Probleemoplossing voor IOS IKEv2-debugs voor site-to-site VPN met PSK’s
Downloadopties
Inclusief taalgebruik
De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.
Over deze vertaling
Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.
Inleiding
Dit document beschrijft debuggen van Internet Key Exchange versie 2 (IKEv2) op Cisco IOS® wanneer een niet-gedeelde sleutel (PSK) wordt gebruikt.
Voorwaarden
Vereisten
Cisco raadt u aan kennis te hebben van de pakketuitwisseling voor IKEv2. Raadpleeg IKEv2 Packet Exchange en Protocolniveau debuggen voor meer informatie.
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
- Internet Key Exchange, versie 2 (IKEv2)
- Cisco IOS 15.1(1)T of hoger
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Conventies
Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.
Achtergrondinformatie
Dit document bevat informatie over de manier waarop bepaalde debug-regels in een configuratie moeten worden vertaald.
Belangrijkste probleem
De pakketuitwisseling in IKEv2 verschilt sterk van pakketuitwisseling in IKEv1. In IKEv1 was er een duidelijk afgebakende fase1-uitwisseling die bestond uit zes (6) pakketten met een fase 2-uitwisseling daarna die bestond uit drie (3) pakketten; de IKEv2-uitwisseling is variabel. Zie IKEv2 Packet Exchange en Protocol Level Debugging voor meer informatie over de verschillen en een uitleg van de pakketuitwisseling.
Routerconfiguratie
In deze sectie worden de configuraties weergegeven die in dit document worden gebruikt.
Router 1
interface Loopback0
ip address 192.168.1.1 255.255.255.0
!
interface Tunnel0
ip address 172.16.0.101 255.255.255.0
tunnel source Ethernet0/0
tunnel mode ipsec ipv4
tunnel destination 10.0.0.2
tunnel protection ipsec profile phse2-prof
!
interface Ethernet0/0
ip address 10.0.0.1 255.255.255.0
crypto ikev2 proposal PHASE1-prop
encryption 3des aes-cbc-128
integrity sha1
group 2
!
crypto ikev2 policy site-pol
proposal PHASE1-prop
!
crypto ikev2 keyring KEYRNG
peer peer1
address 10.0.0.2 255.255.255.0
hostname host1
pre-shared-key local cisco
pre-shared-key remote cisco
!
crypto ikev2 profile IKEV2-SETUP
match identity remote address 0.0.0.0
authentication remote pre-share
authentication local pre-share
keyring local KEYRNG
lifetime 120
!
crypto ipsec transform-set TS esp-3des esp-sha-hmac
!
crypto ipsec profile phse2-prof
set transform-set TS
set ikev2-profile IKEV2-SETUP
!
ip route 0.0.0.0 0.0.0.0 10.0.0.2
ip route 192.168.2.1 255.255.255.255 Tunnel0
Router 2
crypto ikev2 proposal PHASE1-prop
encryption 3des aes-cbc-128
integrity sha1
group 2
!
crypto ikev2 keyring KEYRNG
peer peer2
address 10.0.0.1 255.255.255.0
hostname host2
pre-shared-key local cisco
pre-shared-key remote cisco
!
crypto ikev2 profile IKEV2-SETUP
match identity remote address 0.0.0.0
authentication remote pre-share
authentication local pre-share
keyring local KEYRNG
lifetime 120
!
crypto ipsec transform-set TS esp-3des esp-sha-hmac
!
!
crypto ipsec profile phse2-prof
set transform-set TS
set ikev2-profile IKEV2-SETUP
!
interface Loopback0
ip address 192.168.2.1 255.255.255.0
!
interface Ethernet0/0
ip address 10.0.0.2 255.255.255.0
!
interface Tunnel0
ip address 172.16.0.102 255.255.255.0
tunnel source Ethernet0/0
tunnel mode ipsec ipv4
tunnel destination 10.0.0.1
tunnel protection ipsec profile phse2-prof
!
ip route 0.0.0.0 0.0.0.0 10.0.0.1
ip route 192.168.1.1 255.255.255.255 Tunnel0
Problemen oplossen
Routerdebugs
Deze debug-opdrachten worden in dit document gebruikt:
deb crypto ikev2 packet
deb crypto ikev2 internal
| Router 1 (Initiator) Berichtbeschrijving | Debugs | Router 2 (Responder) - berichtbeschrijving | |
|---|---|---|---|
| Router 1 ontvangt een pakket dat overeenkomt met de crypto-oproep voor peer ASA 10.0.0.2. Initieert SA-creatie | *Nov 11 20:28:34.003: IKEv2:Got a packet from dispatcher |
||
| Het eerste paar berichten is de IKE_SA_INIT uitwisseling. Deze berichten onderhandelen met cryptografische algoritmen, ruilen nonces uit en doen een Diffie-Hellman-uitwisseling. Relevante configuratie: crypto ikev2 voorstel PHASE1-prop encryptie 3des aes-cbc-128 integriteit sha1 groep 2crypto ikev2 keyring KEYRING peer1-adres 10.0.0.2 255.255.255.0 hostname host1 pre-shared-key lokale Cisco pre-shared-key externe cisco |
*Nov 11 19:30:34.811: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=0000000000000000 (I) MsgID = 00000000 CurState: IDLE Event: EV_INIT_SA *Nov 11 19:30:34.811: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=0000000000000000 (I) MsgID = 00000000 CurState: I_BLD_INIT Event: EV_GET_IKE_POLICY *Nov 11 19:30:34.811: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BD5A59F0B_SPI=0000000000000000 (I) MsgID = 00000000 CurState: I_BLD_INIT Event:EV_SET_POLICY *11 nov 19:30:34.811: IKEv2:(SA-id = 1):Geselecteerd beleid instellen *Nov 11 19:30:34.811: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=0000000000000000 (I) MsgID = 00000000 CurState: I_BLD_INIT Event: EV_CHK_AUTH4PKI *Nov 11 19:30:34.811: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BD5A59F0B_SPI=0000000000000000 (I) MsgID = 00000000 CurState: I_BLD_INIT Event:EV_GEN_DH_KEY *Nov 11 19:30:34.811: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=0000000000000000 (I) MsgID = 00000000 CurState: I_BLD_INIT Event: EV_NO_EVENT *Nov 11 19:30:34.811: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=0000000000000000 (I) MsgID = 00000000 CurState: I_BLD_INIT Event: EV_OK_RECD_DH_PUBKEY_RESP *11 nov 19:30:34.811: IKEv2:(SA ID = 1):Actie: Action_Null *Nov 11 19:30:34.811: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=0000000000000000 (I) MsgID = 00000000 CurState: I_BLD_INIT Event: EV_GET_CONFIG_MODE_MODE *Nov 11 19:30:34.811: IKEv2:IKEv2 initiator - geen configuratiegegevens om IKE_SA_INIT exch in te sturen *Nov 11 19:30:34.811: IKEv2:Geen configuratiegegevens te verzenden naar toolkit: *Nov 11 19:30:34.811: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=0000000000000000 (I) MsgID = 00000000 CurState: I_BLD_INIT Event: EV_BLD_MSG *Nov 11 19:30:34.811: IKEv2:Construct Verkoper specifieke payload: Delete-ratio *Nov 11 19:30:34.811: IKEv2:Construct Vendor Specific Payload: (aangepast) *Nov 11 19:30:34.811: IKEv2:Construct Melden payload: NAT_DETECTION_SOURCE_IP *Nov 11 19:30:34.811: IKEv2:Construct Melden payload: NAT_DETECTION_DESTINY_IP |
||
| Initiator bouwt IKE_INIT_SA pakket. Het bevat: ISAKMP-header (SPI/version/flags), SAi1 (cryptografisch algoritme dat IKE-initiator ondersteunt), KEi (DH openbare toetswaarde van de initiator) en N (Initiator Nonce). | *Nov 11 19:30:34.811: IKEv2:(SA ID = 1):Volgende lading: SA, versie: 2.0 Type uitwisseling: IKE_SA_INIT, vlaggen: INITIATOR Bericht ID: 0, lengte: 344 Inhoud payload: SA Volgende payload: KE, gereserveerd: 0x0, lengte: 56 laatste voorstel: 0x0, gereserveerd: 0x0, lengte: 52 Voorstel: 1, Protocol id: IKE, SPI grootte: 0, #trans: 5 laatste transformatie: 0x3, gereserveerd: 0x0: lengte: 8 type: 1, gereserveerd: 0x0, id: 3DES laatste transformatie: 0x3, gereserveerd: 0x0: lengte: 12 type: 1, gereserveerd: 0x0, id: AES-CBC laatste transformatie: 0x3, gereserveerd: 0x0: lengte: 8 type: 2, gereserveerd: 0x0, id: SHA1 laatste transformatie: 0x3, gereserveerd: 0x0: lengte: 8 type: 3, gereserveerd: 0x0, id: SHA96 laatste transformatie: 0x0, gereserveerd: 0x0: lengte: 8 type: 4, gereserveerd: 0x0, id: DH_GROUP_1024_MODP/groep 2 KE Volgende payload: N, gereserveerd: 0x0, lengte: 136 DH groep: 2, Gereserveerd: 0x0 N Volgende payload: VID, gereserveerd: 0x0, lengte: 24 VID Volgende payload: VID, gereserveerd: 0x0, lengte: 23 VID Volgende payload: MELDEN, gereserveerd: 0x0, lengte: 21 MELDEN(NAT_DETECTION_SOURCE_IP) Volgende payload: MELDEN, gereserveerd: 0x0, lengte: 28 Security protocol-id: IKE, spi-grootte: 0, type: NAT_DETECTION_SOURCE_IP MELDEN(NAT_DETECTION_DESTY_IP) Volgende payload: NONE, gereserveerd: 0x0, lengte: 28 Security protocol-id: IKE, spi-grootte: 0, type: NAT_DETECTION_DESTINY_IP |
||
|
|
|||
| *Nov 11 19:30:34.814: IKEv2:Krijg een pakket van verzender |
Responder ontvangt IKE_INIT_SA. | ||
| *Nov 11 19:30:34.814: IKEv2:Volgende payload: SA, versie: 2.0 Exchange type: IKE_SA_INIT, vlaggen: INITIATOR Message id: 0, lengte: 344 |
Responder initieert SA creatie voor die peer. | ||
| *Nov 11 19:30:34.814: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B_SPI=F94020DD8CB4B9C4 (R) MsgID = 00000000 CurState: IDLE Event:EV_RECV_INIT |
Responder verifieert en verwerkt het IKE_INIT bericht: (1) kiest crypto suite uit die welke door de initiator worden aangeboden, (2) berekent zijn eigen DH geheime sleutel, en (3) het berekent een skeyid waarde, waaruit alle sleutels voor deze IKE_SA kunnen worden afgeleid. Alle behalve de kopregels van alle berichten die volgen worden versleuteld en geverifieerd. De sleutels die voor de encryptie en integriteitsbescherming worden gebruikt zijn afgeleid van SKEYID en zijn bekend als: SK_e (encryptie), SK_a (authenticatie), SK_d wordt afgeleid en gebruikt voor de afleiding van verder sleutelmateriaal voor CHILD_SAs, en een afzonderlijke SK_e en SK_a wordt berekend voor elke richting. Relevante configuratie: crypto ikev2 voorstel PHASE1-prop encryptie 3des aes-cbc-128 integriteit sha1 groep 2 crypto ikev2 sleutelring KEYRING peer2 adres 10.0.0.1 25.255.255.0 hostname host2 pre-shared-key local cisco pre-shared-key remote cisco |
||
| *Nov 11 19:30:34.822: IKEv2:(SA ID = 1):Volgende payload: SA, versie: 2.0 Wisseltype: IKE_SA_INIT, vlaggen: RESPONDER MSG-RESPONSE Bericht: 0, lengte: 449 |
Router 2 bouwt het antwoordbericht voor IKE_SA_INIT uitwisseling, die door ASA1 wordt ontvangen. Dit pakket bevat: ISAKMP-header (SPI/versie/vlaggen), SAr1 (cryptografisch algoritme dat door IKE-responder wordt gekozen), KEr (DH openbare toetswaarde van het responder) en Responder-naam. | ||
| *Nov 11 19:30:34.822: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=F94020DD8CB4B9C4 (R) MsgID = 00000000 CurState: INIT_done Event: EV_DON_DON |
Router2 stuurt het antwoordbericht naar router 1. | ||
|
|
|||
| Router 1 ontvangt het IKE_SA_INIT reactiepakket van router 2. | *Nov 11 19:30:34.823: IKEv2:Krijg een pakket van verzender |
I_SPI=F074D8BBD5A59F0B R_SPI=F94020DD8CB4B9C4 (R) MsgID = 00000000 CurState: INIT_DID Event:EV_START_TMR. |
Responder start timer voor autorisatieproces. |
| Router1 verifieert en verwerkt de reactie: (1) de initiator DH geheime sleutel wordt gegevens verwerkt, en (2) initiator skeyid wordt ook geproduceerd. | *Nov 11 19:30:34.823: IKEv2:(SA ID = 1):Volgende payload: SA, versie: 2.0 Wisseltype: IKE_SA_INIT, vlaggen: RESPONDER MSG-RESPONSE Bericht id: 0, lengte: 449 *Nov 11 19:30:34.824: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=F94020DD8CB4B9C4 (I) MsgID = 00000000 CurState: I_wait_INIT Gebeurtenis: EV_RECV_INIT |
||
| Initiator start IKE_AUTH-uitwisseling en genereert de payload van de authenticatie. Het IKE_AUTH-pakket bevat: ISAKMP-header (SPI/versie/vlaggen), IDi (initiator-identiteit), AUTH-payload, SAi2 (initieert de SA-soortgelijk aan de fase 2 transformatie-set-uitwisseling in IKEv1), en TSi en TSr (Initiator en Responder Traffic selectors). Ze bevatten het bron- en doeladres van de initiator en de responder voor respectievelijk het doorsturen en ontvangen van versleuteld verkeer. Het adresbereik specificeert dat al het verkeer naar en van dat bereik wordt getunneld. Als het voorstel acceptabel is voor de respondent, stuurt het identieke TS-payloads terug. Het eerste CHILD_SA wordt aangemaakt voor het proxy_ID-paar dat overeenkomt met het trigger-pakket. Relevante configuratie: crypto ipsec transformatie-set TS esp-3des esp-sha-hmac crypto ipsec profiel phse2-prof set transformatie-set TS set ikev2-profiel IKEV2-SETUP |
*Nov 11 19:30:34.831: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B_SPI=F94020DD8CB4B9C4 (I) MsgID = 00000000 CurState: I_BLD_AUTH Event:EV_GEN_AUTH *nov 11 19:30:34.831: SA Volgende lading: TSi, gereserveerd: 0x0, lengte: 40 MELDEN(INITIËLE_CONTACT) Volgende payload: MELDEN, gereserveerd: 0x0, lengte: 8 |
||
|
|
|||
| *Nov 11 19:30:34.832: IKEv2:Krijg een pakket van verzender |
Router 2 ontvangt en verifieert de authentificatiegegevens die van router 1 worden ontvangen. Relevante configuratie: crypto ipsec ikev2 ipsec-voorstel AES256 protocol esp-encryptie aes-256 protocol esp-integriteit sha-1 md5 |
||
| *Nov 11 19:30:34.832: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=F94020DD8CB4B9C4 (R) MsgID = 00000001 CurState: R_wait_AUTH Event: EV_RECV_AUTH |
Router 2 bouwt de reactie op IKE_AUTH-pakket dat het van router 1 ontving. Dit responspakket bevat: ISAKMP-header (SPI/versie/vlaggen), IDr. (responder-identiteit), AUTH-payload, SAr2 (initieert de SA-soortgelijk aan de fase 2-transformatieset-uitwisseling in IKEv1) en TSi en TSr (Initiator en Responder Traffic Selectors). Ze bevatten het bron- en doeladres van de initiator en de responder voor respectievelijk het doorsturen en ontvangen van versleuteld verkeer. Het adresbereik specificeert dat al het verkeer naar en van dat bereik wordt getunneld. Deze parameters zijn identiek aan de parameters die van ASA1 werden ontvangen. | ||
| *Nov 11 19:30:34.833: IKEv2:(SA ID = 1):Volgende lading: ENCR, versie: 2.0 Wisseltype: IKE_AUTH, vlaggen: RESPONDER MSG-RESPONSE Bericht ID: 1, lengte: 252 |
Responder verzendt de reactie voor IKE_AUTH. | ||
|
|
|||
| Initiator ontvangt antwoord van Responder. | *Nov 11 19:30:34.834: IKEv2:Krijg een pakket van verzender |
*Nov 11 19:30:34.840: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=F94020DD8CB4B9C4 (R) MsgID = 00000001 CurState: AUTH_DID Event: EV_OK_RECD_LOAD_IPSEC_ID |
De respondent voert een vermelding in het ED in. |
| Router 1 verifieert en verwerkt de verificatiegegevens in dit pakket. Router 1 voegt vervolgens deze SA in in zijn SAD. | *Nov 11 19:30:34.834: IKEv2:(SA ID = 1):Volgende lading: ENCR, versie: 2.0 Wisseltype: IKE_AUTH, vlaggen: RESPONDER MSG-RESPONSE Berichtnummer: 1, lengte: 252 |
||
| Tunnel is omhoog op de Initiator en de status toontBEREID. | *Nov 11 19:30:34.841: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B_SPI=F94020DD8CB4B9C4 (I) MsgID = 00000001 CurState: READYEvent: EV_CHK_IKE_ONLY |
*Nov 11 19:30:34.840: IKEv2:(SA ID = 1):SM Trace-> SA: I_SPI=F074D8BBD5A59F0B R_SPI=F94020DD8CB4B9C4 (R) MsgID = 00000001 CurState: Ready Event: EV_R_OK |
Tunnel is omhoog op de Responder. De Responder tunnel komt gewoonlijk vóór de Initiator omhoog. |
CHILD_SA-debugs
Deze uitwisseling bestaat uit één verzoek/antwoordpaar en werd in IKEv1 een fase 2-uitwisseling genoemd. Het kan worden geïnitieerd tegen één van beide eind van IKE_SA nadat de aanvankelijke uitwisselingen zijn voltooid.
| Router 1 CHILD_SA Berichtbeschrijving | Debugs | Router 2 CHILD_SA Berichtbeschrijving |
|---|---|---|
Router 1 initieert de CHILD_SA exchange. Dit is het CREATE_CHILD_SA verzoek. Het CHILD_SA-pakket bevat doorgaans:
|
*Nov 11 19:31:35.873: IKEv2:Krijg een pakket van verzender |
|
| *Nov 11 19:31:35.869: IKEv2:(SA ID = 2):Volgende payload: ENCR, versie: 2.0 Wisseltype: CREATE_CHILD_SA, vlaggen: INITIATOR Bericht ID: 2, lengte: 460 *Nov 11 19:31:35.873: IKEv2:Construct Melden payload: SET_VENSTER_SIZE |
Dit pakket wordt ontvangen door router 2. | |
| *Nov 11 19:31:35.882: IKEv2:(SA ID = 2):Volgende payload: ENCR, versie: 2.0 Wisseltype: CREATE_CHILD_SA, vlaggen: RESPONDER MSG-RESPONSE Berichtnummer: 3, lengte: 300 |
Router 2 bouwt nu het antwoord voor de uitwisseling CHILD_SA. Dit is het CREATE_CHILD_SA antwoord. Het CHILD_SA-pakket bevat doorgaans:
|
|
| Router 1 ontvangt het reactiepakket van router 2 en voltooit de activering van CHILD_SA. | *Nov 11 19:31:35.882: IKEv2:(SA ID = 2):Volgende payload: ENCR, versie: 2.0 Exchange type: CREATE_CHILD_SA, vlaggen: RESPONDER MSG-RESPONSE Message id: 3, lengte: 300 |
Tunnelverificatie
ISAKMP
Opdracht
show crypto ikev2 sa detailed
Router 1-uitgang
Router1#show crypto ikev2 sa detailed
IPv4 Crypto IKEv2 SA
Tunnel-id Local Remote fvrf/ivrf Status
1 10.0.0.1/500 10.0.0.2/500 none/none READY
Encr: AES-CBC, keysize: 128,
Hash: SHA96, DH Grp:2,
Auth sign: PSK, Auth verify: PSK
Life/Active Time: 120/10 sec
CE id: 1006, Session-id: 4
Status Description: Negotiation done
Local spi: E58F925107F8B73F Remote spi: AFD098F4147869DA
Local id: 10.0.0.1
Remote id: 10.0.0.2
Local req msg id: 2 Remote req msg id: 0
Local next msg id: 2 Remote next msg id: 0
Local req queued: 2 Remote req queued: 0
Local window: 5 Remote window: 5
DPD configured for 0 seconds, retry 0
NAT-T is not detected
Cisco Trust Security SGT is disabled
Initiator of SA : Yes
Router 2-uitgang
Router2#show crypto ikev2 sa detailed
IPv4 Crypto IKEv2 SA
Tunnel-id Local Remote fvrf/ivrf Status
2 10.0.0.2/500 10.0.0.1/500 none/none READY
Encr: AES-CBC, keysize: 128, Hash: SHA96,
DH Grp:2, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 120/37 sec
CE id: 1006, Session-id: 4
Status Description: Negotiation done
Local spi: AFD098F4147869DA Remote spi: E58F925107F8B73F
Local id: 10.0.0.2
Remote id: 10.0.0.1
Local req msg id: 0 Remote req msg id: 2
Local next msg id: 0 Remote next msg id: 2
Local req queued: 0 Remote req queued: 2
Local window: 5 Remote window: 5
DPD configured for 0 seconds, retry 0
NAT-T is not detected
Cisco Trust Security SGT is disabled
Initiator of SA : No
IPSEC
Opdracht
show crypto ipsec sa
Opmerking: in deze output, in tegenstelling tot in IKEv1, wordt de waarde van de PFS DH groep weergegeven als "PFS (Y/N): N, DH groep: none" tijdens de eerste tunnelonderhandeling, maar na een rekey, verschijnen de juiste waarden. Dit is geen bug, hoewel het gedrag is beschreven in Cisco bug-id CSC67056. (Alleen geregistreerde Cisco-gebruikers kunnen toegang krijgen tot interne Cisco-tools of -informatie.)
Het verschil tussen IKEv1 en IKEv2 is dat in het laatste geval de Child SA’s worden gecreëerd als onderdeel van de AUTH-uitwisseling zelf. De DH Group geconfigureerd onder de crypto kaart zou alleen worden gebruikt tijdens rekey. Vandaar dat je 'PFS (Y/N): N, DH groep: none' ziet tot de eerste rekey.
Met IKEv1, ziet u een ander gedrag, omdat Child SA creatie gebeurt tijdens Quick Mode, en het CREATE_CHILD_SA bericht heeft een voorziening om de Key Exchange payload te dragen die de DH parameters specificeert om een nieuw gedeeld geheim af te leiden.
Router 1-uitgang
Router1#show crypto ipsec sa
interface: Tunnel0
Crypto map tag: Tunnel0-head-0,
local addr 10.0.0.1
protected vrf: (none)
local ident (addr/mask/prot/port):
(0.0.0.0/0.0.0.0/256/0)
remote ident (addr/mask/prot/port):
(0.0.0.0/0.0.0.0/256/0)
current_peer 10.0.0.2 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 10, #pkts encrypt:
10, #pkts digest: 10
#pkts decaps: 10, #pkts decrypt:
10, #pkts verify: 10
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 10.0.0.1,
remote crypto endpt.: 10.0.0.2
path mtu 1500, ip mtu 1500, ip mtu idb Ethernet0/0
current outbound spi: 0xF6083ADD(4127734493)
PFS (Y/N): N, DH group: none
inbound esp sas:
spi: 0x6B74CB79(1802816377)
transform: esp-3des esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 18, flow_id: SW:18,
sibling_flags 80000040,
crypto map: Tunnel0-head-0
sa timing: remaining key lifetime (k/sec):
(4276853/3592)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE)
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xF6083ADD(4127734493)
transform: esp-3des esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 17, flow_id: SW:17,
sibling_flags 80000040,
crypto map: Tunnel0-head-0
sa timing: remaining key
lifetime (k/sec): (4276853/3592)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE)
outbound ah sas:
outbound pcp sas:
Router 2-uitgang
Router2#show crypto ipsec sa
interface: Tunnel0
Crypto map tag: Tunnel0-head-0, local addr 10.0.0.2
protected vrf: (none)
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/256/0)
remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/256/0)
current_peer 10.0.0.1 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 5, #pkts encrypt: 5, #pkts digest: 5
#pkts decaps: 5, #pkts decrypt: 5, #pkts verify: 5
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: 10.0.0.2,
remote crypto endpt.: 10.0.0.1
path mtu 1500, ip mtu 1500, ip mtu idb Ethernet0/0
current outbound spi: 0x6B74CB79(1802816377)
PFS (Y/N): N, DH group: none
inbound esp sas:
spi: 0xF6083ADD(4127734493)
transform: esp-3des esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 17, flow_id: SW:17,
sibling_flags 80000040,
crypto map: Tunnel0-head-0
sa timing: remaining key lifetime
(k/sec): (4347479/3584)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE)
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0x6B74CB79(1802816377)
transform: esp-3des esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 18, flow_id: SW:18,
sibling_flags 80000040,
crypto map: Tunnel0-head-0
sa timing: remaining key
lifetime (k/sec): (4347479/3584)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE(ACTIVE)
outbound ah sas:
outbound pcp sas:
U kunt ook de uitvoer van de opdracht show crypto sessie op beide routers controleren; deze uitvoer toont de status van de tunnelsessie als UP-ACTIVE.
Router1#show crypto session
Crypto session current status
Interface: Tunnel0
Session status: UP-ACTIVE
Peer: 10.0.0.2 port 500
IKEv2 SA: local 10.0.0.1/500 remote 10.0.0.2/500 Active
IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0
Active SAs: 2, origin: crypto map
Router2#show cry session
Crypto session current status
Interface: Tunnel0
Session status: UP-ACTIVE
Peer: 10.0.0.1 port 500
IKEv2 SA: local 10.0.0.2/500 remote 10.0.0.1/500 Active
IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0
Active SAs: 2, origin: crypto map
Gerelateerde informatie
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
2.0 |
12-Apr-2023 |
Opmaak bijwerken. Hercertificering. |
1.0 |
28-Jan-2013 |
Eerste vrijgave |
Bijgedragen door Cisco-engineers
- Anu M ChackoCisco Technical Marketing Leader
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)