이 포함됩니다.
ENCR 페이로드: 이 페이로드는 암호 해독되고 해당 내용은 추가 페이로드로 구문 분석됩니다. |
IKEv2-PROTO-2: (6): EAP 요청 전송 아래에 생성된 XML 메시지 |
**************************************** 날짜: 2013년 4월 23일 시간 : 16:25:04 유형: 정보 출처: acvpnui 설명: 함수: SDIMgr::ProcessPromptData 파일: .\SDIMgr.cpp 회선: 281 인증 유형이 SDI가 아닙니다. **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:07 유형: 정보 출처: acvpnui 설명: 함수: ConnectMgr::userResponse 파일: .\ConnectMgr.cpp 회선: 985 사용자 응답을 처리하는 중입니다. **************************************** |
클라이언트는 사용자 인증을 요청하고 다음 패킷('auth-reply')에서 EAP 응답으로 ASA에 전송합니다. |
클라이언트는 EAP 페이로드와 함께 다른 IKE_AUTH 개시자 메시지를 보냅니다. EAP 패킷에는 다음이 포함됩니다.
|
IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x3 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: 다음 페이로드: ENCR, 버전: 2.0 IKEv2-PROTO-4: Exchange 유형: IKE_AUTH, 플래그: INITIATOR IKEv2-PROTO-4: 메시지 ID: 0x3, 길이: 492 IKEv2-PROTO-5: (6): 요청에 mess_id 3이 있습니다. 3~3이 필요합니다. 실제 암호 해독된 패킷:데이터: 424바이트 EAP 다음 페이로드: 없음, 예약됨: 0x0, 길이: 424 코드: 응답: id: 2, 길이: 420 유형: 알 수 없음 - 254 EAP 데이터: 415바이트 |
||
ASA에서 이 응답을 처리합니다. 클라이언트가 사용자에게 자격 증명을 입력하도록 요청했습니다. 이 EAP 응답의 'config-auth' 유형은 'auth-reply'입니다. 이 패킷에는 사용자가 입력한 자격 증명이 포함되어 있습니다. |
해독된 패킷:데이터: 492바이트 클라이언트로부터 아래 XML 메시지를 받았습니다. |
||
ASA는 Exchange에서 세 번째 EAP 요청을 작성합니다. EAP 패킷에는 다음이 포함됩니다.
ENCR 페이로드: 이 페이로드는 암호 해독되고 해당 내용은 추가 페이로드로 구문 분석됩니다. |
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ 이벤트: EV_RECV_EAP_REQ 아래에 생성된 XML 메시지
IKEv2-PROTO-5: (6): 프래그먼트화 패킷, 프래그먼트 MTU: 544, 프래그먼트 수: 9, 프래그먼트 ID: 2 |
||
| **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:07 유형: 정보 소스: acvpnagent 설명 : 현재 프로파일: Anyconnect-ikev2.xml 수신된 VPN 세션 구성 설정: 설치 유지: 사용 프록시 설정: 수정하지 않음 프록시 서버: 없음 프록시 PAC URL: 없음 프록시 예외: 없음 프록시 잠금: 사용 스플릿 제외: 로컬 LAN 액세스 기본 설정이 비활성화됨 포함 분할: 사용 안 함 스플릿 DNS: 사용 안 함 로컬 LAN 와일드카드: 로컬 LAN 액세스 기본 설정이 비활성화됨 방화벽 규칙: 없음 클라이언트 주소: 10.2.2.1 클라이언트 마스크: 255.0.0.0 클라이언트 IPv6 주소: 알 수 없음 클라이언트 IPv6 마스크: 알 수 없음 MTU: 1406 IKE Keep Alive: 20초 IKE DPD: 30초 세션 시간 초과: 0초 연결 끊기 시간 초과: 1800초 유휴 시간 제한: 1800초 서버: 알 수 없음 MUS 호스트: 알 수 없음 DAP 사용자 메시지: 없음 쿼런틴 상태: 사용 안 함 Always On VPN: 비활성화되지 않음 리스 기간: 0초 기본 도메인: 알 수 없음 홈 페이지: 알 수 없음 스마트 카드 제거 연결 끊기: 사용 라이센스 응답: 알 수 없음 **************************************** |
ASA는 'complete' 메시지의 VPN 컨피그레이션 설정을 클라이언트로 전송하고 VPN 풀에서 클라이언트에 IP 주소를 할당합니다. | ||
클라이언트는 EAP 페이로드와 함께 개시자 패킷을 전송합니다. EAP 패킷에는 다음이 포함됩니다.
|
IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000004 IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x4 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: 다음 페이로드: ENCR, 버전: 2.0 IKEv2-PROTO-4: Exchange 유형: IKE_AUTH, 플래그: INITIATOR IKEv2-PROTO-4: 메시지 ID: 0x4, 길이: 252 IKEv2-PROTO-5: (6): 요청에 mess_id 4가 있습니다. 4~4가 필요합니다. REAL Decrypted 패킷:데이터: 177바이트 EAP 다음 페이로드: 없음, 예약됨: 0x0, 길이: 177 코드: 응답: id: 3, 길이: 173 유형: 알 수 없음 - 254 EAP 데이터: 168바이트 |
||
ASA는 이 패킷을 처리합니다. 이 관련 구성: tunnel-group ASA-IKEV2 이제 EAP 교환에 성공했습니다. EAP 패킷에는 다음이 포함됩니다.
|
해독된 패킷:데이터:252바이트 클라이언트로부터 아래 XML 메시지를 받았습니다. IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP 이벤트: EV_START_TMR |
||
| EAP 교환이 성공적이므로 클라이언트는 AUTH 페이로드와 함께 IKE_AUTH 개시자 패킷을 전송합니다. AUTH 페이로드는 공유 암호 키에서 생성됩니다. | IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5 IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F] IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F IKEv2-PROTO-4: 다음 페이로드: ENCR, 버전: 2.0 IKEv2-PROTO-4: Exchange 유형: IKE_AUTH, 플래그: INITIATOR IKEv2-PROTO-4: 메시지 ID: 0x5, 길이: 92 IKEv2-PROTO-5: (6): 요청에 mess_id 5가 있습니다. 5~5가 필요합니다. REAL Decrypted 패킷:데이터:28바이트 AUTH Next payload: NONE, reserved: 0x0, length: 28 인증 방법 PSK, 예약됨: 0x0, 예약됨 0x0 인증 데이터: 20바이트 |
||
EAP 인증이 지정된 경우 또는 ASA에서 이 메시지를 처리합니다. 관련 구성: crypto dynamic-map dynmap 1000 |
해독된 패킷:데이터: 92바이트 IKEv2-PROTO-2: (6): 인증 메시지 처리 |
||
ASA는 SA, TSi 및 TSr 페이로드를 사용하여 IKE_AUTH 응답 메시지를 작성합니다. IKE_AUTH 응답자 패킷에는 다음이 포함됩니다.
ENCR 페이로드: 이 페이로드는 암호 해독되고 해당 내용은 추가 페이로드로 구문 분석됩니다. |
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH 이벤트: EV_MY_AUTH_METHOD IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5 |
||
| ASA는 9개의 패킷으로 프래그먼트화되는 이 IKE_AUTH 응답 메시지를 전송합니다. IKE_AUTH 교환이 완료되었습니다. | IKEv2-PROTO-5: (6): 프래그먼트화 패킷, 프래그먼트 MTU: 544, 프래그먼트 수: 9, 프래그먼트 ID: 3 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4: PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE 이벤트: EV_OK IKEv2-PROTO-5: (6): 작업: Action_Null IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE 이벤트: EV_PKI_SESH_CLOSE |
||
| **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:07 유형: 정보 소스: acvpnagent 설명: 함수: ikev2_log 파일: .\ikev2_anyconnect_osal.cpp 회선: 2730 IPsec 연결이 설정되었습니다. **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:07 유형: 정보 소스: acvpnagent 설명: IPsec 세션 등록: 암호화: AES-CBC PRF: SHA1 HMAC: SHA96 로컬 인증 방법: PSK 원격 인증 방법: PSK 시퀀스 ID: 0 키 크기: 192 DH 그룹: 1 키 다시 입력 시간: 4294967초 로컬 주소: 192.168.1.1 원격 주소: 10.0.0.1 로컬 포트: 4500 원격 포트: 4500 세션 ID: 1 **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:07 유형: 정보 출처: acvpnui 설명: 보안 게이트웨이에 구성된 프로파일은 Anyconnect-ikev2.xml입니다. **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:07 유형: 정보 출처: acvpnui 설명 : 사용자에게 보낸 메시지 유형 정보: VPN 세션을 설정하는 중... **************************************** |
클라이언트는 IPSec 연결이 설정된 것으로 보고합니다. 클라이언트는 ASA에서 사용자 프로파일도 탐지합니다. | ||
| ----------------------------IKE_AUTH 교환 종료----------------------------------- | |||
**************************************** **************************************** |
XML 프로파일이 클라이언트에 로드됩니다. 이제 클라이언트가 ASA의 IP 주소를 갖게 되었으므로 클라이언트는 VPN 어댑터 활성화를 진행합니다. | ||
연결이 SA(Security Association) 데이터베이스에 입력되고 상태는 REGISTERED입니다. ASA는 또한 CAC(Common Access Card) 통계, 중복 SA 존재 여부 등 일부 검사를 수행하고 DPD(Dead Peer Detection) 등의 값을 설정합니다. |
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE 이벤트: EV_INSERT_IKE IKEv2-PROTO-2: (6): SA 생성, SA를 데이터베이스에 삽입 IKEv2-PLAT-3: 연결 상태: UP... 피어: 192.168.1.1:25171, phase1_id: *$AnyConnectClient$* IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE 이벤트: EV_REGISTER_SESSION IKEv2-PLAT-3: (6) 사용자 이름이 Anu로 설정됨 IKEv2-PLAT-3: 연결 상태: 등록됨.. 피어: 192.168.1.1:25171, 1단계_id: *$AnyConnectClient$* IKEv2-PROTO-3: (6): DPD 초기화 중 10초 동안 구성됨 IKEv2-PLAT-3: (6) mib_index: 4501 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE 이벤트: EV_GEN_LOAD_IPSEC IKEv2-PROTO-3: (6): IPSEC 키 자료 로드 IKEv2-PLAT-3: 암호화 맵: 동적 맵 동적 맵 시퀀스 1000에서 일치 IKEv2-PLAT-3: (6) DPD 최대 시간: 30 IKEv2-PLAT-3: (6) DPD 최대 시간: 30 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE 이벤트: EV_START_ACCT IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE 이벤트: EV_CHECK_DUPE IKEv2-PROTO-3: (6): 중복 SA 확인 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: AUTH_DONE 이벤트: EV_CHK4_ROLE IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: READY 이벤트: EV_R_UPDATE_CAC_STATS IKEv2-PLAT-5: 새 ikev2 sa 요청이 활성화됨 IKEv2-PLAT-5: 수신 협상의 감소 횟수 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: READY 이벤트: EV_R_OK IKEv2-PROTO-3: (6): 협상 컨텍스트를 삭제하기 위한 타이머 시작 IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: READY 이벤트: EV_NO_EVENT IKEv2-PLAT-2: SPI 0x77EE5348에 대한 PFKEY 추가 SA를 받았습니다. 오류 FALSE IKEv2-PLAT-2: SPI 0x30B848A4에 대한 PFKEY 업데이트 SA를 받았습니다. 오류 FALSE |
||
| **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:08 유형: 정보 소스: acvpnagent 설명: VPN 연결이 설정되었으며 이제 데이터를 전달할 수 있습니다. **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:08 유형: 정보 출처: acvpnui 설명 : 사용자에게 보낸 메시지 유형 정보: VPN을 설정하는 중 - 시스템을 구성하는 중... **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:08 유형: 정보 출처: acvpnui 설명 : 사용자에게 보낸 메시지 유형 정보: VPN 설정 중... **************************************** 날짜: 2013년 4월 23일 시간 : 16:25:37 유형: 정보 소스: acvpnagent 파일: .\IPsecProtocol.cpp 회선: 945 IPsec 터널이 설정됨 **************************************** |
클라이언트는 터널을 가동 상태로 보고하고 트래픽을 전달할 준비가 된 상태로 보고합니다. | ||
터널 확인
AnyConnect
show vpn-sessiondb detail anyconnect 명령의 샘플 출력은 다음과 같습니다.
Session Type: AnyConnect Detailed
Username : Anu Index : 2
Assigned IP : 10.2.2.1 Public IP : 192.168.1.1
Protocol : IKEv2 IPsecOverNatT AnyConnect-Parent
License : AnyConnect Premium
Encryption : AES192 AES256 Hashing : none SHA1 SHA1
Bytes Tx : 0 Bytes Rx : 11192
Pkts Tx : 0 Pkts Rx : 171
Pkts Tx Drop : 0 Pkts Rx Drop : 0
Group Policy : ASA-IKEV2 Tunnel Group : ASA-IKEV2
Login Time : 22:06:24 UTC Mon Apr 22 2013
Duration : 0h:02m:26s
Inactivity : 0h:00m:00s
NAC Result : Unknown
VLAN Mapping : N/A VLAN : none
IKEv2 Tunnels: 1
IPsecOverNatT Tunnels: 1
AnyConnect-Parent Tunnels: 1
AnyConnect-Parent:
Tunnel ID : 2.1
Public IP : 192.168.1.1
Encryption : none Auth Mode : userPassword
Idle Time Out: 30 Minutes Idle TO Left : 27 Minutes
Client Type : AnyConnect
Client Ver : 3.0.1047
IKEv2:
Tunnel ID : 2.2
UDP Src Port : 25171 UDP Dst Port : 4500
Rem Auth Mode: userPassword
Loc Auth Mode: rsaCertificate
Encryption : AES192 Hashing : SHA1
Rekey Int (T): 86400 Seconds Rekey Left(T): 86254 Seconds
PRF : SHA1 D/H Group : 1
Filter Name :
Client OS : Windows
IPsecOverNatT:
Tunnel ID : 2.3
Local Addr : 0.0.0.0/0.0.0.0/0/0
Remote Addr : 10.2.2.1/255.255.255.255/0/0
Encryption : AES256 Hashing : SHA1
Encapsulation: Tunnel
Rekey Int (T): 28800 Seconds Rekey Left(T): 28654 Seconds
Rekey Int (D): 4608000 K-Bytes Rekey Left(D): 4607990 K-Bytes
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Bytes Tx : 0 Bytes Rx : 11192
Pkts Tx : 0 Pkts Rx : 171
NAC:
Reval Int (T): 0 Seconds Reval Left(T): 0 Seconds
SQ Int (T) : 0 Seconds EoU Age(T) : 146 Seconds
Hold Left (T): 0 Seconds Posture Token:
Redirect URL :
ISAKMP
show crypto ikev2 sa 명령의 샘플 출력은 다음과 같습니다.
ASA-IKEV2# show crypto ikev2 sa
IKEv2 SAs:
Session-id:2, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote Status Role
55182129 10.0.0.1/4500 192.168.1.1/25171 READY RESPONDER
Encr: AES-CBC, keysize: 192, Hash: SHA96, DH Grp:1, Auth sign: RSA, Auth verify: EAP
Life/Active Time: 86400/112 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 10.2.2.1/0 - 10.2.2.1/65535
ESP spi in/out: 0x30b848a4/0x77ee5348
show crypto ikev2 sa detail 명령의 샘플 출력은 다음과 같습니다.
ASA-IKEV2# show crypto ikev2 sa detail
IKEv2 SAs:
Session-id:2, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote Status Role
55182129 10.0.0.1/4500 192.168.1.1/25171 READY RESPONDER
Encr: AES-CBC, keysize: 192, Hash: SHA96, DH Grp:1, Auth sign: RSA, Auth verify: EAP
Life/Active Time: 86400/98 sec
Session-id: 2
Status Description: Negotiation done
Local spi: FC696330E6B94D7F Remote spi: 58AFF71141BA436B
Local id: hostname=ASA-IKEV2
Remote id: *$AnyConnectClient$*
Local req mess id: 0 Remote req mess id: 9
Local next mess id: 0 Remote next mess id: 9
Local req queued: 0 Remote req queued: 9 Local window: 1 Remote window: 1
DPD configured for 10 seconds, retry 2
NAT-T is detected outside
Assigned host addr: 10.2.2.1
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 10.2.2.1/0 - 10.2.2.1/65535
ESP spi in/out: 0x30b848a4/0x77ee5348
AH spi in/out: 0x0/0x0
CPI in/out: 0x0/0x0
Encr: AES-CBC, keysize: 256, esp_hmac: SHA96
ah_hmac: None, comp: IPCOMP_NONE, mode tunnel
IPSec
show crypto ipsec sa 명령의 샘플 출력은 다음과 같습니다.
ASA-IKEV2# show crypto ipsec sa
interface: outside
Crypto map tag: dynmap, seq num: 1000, local addr: 10.0.0.1
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.2.2.1/255.255.255.255/0/0)
current_peer: 192.168.1.1, username: Anu
dynamic allocated peer ip: 10.2.2.1
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 163, #pkts decrypt: 108, #pkts verify: 108
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#send errors: 0, #recv errors: 55
local crypto endpt.: 10.0.0.1/4500, remote crypto endpt.: 192.168.1.1/25171
path mtu 1488, ipsec overhead 82, media mtu 1500
current outbound spi: 77EE5348
current inbound spi : 30B848A4
inbound esp sas:
spi: 0x30B848A4 (817383588)
transform: esp-aes-256 esp-sha-hmac no compression
in use settings ={RA, Tunnel, NAT-T-Encaps, }
slot: 0, conn_id: 8192, crypto-map: dynmap
sa timing: remaining key lifetime (sec): 28685
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0xFFAD6BED 0x7ABFD5BF
outbound esp sas:
spi: 0x77EE5348 (2012107592)
transform: esp-aes-256 esp-sha-hmac no compression
in use settings ={RA, Tunnel, NAT-T-Encaps, }
slot: 0, conn_id: 8192, crypto-map: dynmap
sa timing: remaining key lifetime (sec): 28685
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001
관련 정보
개정 이력
| 개정 | 게시 날짜 | 의견 |
|---|---|---|
1.0 |
04-May-2013 |
최초 릴리스 |
피드백