Deze voorbeeldconfiguratie laat zien hoe u Cisco VPN-clientversie 3.5 voor Windows en Cisco Secure PIX-firewall kunt configureren voor gebruik met de Microsoft Windows 2000 en 2003 Internet Verificatie Service (IAS) RADIUS-server. Raadpleeg Microsoft - checklist: Het configureren van IAS voor inbeltoegang en VPN-toegang voor meer informatie over IAS.
Raadpleeg PIX/ASA 7.x en Cisco VPN-client 4.x voor Windows met Microsoft Windows 2003 IAS RADIUS-verificatievoorbeeld voor meer informatie over hetzelfde scenario in PIX/ASA 7.0 met Cisco VPN-client 4.x.
Zorg ervoor dat u aan deze vereisten voldoet voordat u deze configuratie probeert:
Cisco Secure PIX-firewall, softwarerelease 6.0, ondersteunt VPN-verbindingen van Cisco VPN-client 3.5 voor Windows.
Deze voorbeeldconfiguratie is gebaseerd op de veronderstelling dat PIX al werkt met de juiste statcs, conduits of toegangslijsten. Het huidige document is niet van plan deze basisconcepten te illustreren, maar om connectiviteit op de PIX van een Cisco VPN-client te tonen.
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
PIX-firewall-softwarerelease 6.1.1
Opmerking: Dit is getest op PIX-softwarerelease 6.1.1, maar moet werken aan alle 6.x-releases.
Cisco VPN-clientversie 3.5 voor Windows
Windows 2000- en 2003-server met IAS
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.
Raadpleeg de Cisco Technical Tips Convention voor meer informatie over documentconventies.
Deze sectie bevat informatie over het configureren van de functies die in dit document worden beschreven.
Opmerking: Gebruik het Opname Gereedschap (alleen geregistreerde klanten) om meer informatie te verkrijgen over de opdrachten die in deze sectie worden gebruikt.
Het netwerk in dit document is als volgt opgebouwd:
Dit document gebruikt deze configuraties.
PIX-firewall |
---|
pixfirewall(config)#write terminal Building configuration... : Saved : PIX Version 6.1(1) nameif ethernet0 outside security0 nameif ethernet1 inside security100 enable password 8Ry2YjIyt7RRXU24 encrypted passwd 2KFQnbNIdI.2KYOU encrypted hostname pixfirewall fixup protocol ftp 21 fixup protocol http 80 fixup protocol h323 1720 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol sip 5060 fixup protocol skinny 2000 names !--- Issue the access-list command to avoid !--- Network Address Translation (NAT) on the IPsec packets. access-list 101 permit ip 10.1.1.0 255.255.255.0 10.1.2.0 255.255.255.0 pager lines 24 interface ethernet0 auto interface ethernet1 auto mtu outside 1500 mtu inside 1500 ip address outside 14.36.100.50 255.255.0.0 ip address inside 172.18.124.152 255.255.255.0 ip audit info action alarm ip audit attack action alarm ip local pool ippool 10.1.2.1-10.1.2.254 pdm history enable arp timeout 14400 global (outside) 1 14.36.100.51 !--- Binding access list 101 to the NAT statement to avoid !--- NAT on the IPsec packets. nat (inside) 0 access-list 101 Nat (inside) 1 0.0.0.0 0.0.0.0 0 0 route outside 0.0.0.0 0.0.0.0 14.36.1.1 1 route inside 10.1.1.0 255.255.255.0 172.18.124.1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute !--- Enable access to the RADIUS protocol. aaa-server RADIUS protocol radius !--- Associate the partnerauth protocol to RADIUS. aaa-server partnerauth protocol radius aaa-server partnerauth (inside) host 172.18.124.196 cisco123 timeout 5 no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable !--- Tell PIX to implicitly permit IPsec traffic. sysopt connection permit-ipsec no sysopt route dnat !--- Configure a transform set that defines how the traffic is protected. crypto ipsec transform-set myset esp-des esp-md5-hmac !--- Create a dynamic crypto map and specify which !--- transform sets are allowed for this dynamic crypto map entry. crypto dynamic-map dynmap 10 set transform-set myset !--- Add the dynamic crypto map set into a static crypto map set. crypto map mymap 10 ipsec-isakmp dynamic dynmap !--- Enable the PIX to launch the Xauth application on the VPN Client. crypto map mymap client authentication partnerauth !--- Apply the crypto map to the outside interface. crypto map mymap interface outside !--- IKE Policy Configuration. isakmp enable outside isakmp identity address isakmp policy 10 authentication pre-share isakmp policy 10 encryption des isakmp policy 10 hash md5 isakmp policy 10 group 2 isakmp policy 10 lifetime 86400 !--- IPsec group configuration for VPN Client. vpngroup vpn3000 address-pool ippool vpngroup vpn3000 dns-server 10.1.1.2 vpngroup vpn3000 wins-server 10.1.1.2 vpngroup vpn3000 default-domain cisco.com vpngroup vpn3000 idle-time 1800 vpngroup vpn3000 password ******** telnet timeout 5 ssh timeout 5 terminal width 80 Cryptochecksum:3f9e31533911b8a6bb5c0f06900c2dbc : end [OK] pixfirewall(config)# |
In deze sectie wordt uitgelegd hoe u Cisco VPN-client 3.5 voor Windows configureren.
Start de VPN-client en klik op New om een nieuwe verbinding te maken.
In het dialoogvenster Toegang tot verbinding selecteert u een naam aan uw ingang.
Voer het IP-adres in van de openbare interface van de PIX.
Voer onder Informatie over groepstoegang de groepsnaam en het groepswachtwoord in.
Klik op Voltooien om het profiel in de registratie op te slaan.
Klik op Connect om verbinding te maken met de PIX.
Voltooi deze stappen om de Microsoft Windows 2000-server met IAS te configureren. Dit is een zeer basisopstelling om een Windows 2000 IAS server te gebruiken voor RADIUS-verificatie van VPN-gebruikers. Als u een complexer ontwerp nodig hebt, neem dan contact op met Microsoft voor ondersteuning.
Toelichting: In deze stappen wordt ervan uitgegaan dat reeds IAS op de lokale machine is geïnstalleerd. Als dit niet het geval is, kunt u dit toevoegen via Configuratiescherm > Software.
Start de Microsoft Management Console. Kies Start > Uitvoeren en type mmc. Klik vervolgens op OK.
Kies console > Magnetisch-in toevoegen...om de IAS-dienst aan deze console toe te voegen.
Klik op Add om een nieuw venster te lanceren met alle beschikbare standalone magnetisch-ins. Klik op Internet Authentication Service (IAS) en klik op Add.
Controleer of de lokale computer is geselecteerd en klik op Voltooien. Klik vervolgens op Sluiten.
Merk op dat IAS nu wordt toegevoegd. Klik op OK om te zien dat deze aan de console Root is toegevoegd.
Sluit de Internet Verificatieservice uit en klik met de rechtermuisknop op Clients. Klik op New Client en voer een naam in. De keuze van de naam doet er eigenlijk niet toe. dat is wat je in deze visie ziet . Zorg ervoor dat u RADIUS selecteert en op Volgende klikt.
Vul het clientadres in met het PIX-interfaceadres waarop de IAS-server is aangesloten. Zorg ervoor dat u de RADIUS-standaard selecteert en voeg het gedeelde geheim toe om de opdracht die u in de PIX hebt ingevoerd, aan te passen:
aaa-server partnerauth (inside) host 172.18.124.196 cisco123 timeout 5
Opmerking: In dit voorbeeld is "cisco123" het gedeelde geheim.
Klik op Voltooien om terug te keren naar de Console Root.
Klik op Afstandstoegangsbeleid in het linker deelvenster en dubbelklik op het aangegeven beleid Toestaan van toegang indien inbeltoestemming is ingeschakeld.
Klik op Profiel bewerken en ga naar het tabblad Verificatie. Controleer onder Verificatiemethoden of alleen Niet-versleutelde verificatie (PAP, SPAP) is ingeschakeld.
Opmerking: De VPN-client kan deze methode alleen gebruiken voor verificatie.
Klik op Toepassen en vervolgens OK tweemaal.
Als u de gebruikers wilt wijzigen om een verbinding toe te staan, kiest u console > Toevoegen/Verwijderen Magnetisch-in. Klik op Add en selecteer vervolgens de lokale gebruikers en groepen die aan de lijn zitten. Klik op Add (Toevoegen). Zorg dat u Local Computer selecteert en op Finish klikt. Klik op OK.
Local User en Group uitvouwen en klik op de map Gebruikers in het linker deelvenster. Dubbelklik in het rechter venster op de gebruiker die u toegang wilt verlenen.
Klik op het tabblad Inbellen en selecteer Toegang toestaan onder Toestemming op afstand (Inbellen of VPN).
Klik op Toepassen en OK om de actie te voltooien. U kunt het scherm voor Console Management sluiten en de sessie indien gewenst opslaan.
De gebruikers die u hebt aangepast, zouden nu de PIX kunnen benaderen met de VPN-client 3.5. Houd in gedachten dat de IAS-server alleen de gebruikersinformatie echt maakt. De PIX doet nog steeds de groepsverificatie.
Voltooi deze stappen om de Microsoft Windows 2003-server met IAS te configureren.
Toelichting: In deze stappen wordt ervan uitgegaan dat reeds IAS op de lokale machine is geïnstalleerd. Als dit niet het geval is, kunt u dit toevoegen via Configuratiescherm > Software.
Kies Administratieve Gereedschappen > Internet-verificatieservice en klik met de rechtermuisknop op RADIUS-client om een nieuwe RADIUS-client toe te voegen. Klik nadat u de clientinformatie hebt getypt op OK.
Dit voorbeeld toont een client genaamd "Pix" met een IP-adres van 10.66.79.44. De client-verkoper wordt op RADIUS-standaard ingesteld en het gedeelde geheim is "cisco123".
Ga naar beleid voor externe toegang, klik met de rechtermuisknop op Aansluitingen met andere toegangsservers en selecteer Eigenschappen.
Zorg ervoor dat de optie voor Grant Remote Access Permissions is geselecteerd.
Klik op Profiel bewerken en controleer deze instellingen.
Controleer op het tabblad Verificatie Niet-versleutelde verificatie (PAP, SPAP).
Zorg ervoor dat in het tabblad Encryptie de optie Geen encryptie is geselecteerd.
Klik op OK wanneer u klaar bent.
Voeg een gebruiker toe aan de lokale computeraccount. Kies hiervoor beheertools > Computer Management > Systeemtools > Local Gebruikers en groepen.. Klik met de rechtermuisknop op Gebruikers en selecteer Nieuwe gebruikers.
Voeg gebruiker toe met het wachtwoord van Cisco "cisco123" en controleer deze profielinformatie.
Zorg er in het tabblad Algemeen voor dat de optie voor Wachtwoord dat nooit is verlopen is geselecteerd in plaats van de optie voor Gebruiker moet Wachtwoord wijzigen.
Selecteer in het tabblad Inbellen de optie Toegang toestaan (of laat de standaardinstelling van de Control-toegang via het Afstandsbeleid) instellen.
Klik op OK wanneer u klaar bent.
Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.
Het Uitvoer Tolk (uitsluitend geregistreerde klanten) (OIT) ondersteunt bepaalde show opdrachten. Gebruik de OIT om een analyse van tonen opdrachtoutput te bekijken.
toon crypto isakmp sa-Toont alle huidige IKE security associaties (SAs) bij een peer.
toon crypto ipsec sa-Toont de instellingen die worden gebruikt door huidige beveiligingsassociaties.
Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen. Raadpleeg voor extra informatie de optie Problemen oplossen bij de PIX om gegevensverkeer door te geven op een bestaande IPSec-tunnelband.
Bepaalde opdrachten worden ondersteund door de uitvoertolk (alleen geregistreerde klanten), waardoor u een analyse kunt bekijken van de opdrachtoutput.
Opmerking: Raadpleeg Belangrijke informatie over debug Commands voordat u debug-opdrachten gebruikt en verwijs naar IP-beveiligingsproblemen oplossen - Opdrachten begrijpen en gebruiken van debug-opdrachten.
debug crypto ipsec: Bekijk de IPSec-onderhandelingen van fase 2.
debug van crypto isakmp - Bekijk de ISAKMP-onderhandelingen van fase 1.
debug van crypto motor - Bekijk het verkeer dat is versleuteld.
pixfirewall(config)# crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 VPN Peer: ISAKMP: Added new peer: ip:14.36.100.55 Total VPN Peers:1 VPN Peer: ISAKMP: Peer ip:14.36.100.55 Ref cnt incremented to:1 Total VPN Peers:1 OAK_AG exchange ISAKMP (0): processing SA payload. message ID = 0 ISAKMP (0): Checking ISAKMP transform 1 against priority 10 policy ISAKMP: encryption 3DES-CBC ISAKMP: hash SHA ISAKMP: default group 2 ISAKMP: extended auth pre-share ISAKMP: life type in seconds ISAKMP: life duration (VPI) of 0x0 0x20 0xc4 0x9b ISAKMP (0): atts are not acceptable. Next payload is 3 ISAKMP (0): Checking ISAKMP transform 2 against priority 10 policy ISAKMP: encryption 3DES-CBC ISAKMP: hash MD5 ISAKMP: default group 2 ISAKMP: extended auth pre-share ISAKMP: life type in seconds ISAKMP: life duration (VPI) of 0x0 0x20 0xc4 0x9b ISAKMP (0): atts are not acceptable. Next payload is 3 ISAKMP (0): Checking ISAKMP transform 3 against priority 10 policy ISAKMP: encryption 3DES-CBC ISAKMP: hash SHA ISAKMP: default group 2 ISAKMP: auth pre-share ISAKMP: life type in seconds ISAKMP: life duration (VPI) of 0x0 0x20 0xc4 0x9b ISAKMP (0): atts are not acceptable. Next payload is 3 ISAKMP (0): Checking ISAKMP transform 4 against priority 10 policy ISAKMP: encryption 3DES-CBC ISAKMP: hash MD5 ISAKMP: default group 2 ISAKMP: auth pre-share ISAKMP: life type in seconds ISAKMP: life duration (VPI) of 0x0 0x20 0xc4 0x9b ISAKMP (0): atts are not acceptable. Next payload is 3 ISAKMP (0): Checking ISAKMP transform 5 against priority 10 policy ISAKMP: encryption DES-CBC ISAKMP: hash SHA ISAKMP: default group 2 ISAKMP: extended auth pre-share ISAKMP: life type in seconds ISAKMP: life duration (VPI) of 0x0 0x20 0xc4 0x9b ISAKMP (0): atts are not acceptable. Next payload is 3 ISAKMP (0): Checking ISAKMP transform 6 against priority 10 policy ISAKMP: encryption DES-CBC ISAKMP: hash MD5 ISAKMP: default group 2 ISAKMP: extended auth pre-share ISAKMP: life type in seconds ISAKMP: life duration (VPI) of 0x0 0x20 0xc4 0x9b ISAKMP (0): atts are acceptable. Next payload is 3 ISAKMP (0): processing KE payload. message ID = 0 ISAKMP (0): processing NONCE payload. message ID = 0 ISAKMP (0): processing ID payload. message ID = 0 ISAKMP (0): processing vendor id payload ISAKMP (0): processing vendor id payload ISAKMP (0): remote peer supports dead peer detection ISAKMP (0): processing vendor id payload ISAKMP (0): speaking to a Unity client ISAKMP: Created a peer node for 14.36.100.55 ISAKMP (0): ID payload next-payload : 10 type : 1 protocol : 17 port : 500 length : 8 ISAKMP (0): Total payload length: 12 return status is IKMP_NO_ERROR crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 OAK_AG exchange ISAKMP (0): processing HASH payload. message ID = 0 ISAKMP (0): processing NOTIFY payload 24578 protocol 1 spi 0, message ID = 0 ISAKMP (0): processing notify INITIAL_CONTACTIPSEC(key_engine): got a queue event... IPSEC(key_engine_delete_sas): rec'd delete notify from ISAKMP IPSEC(key_engine_delete_sas): delete all SAs shared with 14.36.100.55 ISAKMP (0): SA has been authenticated return status is IKMP_NO_ERROR ISAKMP/xauth: request attribute XAUTH_TYPE ISAKMP/xauth: request attribute XAUTH_USER_NAME ISAKMP/xauth: request attribute XAUTH_USER_PASSWORD ISAKMP (0:0): initiating peer config to 14.36.100.55. ID = 3870616596 (0xe6b4ec14) crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 ISAKMP_TRANSACTION exchange ISAKMP (0:0): processing transaction payload from 14.36.100.55. message ID = 84 ISAKMP: Config payload CFG_REPLY return status is IKMP_ERR_NO_RETRANS ISAKMP (0:0): initiating peer config to 14.36.100.55. ID = 3612718114 (0xd755b422) crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 ISAKMP_TRANSACTION exchange ISAKMP (0:0): processing transaction payload from 14.36.100.55. message ID = 60 ISAKMP: Config payload CFG_ACK return status is IKMP_NO_ERROR crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 ISAKMP_TRANSACTION exchange ISAKMP (0:0): processing transaction payload from 14.36.100.55. message ID = 0 ISAKMP: Config payload CFG_REQUEST ISAKMP (0:0): checking request: ISAKMP: attribute IP4_ADDRESS (1) ISAKMP: attribute IP4_NETMASK (2) ISAKMP: attribute IP4_DNS (3) ISAKMP: attribute IP4_NBNS (4) ISAKMP: attribute ADDRESS_EXPIRY (5) Unsupported Attr: 5 ISAKMP: attribute APPLICATION_VERSION (7) Unsupported Attr: 7 ISAKMP: attribute UNKNOWN (28672) Unsupported Attr: 28672 ISAKMP: attribute UNKNOWN (28673) Unsupported Attr: 28673 ISAKMP: attribute UNKNOWN (28674) ISAKMP: attribute UNKNOWN (28676) ISAKMP: attribute UNKNOWN (28679) Unsupported Attr: 28679 ISAKMP: attribute UNKNOWN (28680) Unsupported Attr: 28680 ISAKMP: attribute UNKNOWN (28677) Unsupported Attr: 28677 ISAKMP (0:0): responding to peer config from 14.36.100.55. ID = 3979868003 return status is IKMP_NO_ERROR crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 OAK_QM exchange oakley_process_quick_mode: OAK_QM_IDLE ISAKMP (0): processing SA payload. message ID = 1527320241 ISAKMP : Checking IPSec proposal 1 ISAKMP: transform 1, ESP_3DES ISAKMP: attributes in transform: ISAKMP: authenticator is HMAC-MD5 ISAKMP: encaps is 1 ISAKMP: SA life type in seconds ISAKMP: SA life duration (VPI) of 0x0 0x20 0xc4 0x9b IPSEC(validate_proposal): transform proposal (prot 3, trans 3, hmac_alg 1) not supported ISAKMP (0): atts not acceptable. Next payload is 0 ISAKMP (0): skipping next ANDed proposal (1) ISAKMP : Checking IPSec proposal 2 ISAKMP: transform 1, ESP_3DES ISAKMP: attributes in transform: ISAKMP: authenticator is HMAC-SHA ISAKMP: encaps is 1 ISAKMP: SA life type in seconds ISAKMP: SA life duration (VPI) of 0x0 0x20 0xc4 0x9b IPSEC(validate_proposal): transform proposal (prot 3, trans 3, hmac_alg 2) not supported ISAKMP (0): atts not acceptable. Next payload is 0 ISAKMP (0): skipping next ANDed proposal (2) ISAKMP : Checking IPSec proposal 3 ISAKMP: transform 1, ESP_3DES ISAKMP: attributes in transform: ISAKMP: authenticator is HMAC-MD5 ISAKMP: encaps is 1 ISAKMP: SA life type in seconds ISAKMP: SA life duration (VPI) of 0x0 0x20 0xc4 0x9b IPSEC(validate_proposal): transform proposal (prot 3, trans 3, hmac_alg 1) not supported ISAKMP (0): atts not acceptable. Next payload is 0 ISAKMP : Checking IPSec proposal 4 ISAKMP: transform 1, ESP_3DES ISAKMP: attributes in transform: ISAKMP: authenticator is HMAC-SHA ISAKMP: encaps is 1 ISAKMP: SA life type in seconds ISAKMP: SA life duration (VPI) of 0x0 0x20 0xc4 0x9b IPSEC(validate_proposal): transform proposal (prot 3, trans 3, hmac_alg 2) not supported ISAKMP (0): atts not acceptable. Next payload is 0 ISAKMP : Checking IPSec proposal 5 ISAKMP: transform 1, ESP_DES ISAKMP: attributes in transform: ISAKMP: authenticator is HMAC-MD5 ISAKMP: encaps is 1 ISAKMP: SA life type in seconds ISAKMP: SA life duration (VPI) of 0x0 0x20 0xc4 0x9b ISAKMP (0): atts are acceptable. ISAKMP (0): bad SPI size of 2 octets! ISAKMP : Checking IPSec proposal 6 ISAKMP: transform 1, ESP_DES ISAKMP: attributes in transform: ISAKMP: authenticator is HMAC-SHA ISAKMP: encaps is 1 ISAKMP: SA life type in seconds ISAKMP: SA life duration (VPI) of 0x0 0x20 0xc4 0x9b IPSEC(validate_proposal): transform proposal (prot 3, trans 2, hmac_alg 2) not supported ISAKMP (0): atts not acceptable. Next payload is 0 ISAKMP (0): skipping next ANDed proposal (6) ISAKMP : Checking IPSec proposal 7 ISAKMP: transform 1, ESP_DES ISAKMP: attributes in transform: ISAKMP: authenticator is HMAC-MD5 ISAKMP: encaps is 1 ISAKMP: SA life type in seconds ISAKMP: SA life duration (VPI) of 0x0 0x20 0xc4 0x9b ISAKMP (0): atts are acceptable.IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) dest= 14.36.100.50, src= 14.36.100.55, dest_proxy= 14.36.100.50/255.255.255.255/0/0 (type=1), src_proxy= 10.1.2.1/255.255.255.255/0/0 (type=1), protocol= ESP, transform= esp-des esp-md5-hmac , lifedur= 0s and 0kb, spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4 ISAKMP (0): processing NONCE payload. message ID = 1527320241 ISAKMP (0): processing ID payload. message ID = 1527320241 ISAKMP (0): ID_IPV4_ADDR src 10.1.2.1 prot 0 port 0 ISAKMP (0): processing ID payload. message ID = 1527320241 ISAKMP (0): ID_IPV4_ADDR dst 14.36.100.50 prot 0 port 0IPSEC(key_engine): got a queue event... IPSEC(spi_response): getting spi 0xf39c2217(4087095831) for SA from 14.36.100.55 to 14.36.100.50 for prot 3 return status is IKMP_NO_ERROR crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 OAK_QM exchange oakley_process_quick_mode: OAK_QM_IDLE ISAKMP (0): processing SA payload. message ID = 3487980779 ISAKMP : Checking IPSec proposal 1 ISAKMP: transform 1, ESP_3DES ISAKMP: attributes in transform: ISAKMP: authenticator is HMAC-MD5 crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 OAK_QM exchange oakley_process_quick_mode: OAK_QM_AUTH_AWAIT ISAKMP (0): Creating IPSec SAs inbound SA from 14.36.100.55 to 14.36.100.50 (proxy 10.1.2.1 to 14.36.100.50) has spi 4087095831 and conn_id 1 and flags 4 lifetime of 2147483 seconds outbound SA from 14.36.100.50 to 14.36.100.55 (proxy 14.36.100.50 to 10.1.2.1) has spi 1929305241 and conn_id 2 and flags 4 lifetime of 2147483 secondsIPSEC(key_engine): got a queue event... IPSEC(initialize_sas): , (key eng. msg.) dest= 14.36.100.50, src= 14.36.100.55, dest_proxy= 14.36.100.50/0.0.0.0/0/0 (type=1), src_proxy= 10.1.2.1/0.0.0.0/0/0 (type=1), protocol= ESP, transform= esp-des esp-md5-hmac , lifedur= 2147483s and 0kb, spi= 0xf39c2217(4087095831), conn_id= 1, keysize= 0, flags= 0x4 IPSEC(initialize_sas): , (key eng. msg.) src= 14.36.100.50, dest= 14.36.100.55, src_proxy= 14.36.100.50/0.0.0.0/0/0 (type=1), dest_proxy= 10.1.2.1/0.0.0.0/0/0 (type=1), protocol= ESP, transform= esp-des esp-md5-hmac , lifedur= 2147483s and 0kb, spi= 0x72fedc99(1929305241), conn_id= 2, keysize= 0, flags= 0x4 VPN Peer: IPSEC: Peer ip:14.36.100.55 Ref cnt incremented to:2 Total VPN Peers:1 VPN Peer: IPSEC: Peer ip:14.36.100.55 Ref cnt incremented to:3 Total VPN Peers:1 return status is IKMP_NO_ERROR crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 OAK_QM exchange oakley_process_quick_mode: OAK_QM_AUTH_AWAIT ISAKMP (0): Creating IPSec SAs inbound SA from 14.36.100.55 to 14.36.100.50 (proxy 10.1.2.1 to 0.0.0.0) has spi 1791135440 and conn_id 3 and flags 4 lifetime of 2147483 seconds outbound SA from 14.36.100.50 to 14.36.100.55 (proxy 0.0.0.0 to 10.1.2.1) has spi 173725574 and conn_id 4 and flags 4 lifetime of 2147483 secondsIPSEC(key_engine): got a queue event... IPSEC(initialize_sas): , (key eng. msg.) dest= 14.36.100.50, src= 14.36.100.55, dest_proxy= 0.0.0.0/0.0.0.0/0/0 (type=4), src_proxy= 10.1.2.1/0.0.0.0/0/0 (type=1), protocol= ESP, transform= esp-des esp-md5-hmac , lifedur= 2147483s and 0kb, spi= 0x6ac28ed0(1791135440), conn_id= 3, keysize= 0, flags= 0x4 IPSEC(initialize_sas): , (key eng. msg.) src= 14.36.100.50, dest= 14.36.100.55, src_proxy= 0.0.0.0/0.0.0.0/0/0 (type=4), dest_proxy= 10.1.2.1/0.0.0.0/0/0 (type=1), protocol= ESP, transform= esp-des esp-md5-hmac , lifedur= 2147483s and 0kb, spi= 0xa5ad786(173725574), conn_id= 4, keysize= 0, flags= 0x4 VPN Peer: IPSEC: Peer ip:14.36.100.55 Ref cnt incremented to:4 Total VPN Peers:1 VPN Peer: IPSEC: Peer ip:14.36.100.55 Ref cnt incremented to:5 Total VPN Peers:1 return status is IKMP_NO_ERROR crypto_isakmp_process_block: src 14.36.100.55, dest 14.36.100.50 ISAKMP (0): processing NOTIFY payload 36136 protocol 1 spi 0, message ID = 3443334051 ISAMKP (0): received DPD_R_U_THERE from peer 14.36.100.55 ISAKMP (0): sending NOTIFY message 36137 protocol 1 return status is IKMP_NO_ERR_NO_TRANS
193 19:00:56.073 01/24/02 Sev=Info/6 DIALER/0x63300002 Initiating connection. 194 19:00:56.073 01/24/02 Sev=Info/4 CM/0x63100002 Begin connection process 195 19:00:56.083 01/24/02 Sev=Info/4 CM/0x63100004 Establish secure connection using Ethernet 196 19:00:56.083 01/24/02 Sev=Info/4 CM/0x63100026 Attempt connection with server "14.36.100.50" 197 19:00:56.083 01/24/02 Sev=Info/6 IKE/0x6300003B Attempting to establish a connection with 14.36.100.50. 198 19:00:56.124 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK AG (SA, KE, NON, ID, VID, VID, VID) to 14.36.100.50 199 19:00:56.774 01/24/02 Sev=Info/4 IPSEC/0x63700014 Deleted all keys 200 19:00:59.539 01/24/02 Sev=Info/5 IKE/0x6300002F Received ISAKMP packet: peer = 14.36.100.50 201 19:00:59.539 01/24/02 Sev=Info/4 IKE/0x63000014 RECEIVING <<< ISAKMP OAK AG (SA, VID, VID, VID, KE, ID, NON, HASH) from 14.36.100.50 202 19:00:59.539 01/24/02 Sev=Info/5 IKE/0x63000059 Vendor ID payload = 12F5F28C457168A9702D9FE274CC0100 203 19:00:59.539 01/24/02 Sev=Info/5 IKE/0x63000001 Peer is a Cisco-Unity compliant peer 204 19:00:59.539 01/24/02 Sev=Info/5 IKE/0x63000059 Vendor ID payload = AFCAD71368A1F1C96B8696FC77570100 205 19:00:59.539 01/24/02 Sev=Info/5 IKE/0x63000001 Peer supports DPD 206 19:00:59.539 01/24/02 Sev=Info/5 IKE/0x63000059 Vendor ID payload = 6D761DDC26ACECA1B0ED11FABBB860C4 207 19:00:59.569 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK AG *(HASH, NOTIFY:STATUS_INITIAL_CONTACT) to 14.36.100.50 208 19:00:59.569 01/24/02 Sev=Info/5 IKE/0x6300002F Received ISAKMP packet: peer = 14.36.100.50 209 19:00:59.569 01/24/02 Sev=Info/4 IKE/0x63000014 RECEIVING <<< ISAKMP OAK TRANS *(HASH, ATTR) from 14.36.100.50 210 19:00:59.569 01/24/02 Sev=Info/4 CM/0x63100015 Launch xAuth application 211 19:01:04.236 01/24/02 Sev=Info/4 CM/0x63100017 xAuth application returned 212 19:01:04.236 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK TRANS *(HASH, ATTR) to 14.36.100.50 213 19:01:04.496 01/24/02 Sev=Info/5 IKE/0x6300002F Received ISAKMP packet: peer = 14.36.100.50 214 19:01:04.496 01/24/02 Sev=Info/4 IKE/0x63000014 RECEIVING <<< ISAKMP OAK TRANS *(HASH, ATTR) from 14.36.100.50 215 19:01:04.496 01/24/02 Sev=Info/4 CM/0x6310000E Established Phase 1 SA. 1 Phase 1 SA in the system 216 19:01:04.506 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK TRANS *(HASH, ATTR) to 14.36.100.50 217 19:01:04.516 01/24/02 Sev=Info/5 IKE/0x6300005D Client sending a firewall request to concentrator 218 19:01:04.516 01/24/02 Sev=Info/5 IKE/0x6300005C Firewall Policy: Product=Cisco Integrated Client, Capability= (Centralized Policy Push). 219 19:01:04.516 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK TRANS *(HASH, ATTR) to 14.36.100.50 220 19:01:04.586 01/24/02 Sev=Info/5 IKE/0x6300002F Received ISAKMP packet: peer = 14.36.100.50 221 19:01:04.586 01/24/02 Sev=Info/4 IKE/0x63000014 RECEIVING <<< ISAKMP OAK TRANS *(HASH, ATTR) from 14.36.100.50 222 19:01:04.586 01/24/02 Sev=Info/5 IKE/0x63000010 MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_ADDRESS: , value = 10.1.2.1 223 19:01:04.586 01/24/02 Sev=Info/5 IKE/0x63000010 MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_DNS(1): , value = 10.1.1.2 224 19:01:04.586 01/24/02 Sev=Info/5 IKE/0x63000010 MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_NBNS(1) (a.k.a. WINS) : , value = 10.1.1.2 225 19:01:04.586 01/24/02 Sev=Info/5 IKE/0x6300000E MODE_CFG_REPLY: Attribute = MODECFG_UNITY_DEFDOMAIN: , value = cisco.com 226 19:01:04.586 01/24/02 Sev=Info/4 CM/0x63100019 Mode Config data received 227 19:01:04.606 01/24/02 Sev=Info/5 IKE/0x63000055 Received a key request from Driver for IP address 14.36.100.50, GW IP = 14.36.100.50 228 19:01:04.606 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK QM *(HASH, SA, NON, ID, ID) to 14.36.100.50 229 19:01:04.606 01/24/02 Sev=Info/5 IKE/0x63000055 Received a key request from Driver for IP address 10.10.10.255, GW IP = 14.36.100.50 230 19:01:04.606 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK QM *(HASH, SA, NON, ID, ID) to 14.36.100.50 231 19:01:04.786 01/24/02 Sev=Info/4 IPSEC/0x63700014 Deleted all keys 232 19:01:05.948 01/24/02 Sev=Info/5 IKE/0x6300002F Received ISAKMP packet: peer = 14.36.100.50 233 19:01:05.948 01/24/02 Sev=Info/4 IKE/0x63000014 RECEIVING <<< ISAKMP OAK QM *(HASH, SA, NON, ID, ID, NOTIFY:STATUS_RESP_LIFETIME) from 14.36.100.50 234 19:01:05.948 01/24/02 Sev=Info/5 IKE/0x63000044 RESPONDER-LIFETIME notify has value of 28800 seconds 235 19:01:05.948 01/24/02 Sev=Info/5 IKE/0x63000045 RESPONDER-LIFETIME notify has value of 4608000 kb 236 19:01:05.948 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK QM *(HASH) to 14.36.100.50 237 19:01:05.948 01/24/02 Sev=Info/5 IKE/0x63000058 Loading IPsec SA (Message ID = 0x5B090EB1 OUTBOUND SPI = 0xF39C2217 INBOUND SPI = 0x72FEDC99) 238 19:01:05.948 01/24/02 Sev=Info/5 IKE/0x63000025 Loaded OUTBOUND ESP SPI: 0xF39C2217 239 19:01:05.948 01/24/02 Sev=Info/5 IKE/0x63000026 Loaded INBOUND ESP SPI: 0x72FEDC99 240 19:01:05.948 01/24/02 Sev=Info/4 CM/0x6310001A One secure connection established 241 19:01:05.988 01/24/02 Sev=Info/6 DIALER/0x63300003 Connection established. 242 19:01:06.078 01/24/02 Sev=Info/6 DIALER/0x63300008 MAPI32 Information - Outlook not default mail client 243 19:01:06.118 01/24/02 Sev=Info/5 IKE/0x6300002F Received ISAKMP packet: peer = 14.36.100.50 244 19:01:06.118 01/24/02 Sev=Info/4 IKE/0x63000014 RECEIVING <<< ISAKMP OAK QM *(HASH, SA, NON, ID, ID, NOTIFY:STATUS_RESP_LIFETIME) from 14.36.100.50 245 19:01:06.118 01/24/02 Sev=Info/5 IKE/0x63000044 RESPONDER-LIFETIME notify has value of 28800 seconds 246 19:01:06.118 01/24/02 Sev=Info/5 IKE/0x63000045 RESPONDER-LIFETIME notify has value of 4608000 kb 247 19:01:06.118 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK QM *(HASH) to 14.36.100.50 248 19:01:06.118 01/24/02 Sev=Info/5 IKE/0x63000058 Loading IPsec SA (Message ID = 0xCFE65CEB OUTBOUND SPI = 0x6AC28ED0 INBOUND SPI = 0x0A5AD786) 249 19:01:06.118 01/24/02 Sev=Info/5 IKE/0x63000025 Loaded OUTBOUND ESP SPI: 0x6AC28ED0 250 19:01:06.118 01/24/02 Sev=Info/5 IKE/0x63000026 Loaded INBOUND ESP SPI: 0x0A5AD786 251 19:01:06.118 01/24/02 Sev=Info/4 CM/0x63100022 Additional Phase 2 SA established. 252 19:01:07.020 01/24/02 Sev=Info/4 IPSEC/0x63700010 Created a new key structure 253 19:01:07.020 01/24/02 Sev=Info/4 IPSEC/0x6370000F Added key with SPI=0x17229cf3 into key list 254 19:01:07.020 01/24/02 Sev=Info/4 IPSEC/0x63700010 Created a new key structure 255 19:01:07.020 01/24/02 Sev=Info/4 IPSEC/0x6370000F Added key with SPI=0x99dcfe72 into key list 256 19:01:07.020 01/24/02 Sev=Info/4 IPSEC/0x63700010 Created a new key structure 257 19:01:07.020 01/24/02 Sev=Info/4 IPSEC/0x6370000F Added key with SPI=0xd08ec26a into key list 258 19:01:07.020 01/24/02 Sev=Info/4 IPSEC/0x63700010 Created a new key structure 259 19:01:07.020 01/24/02 Sev=Info/4 IPSEC/0x6370000F Added key with SPI=0x86d75a0a into key list 260 19:01:15.032 01/24/02 Sev=Info/6 IKE/0x6300003D Sending DPD request to 14.36.100.50, seq# = 152233542 261 19:01:15.032 01/24/02 Sev=Info/4 IKE/0x63000013 SENDING >>> ISAKMP OAK INFO *(HASH, NOTIFY:DPD_REQUEST) to 14.36.100.50 262 19:01:15.032 01/24/02 Sev=Info/5 IKE/0x6300002F Received ISAKMP packet: peer = 14.36.100.50 263 19:01:15.032 01/24/02 Sev=Info/4 IKE/0x63000014 RECEIVING <<< ISAKMP OAK INFO *(HASH, NOTIFY:DPD_ACK) from 14.36.100.50 264 19:01:15.032 01/24/02 Sev=Info/5 IKE/0x6300003F Received DPD ACK from 14.36.100.50, seq# received = 152233542, seq# expected = 152233542
Revisie | Publicatiedatum | Opmerkingen |
---|---|---|
1.0 |
26-Sep-2008 |
Eerste vrijgave |