Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Conventions

Solucionar problemas do PIX

Diagrama de Rede

Exemplo de configuração com problemas

Entender a sequência geral de eventos

Entender a série problemática de eventos no PIX

Entender a série problemática de eventos no PIX

Entender a solução

Configuração do roteador e saída do comando show

Informações Relacionadas

Introduction

Este documento discute porque um túnel IPSec estabelecido com sucesso ligando um Cisco VPN Client a um PIX é incapaz de transmitir dados e oferece uma solução para esse problema.

A incapacidade de transmitir dados em um túnel IPsec estabelecido entre um VPN Client e um PIX é frequentemente encontrada quando você não pode fazer ping ou Telnet de um VPN Client para qualquer host na LAN atrás do PIX. Em outras palavras, o VPN Client e o PIX não podem passar dados criptografados entre eles. Isso ocorre porque o PIX tem um túnel IPsec LAN a LAN para um roteador e também um VPN Client. A incapacidade de transmitir dados é o resultado de uma configuração com a mesma lista de controle de acesso (ACL) para o nat 0 e o mapa de criptografia estático para o peer IPsec LAN a LAN.

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Cisco Secure PIX Firewall 6.0.1

- Roteador Cisco 1720 que executa o Software Cisco IOS® versão 12.2(6)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Solucionar problemas do PIX

Diagrama de Rede

Exemplo de configuração com problemas

PIX 520

pix520-1#write terminal

Building configuration...

: Saved

:

PIX Version 6.0(1)

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 2KFQnbNIdI.2KYOU encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname pix520-1

domain-name vpn.com

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060

fixup protocol skinny 2000

names

!--- Access-List “140” defines interesting traffic to bypass NAT for VPN !--- and defines VPN interesting traffic. This is incorrect.

access-list 140 permit ip 192.168.4.0 255.255.255.0 10.10.10.0 255.255.255.0

access-list 140 permit ip 192.168.4.0 255.255.255.0 10.1.2.0 255.255.255.0

no pager

logging on

logging console debugging

logging monitor debugging

logging buffered debugging

logging trap debugging

logging history debugging

logging host outside 192.168.2.6

interface ethernet0 auto

interface ethernet1 auto

mtu outside 1500

mtu inside 1500

!--- IP addresses on the outside and inside interfaces.

ip address outside 172.16.172.34 255.255.255.240

ip address inside 192.168.4.50 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

ip local pool ippool 10.1.2.1-10.1.2.254

no failover

failover timeout 0:00:00

failover poll 15

failover ip address outside 0.0.0.0

failover ip address inside 0.0.0.0

pdm history enable

arp timeout 14400

global (outside) 1 172.16.172.57 netmask 255.255.255.255

!--- The nat 0 command bypasses NAT for the packets destined over the IPsec tunnel.

Nat (inside) 0 access-list 140

Nat (inside) 1 0.0.0.0 0.0.0.0 0 0

route outside 0.0.0.0 0.0.0.0 172.16.172.33 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323

0:05:00 sip

0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

AAA-server RADIUS protocol radius

AAA-server mytest protocol tacacs+

AAA-server nasir protocol radius

snmp-server host outside 192.168.2.6

no snmp-server location

no snmp-server contact

snmp-server community public

snmp-server enable traps

floodguard enable

!--- The sysopt command bypasses conduits or ACLs that check to be applied !--- on the inbound VPN packets after decryption.

sysopt connection permit-ipsec

no sysopt route dnat

!--- The crypto ipsec command defines IPsec encryption and authen algo.

crypto ipsec transform-set myset esp-des esp-md5-hmac

crypto dynamic-map dynmap 10 set transform-set myset

!--- The crypto map commands define the IPsec !--- Security Assocation (SA) (Phase II SA) parameters.

crypto map mymap 5 ipsec-isakmp

crypto map mymap 5 match address 140

crypto map mymap 5 set peer 172.16.172.39

crypto map mymap 5 set transform-set myset

crypto map mymap 10 ipsec-isakmp dynamic dynmap

crypto map mymap interface outside

isakmp enable outside

!--- The isakmp key command defines the pre-shared key for the peer address.

isakmp key ******** address 172.16.172.39 netmask 255.255.255.255 no-xauth

no-config-mode

isakmp identity address

!--- The isakmp policy defines the Phase 1 SA parameters.

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption des

isakmp policy 10 hash sha

isakmp policy 10 group 2

isakmp policy 10 lifetime 86400

isakmp policy 20 authentication pre-share

isakmp policy 20 encryption Des

isakmp policy 20 hash sha

isakmp policy 20 group 1

isakmp policy 20 lifetime 86400

vpngroup vpn3000 address-pool ippool

vpngroup vpn3000 idle-time 1800

vpngroup vpn3000 password ********

telnet 192.168.4.0 255.255.255.0 inside

telnet 171.69.89.82 255.255.255.255 inside

telnet timeout 5

ssh 172.0.0.0 255.0.0.0 outside

ssh 171.0.0.0 255.255.255.0 outside

ssh 171.0.0.0 255.0.0.0 outside

ssh timeout 60

terminal width 80

Cryptochecksum:55948dc706cc700e9c10e1d24a8b125c

Na configuração problemática, o tráfego interessante, ou o tráfego a ser criptografado para o túnel de LAN para LAN, é definido pela ACL 140. A configuração usa a mesma ACL que a ACL nat 0.

Entender a sequência geral de eventos

Quando um pacote IP chega à interface interna do PIX, a Network Address Translation (NAT) é verificada. Depois disso, as ACLs para os mapas de criptografia são verificadas.

- Como se utiliza o nat 0.

A ACL nat 0 define o que não deve ser incluído na NAT. A ACL no comando nat 0 define o endereço de origem e de destino para os quais as regras NAT no PIX estão desativadas. Portanto, um pacote IP que tem um endereço de origem e de destino que corresponde à ACL definida no comando nat 0 ignora todas as regras NAT no PIX.

Para implementar túneis LAN a LAN entre um PIX e outro dispositivo VPN com a ajuda dos endereços privados, use o comando nat 0 para ignorar o NAT. As regras no firewall PIX impedem que os endereços privados sejam incluídos no NAT enquanto essas regras vão para a LAN remota pelo túnel IPsec.

- Como a ACL de criptografia é usada.

Após as inspeções de NAT, o PIX verifica a origem e o destino de cada pacote IP que chega em sua interface interna para corresponder às ACLs definidas nos mapas de criptografia estáticos e dinâmicos. Se o PIX encontrar uma correspondência com a ACL, o PIX executa qualquer uma destas etapas:

- Se não houver uma associação de segurança (SA) IPsec atual criada com o dispositivo IPsec peer para o tráfego, o PIX iniciará as negociações de IPsec. Depois que as SAs são criadas, ele criptografa o pacote e o envia pelo túnel IPsec para o peer IPsec.

- Se já houver uma SA IPsec construída com o peer, o PIX criptografa o pacote IP e envia o pacote criptografado ao dispositivo IPsec do peer.

- ACL dinâmica.

Quando um VPN Client se conecta ao PIX com a ajuda do IPsec, o PIX cria uma ACL dinâmica que especifica o endereço de origem e de destino a serem usados para definir o tráfego interessante para essa conexão IPsec.

Entender a série problemática de eventos no PIX

Um erro de configuração comum é usar a mesma ACL para nat 0 e os mapas de criptografia estáticos. Essas seções discutem por que isso leva a um erro e como corrigir o problema.

A configuração do PIX mostra que a ACL nat 0 140 ignora o NAT quando os pacotes IP vão da rede 192.168.4.0/24 para as redes 10.10.10.0/24 e 10.1.2.0/24 (endereço de rede definido no pool local IP). Além disso, a ACL 140 define o tráfego interessante para o mapa de criptografia estático para o peer 172.16.172.39.

Quando um pacote IP chega à interface interna do PIX, a verificação do NAT é concluída e o PIX verifica as ACLs nos mapas de criptografia. O PIX começa com o mapa de criptografia com o menor número de instância. Isso porque o mapa de criptografia estático no exemplo anterior tem o menor número de instância, a ACL 140 é verificada. Em seguida, a ACL dinâmica para o mapa de criptografia dinâmico é verificada. Nesta configuração, a ACL 140 é definida para criptografar o tráfego que vai da rede 192.168.4.0 /24 para as redes 10.10.10.0/24 0 e 10.1.2.0 /24. No entanto, para o túnel LAN a LAN, você só deseja criptografar o tráfego entre as redes 192.168.4.0 /24 e 10.10.10.0 /24. É assim que o roteador peer IPsec define sua ACL de criptografia.

Entender a série problemática de eventos no PIX

Quando um cliente estabelece uma conexão IPsec com o PIX, é atribuído um endereço IP do pool local IP. Nesse caso, o cliente recebe 10.1.2.1. O PIX também gera uma ACL dinâmica, como esta saída do comando show crypto map mostra:

Crypto Map "mymap" 20 ipsec-isakmp

Peer = 171.69.89.120

access-list dynacl2 permit ip host 172.16.172.34 host 10.1.2.1 (hitcnt=0)

dynamic (created from dynamic map dynmap/10)

Current peer: 171.69.89.120

Security association lifetime: 4608000 kilobytes/28800 seconds

PFS (Y/N): N

Transform sets={ myset, }

Crypto Map "mymap" 30 ipsec-isakmp

Peer = 171.69.89.120

access-list dynacl3 permit ip any host 10.1.2.1 (hitcnt=0)

dynamic (created from dynamic map dynmap/10)

Current peer: 171.69.89.120

Security association lifetime: 4608000 kilobytes/28800 seconds

PFS (Y/N): N

Transform sets={ myset, }

pix520-1(config)#

O comando show crypto map também mostra o mapa de criptografia estático:

Crypto Map: "mymap" interfaces: { outside }

Crypto Map "mymap" 5 ipsec-isakmp

Peer = 172.16.172.39

access-list 140 permit ip 192.168.4.0 255.255.255.0 10.10.10.0255.255.255.0

(hitcnt=45)

access-list 140 permit ip 192.168.4.0 255.255.255.0 10.1.2.0 255.255.255.0

(hitcnt=84)

Current peer: 172.16.172.39

Security association lifetime: 4608000 kilobytes/28800 seconds

PFS (Y/N): N

Transform sets={ myset,}

Quando o túnel IPsec é estabelecido entre o cliente e o PIX, o cliente inicia um ping para o host 192.168.4.3. Quando ele recebe a solicitação de eco, o host 192.168.4.3 responde com uma resposta de eco como esta saída do comando debug icmp trace mostra.

27: Inbound ICMP echo request (len 32 id 2 seq 7680)

10.1.2.1 > 192.168.4.3> 192.168.4.3

28: Outbound ICMP echo reply (Len 32 id 2 seq 7680)

192.168.4.3 >192.168.4.3 > 10.1.2.1

29: Inbound ICMP echo request (Len 32 id 2 seq 7936)

10.1.2.1 > 192.168.4.3> 192.168.4.3

30: Outbound ICMP echo reply (Len 32 id 2 seq 7936)

192.168.4.3 >192.168.4.3 > 10.1.2.1

No entanto, a resposta de eco não alcança o VPN Client (host 10.1.2.1) e o ping falha. Você pode ver isso com a ajuda do comando show crypto ipsec sa no PIX. Esta saída mostra que o PIX descriptografa 120 pacotes que vêm do VPN Client, mas não criptografa nenhum pacote ou envia os pacotes criptografados ao cliente. Portanto, o número de pacotes encapsulados é zero.

pix520-1(config)#show crypto ipsec sa

interface: outside

Crypto map tag: mymap, local addr. 172.16.172.34

local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

remote ident (addr/mask/prot/port): (10.1.2.1/255.255.255.255/0/0)

current_peer: 171.69.89.120

dynamic allocated peer ip: 10.1.2.1

PERMIT, flags={}

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0

!--- No packets encrypted and sent to client.

#pkts decaps: 120, #pkts decrypt: 120, #pkts verify 120

!--- 120 packets received from client.

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 172.16.172.34, remote crypto endpt.: 171.69.89.120

path mtu 1500, ipsec overhead 56, media mtu 1500

current outbound spi: 33a45029

inbound esp sas:

spi: 0x279fc5e9(664782313)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 5, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607985/27809)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound ESP sas:

spi: 0x33a45029(866406441)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 6, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4608000/27809)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

local ident (addr/mask/prot/port): (192.168.4.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

current_peer: 172.16.172.39

PERMIT, flags={origin_is_acl,}

#pkts encaps: 10, #pkts encrypt: 10, #pkts digest 10

#pkts decaps: 23, #pkts decrypt: 23, #pkts verify 23

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 172.16.172.34, remote crypto endpt.: 172.16.172.39

path mtu 1500, ipsec overhead 56, media mtu 1500

current outbound spi: f264e92c

inbound ESP sas:

spi: 0x2772b869(661829737)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 1, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607997/2420)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas:

outbound ESP sas:

spi: 0xf264e92c(4066699564)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607999/2420)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

Observação: quando o host 192.168.4.3 responde à solicitação de eco, o pacote IP vem para a interface interna do PIX.

38: Outbound ICMP echo reply (Len 32 id 2 seq 8960)

192.168.4.3 >192.168.4.3 > 10.1.2.1

Quando o pacote IP chega à interface interna, o PIX verifica a ACL 140 nat 0 e determina se os endereços origem e destino do pacote IP correspondem à ACL. Portanto, esse pacote IP ignora todas as regras de NAT no PIX. Em seguida, as ACLs de criptografia são verificadas. Como o mapa de criptografia estático tem o menor número de instância, sua ACL é verificada primeiro. Como este exemplo usa a ACL 140 para o mapa de criptografia estático, o PIX verifica essa ACL. Agora, o pacote IP tem um endereço de origem 192.168.4.3 e um destino 10.1.2.1. Como isso corresponde à ACL 140, o PIX pensa que esse pacote IP é destinado ao túnel IPsec LAN a LAN com o peer 172.16.172.39 (ao contrário de nossos objetivos). Portanto, ele verifica o banco de dados SA para ver se já existe um SA atual com o peer 172.16.72.39 para esse tráfego. Como a saída do comando show crypto ipsec sa mostra, não existe SA para esse tráfego. O PIX não criptografa ou envia o pacote ao VPN Client. Em vez disso, ele inicia outra negociação de IPsec com o peer 172.16.172.39 como esta saída mostra:

crypto_isakmp_process_block: src 172.16.172.39, dest 172.16.172.34

return status is IKMP_NO_ERR_NO_TRANS02303: sa_request, (key eng. msg.)

src= 172.16.172.34, dest= 172.16.172.39,

src_proxy= 192.168.4.0/255.255.255.0/0/0 (type=4),

dest_proxy= 10.1.2.0/255.255.255.0/0/0 (type=4), protocol= ESP, transform=

ESP-Des esp-md5-hmac , lifedur= 28800s and 4608000kb,

spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4004

702303: sa_request, (key Eng. msg.) src= 172.16.172.34, dest=

172.16.172.39, src_proxy= 192.168.4.0/255.255.255.0/0/0 (type=4),

dest_proxy= 10.1.2.0/255.255.255.0/0/0 (type=4), protocol= ESP, transform=

ESP-Des esp-md5-hmac , lifedur= 28800s and 4608000kb,

spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4004

ISAKMP (0): sending NOTIFY message 36137 protocol 1

return status is IKMP_NO_ERR_NO_TRANSIPSEC(key_engine): request timer

fired: count = 2,

(identity) local= 172.16.172.34, remote= 172.16.172.39,

local_proxy= 192.168.4.0/255.255.255.0/0/0 (type=4),

remote_proxy= 10.1.2.0/255.255.255.0/0/0 (type=4)

A negociação de IPsec falha por estes motivos:

- O peer 172.16.172.39 define somente as redes 10.10.10.0/24 e 192.168.4.0/24 como o tráfego interessante em sua ACL para o crypto map peer 172.16.172.34.

- As identidades de proxy não correspondem durante a negociação de IPsec entre os dois pares.

- Se o peer iniciar a negociação e a configuração local especificar PFS (Forwarding Signal, segredo de encaminhamento perfeito), o peer deverá executar uma troca PFS ou a negociação falhará. Se a configuração local não especificar um grupo, um padrão de group1 será assumido e uma oferta de group1 ou group2 será aceita. Se a configuração local especificar group2, esse grupo deverá fazer parte da oferta do peer ou a negociação falhará. Se a configuração local não especificar PFS, ela aceitará qualquer oferta de PFS do peer. O grupo Diffie-Hellman prime modulus de 1024 bits, group2, fornece mais segurança do que group1, mas requer mais tempo de processamento do que group1.

Observação: o comando crypto map set pfs define o IPsec para solicitar o PFS quando solicita novas SAs para essa entrada de mapa de criptografia. Use o comando no crypto map set pfs para especificar que o IPsec não solicita PFS. Esse comando está disponível somente para entradas de mapa de criptografia IPsec-ISAKMP e entradas de mapa de criptografia dinâmico. Por padrão, o PFS não é solicitado. Com o PFS, toda vez que um SA novo é negociado, ocorre uma nova troca Diffie-Hellman. Isso requer tempo de processamento adicional. O PFS adiciona outro nível de segurança porque se uma chave for quebrada por um invasor, somente os dados enviados com essa chave serão comprometidos. Durante a negociação, esse comando faz com que o IPsec solicite o PFS quando solicita novos SAs para a entrada do mapa de criptografia. O padrão (group1) será enviado se a instrução set pfs não especificar um grupo.

Observação: as negociações de IKE com um peer remoto podem travar quando um firewall PIX tem vários túneis que se originam do firewall PIX e terminam em um único peer remoto. Esse problema ocorre quando o PFS não está habilitado e o peer local solicita muitas solicitações de rechaveamento simultâneas. Se esse problema ocorrer, o SA IKE não se recuperará até que o tempo limite seja excedido ou até que você o limpe manualmente com o comando clear [crypto] isakmp sa. As unidades de firewall PIX configuradas com muitos túneis para muitos pares ou muitos clientes que compartilham o mesmo túnel não são afetados por esse problema. Se sua configuração for afetada, ative o PFS com o comando crypto map mapname seqnum set pfs.

Os pacotes IP no PIX são finalmente descartados.

Entender a solução

O método correto para corrigir esse erro é definir duas ACLs separadas para nat 0 e os mapas de criptografia estáticos. Para fazer isso, o exemplo define a ACL 190 para o comando nat 0 e usa a ACL 140 modificada para o mapa de criptografia estático, como mostra essa saída.

PIX 520-1

pix520-1(config)#

pix520-1(config)#write terminal

Building configuration...

: Saved

:

PIX Version 6.0(1)

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password 2KFQnbNIdI.2KYOU encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

hostname pix520-1

domain-name vpn.com

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060

fixup protocol skinny 2000

names

!--- Access list 140 defines interesting traffic in order to bypass NAT for VPN.

access-list 140 permit ip 192.168.4.0 255.255.255.0 10.10.10.0255.255.255.0

!--- Defines VPN interesting traffic.

access-list 190 permit ip 192.168.4.0 255.255.255.0 10.10.10.0255.255.255.0

access-list 190 permit ip 192.168.4.0 255.255.255.0 10.1.2.0 255.255.255.0

no pager

logging on

logging console debugging

logging monitor debugging

logging buffered debugging

logging trap debugging

logging history debugging

logging host outside 192.168.2.6

interface ethernet0 auto

interface ethernet1 auto

mtu outside 1500

mtu inside 1500

ip address outside 172.16.172.34 255.255.255.240

ip address inside 192.168.4.50 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

ip local pool ippool 10.1.2.1-10.1.2.254

no failover

failover timeout 0:00:00

failover poll 15

failover ip address outside 0.0.0.0

failover ip address inside 0.0.0.0

pdm history enable

arp timeout 14400

global (outside) 1 172.16.172.57 netmask 255.255.255.255

!--- The nat 0 command bypasses NAT for the packets destined over the IPsec tunnel..

Nat (inside) 0 access-list 190

Nat (inside) 1 0.0.0.0 0.0.0.0 0 0

route outside 0.0.0.0 0.0.0.0 172.16.172.33 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323

0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

AAA-server TACACS+ protocol tacacs+

AAA-server RADIUS protocol radius

AAA-server mytest protocol tacacs+

AAA-server nasir protocol radius

snmp-server host outside 192.168.2.6

no snmp-server location

no snmp-server contact

snmp-server community public

snmp-server enable traps

floodguard enable

sysopt connection permit-ipsec

no sysopt route dnat

crypto ipsec transform-set myset ESP-Des esp-md5-hmac

crypto dynamic-map dynmap 10 set transform-set myset

!--- The crypto map commands define the IPsec SA (Phase II SA) parameters.

crypto map mymap 5 ipsec-isakmp

crypto map mymap 5 match address 140

crypto map mymap 5 set peer 172.16.172.39

crypto map mymap 5 set transform-set myset

crypto map mymap 10 ipsec-isakmp dynamic dynmap

crypto map mymap interface outside

isakmp enable outside

isakmp key ******** address 172.16.172.39 netmask 255.255.255.255 no-xauth

no-config-mode

isakmp identity address

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption Des

isakmp policy 10 hash sha

isakmp policy 10 group 2

isakmp policy 10 lifetime 86400

isakmp policy 20 authentication pre-share

isakmp policy 20 encryption Des

isakmp policy 20 hash sha

isakmp policy 20 group 1

isakmp policy 20 lifetime 86400

vpngroup vpn3000 address-pool ippool

vpngroup vpn3000 idle-time 1800

vpngroup vpn3000 password ********

telnet 192.168.4.0 255.255.255.0 inside

telnet 171.69.89.82 255.255.255.255 inside

telnet timeout 5

ssh 172.0.0.0 255.0.0.0 outside

ssh 171.0.0.0 255.255.255.0 outside

ssh 171.0.0.0 255.0.0.0 outside

ssh timeout 60

terminal width 80

Cryptochecksum:e2cb98b30d3899597b3af484fae4f9ae

: end

[OK]

pix520-1(config)# pix520-1(config)#show crypto map

Depois que as alterações forem feitas e o cliente estabelecer um túnel IPsec com o PIX, emita o comando show crypto map. Esse comando mostra que para o mapa de criptografia estático, o tráfego interessante definido pela ACL 140 é apenas 192.168.4.0/24 e 10.10.10.0/24, que era o objetivo original. Além disso, a lista de acesso dinâmico mostra o tráfego interessante definido como o cliente (10.1.2.1) e o PIX (172.16.172.34).

pix520-1(config)#show crypto map

Crypto Map: "mymap" interfaces: { outside }

Crypto Map "mymap" 5 ipsec-isakmp

Peer = 172.16.172.39

access-list 140 permit ip 192.168.4.0 255.255.255.0 10.10.10.0255.255.255.0

(hitcnt=57)

Current peer: 172.16.172.39

Security association lifetime: 4608000 kilobytes/28800 seconds

PFS (Y/N): N

Transform sets={ myset, }

Crypto Map "mymap" 10 ipsec-isakmp

Dynamic map template tag: dynmap

Crypto Map "mymap" 20 ipsec-isakmp

Peer = 171.69.89.120

access-list dynacl4 permit ip host 172.16.172.34 host 10.1.2.1 (hitcnt=0)

dynamic (created from dynamic map dynmap/10)

Current peer: 171.69.89.120

Security association lifetime: 4608000 kilobytes/28800 seconds

PFS (Y/N): N

Transform sets={ myset, }

Crypto Map "mymap" 30 ipsec-isakmp

Peer = 171.69.89.120

access-list dynacl5 permit ip any host 10.1.2.1 (hitcnt=13)

dynamic (created from dynamic map dynmap/10)

Current peer: 171.69.89.120

Security association lifetime: 4608000 kilobytes/28800 seconds

PFS (Y/N): N

Transform sets={ myset, }

Quando o VPN Client 10.1.2.1 envia um ping ao host 192.168.4.3, a resposta de eco vem para a interface interna do PIX. O PIX verifica a ACL 190 nat 0 e determina se o pacote IP corresponde à ACL. Portanto, o pacote ignora as regras de NAT no PIX. Em seguida, o PIX verifica a ACL 140 do mapa de criptografia estático para encontrar uma correspondência. Desta vez, a origem e o destino do pacote IP não correspondem à ACL 140. Portanto, o PIX verifica a ACL dinâmica e encontra uma correspondência. Em seguida, o PIX verifica seu banco de dados SA para ver se um SA IPsec já está estabelecido com o cliente. Como o cliente já estabeleceu uma conexão IPsec com o PIX, existe uma SA IPsec. Em seguida, o PIX criptografa os pacotes e o envia ao VPN Client. Use a saída do comando show crypto ipsec sa do PIX para ver se os pacotes são criptografados e descriptografados. Nesse caso, o PIX criptografou dezesseis pacotes e os enviou ao cliente. O PIX também recebeu pacotes criptografados do VPN Client e descriptografou dezesseis pacotes.

pix520-1(config)#show crypto ipsec sa

interface: outside

Crypto map tag: mymap, local addr. 172.16.172.34

local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

remote ident (addr/mask/prot/port): (10.1.2.1/255.255.255.255/0/0)

current_peer: 171.69.89.120

dynamic allocated peer ip: 10.1.2.1

PERMIT, flags={}

#pkts encaps: 16, #pkts encrypt: 16,#pkts digest 16

#pkts decaps: 16, #pkts decrypt: 16, #pkts verify 16

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 172.16.172.34, remote crypto endpt.: 171.69.89.120

path mtu 1500, ipsec overhead 56, media mtu 1500

current outbound spi: 613d083d

inbound ESP sas:

spi: 0x6adf97df(1793038303)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 4, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607998/27420)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas:

outbound ESP sas:

spi: 0x613d083d(1631389757)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 3, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607999/27420)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

local ident (addr/mask/prot/port): (192.168.4.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

current_peer: 172.16.172.39

PERMIT, flags={origin_is_acl,}

#pkts encaps: 9, #pkts encrypt: 9, #pkts digest 9

#pkts decaps: 9, #pkts decrypt: 9, #pkts verify 9

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0

#send errors 1, #recv errors 0

local crypto endpt.: 172.16.172.34, remote crypto endpt.: 172.16.172.39

path mtu 1500, ipsec overhead 56, media mtu 1500

current outbound spi: 58009c01

inbound ESP sas:

spi: 0x2d408709(759203593)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607998/3319)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas: outbound ESP sas:

spi: 0x58009c01(1476434945)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 1, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607999/3319)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

pix520-1(config)# sh cr isa sa

Total : 2

Embryonic : 0

dst src state pending created

172.16.172.39 172.16.172.34 QM_IDLE 0 1

172.16.172.34 171.69.89.120 QM_IDLE 0 2

pix520-1(config)# sh cr ipsec sa

Configuração do roteador e saída do comando show

Cisco 1720-1

1720-1#show run

Building configuration...

Current configuration : 1592 bytes

!

! Last configuration change at 21:08:49 PST Mon Jan 7 2002

! NVRAM config last updated at 18:18:17 PST Mon Jan 7 2002

!

version 12.2

no parser cache

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname 1720-1

!

no logging buffered

enable secret 5 $1$6jAs$tNxI1a/2DYFAtPLyCDXjo/

enable password ww

!

username cisco password 0 cisco

memory-size iomem 15

clock timezone PST -8

ip subnet-zero

no ip domain-lookup

ip domain-name cisco.com

!

ip ssh time-out 120

ip ssh authentication-retries 3

!

!

!--- The crypto isakmp policy command defines the Phase 1 SA parameters.

crypto isakmp policy 15

authentication pre-share

crypto isakmp key cisco123 address 172.16.172.34

!

!

!--- The crypto ipsec transform-set command defines IPsec encryption !--- and authentication algorithims.

crypto ipsec transform-set myset ESP-Des esp-md5-hmac

!

!

!--- The crypto map command defines the IPsec SA (Phase II SA) parameters..

crypto map vpn 10 ipsec-isakmp

set peer 172.16.172.34

set transform-set myset

match address 150

!

!

!

!

!

interface FastEthernet0

ip address 172.16.172.39 255.255.255.240

speed auto

!--- The crypto map applied to the outbound interface.

crypto map vpn

interface Ethernet0

ip address 10.10.10.1 255.255.255.240

speed auto

no ip route-cache

no ip mroute-cache

!

!

ip classless

ip route 0.0.0.0 0.0.0.0 172.16.172.33

no ip http server

ip pim bidir-enable

!

!--- Access-list defines interesting VPN traffic.

access-list 150 permit ip 10.10.10.0 0.0.0.255 192.168.4.0 0.0.0.255

!

line con 0

line aux 0

line vty 0 4

exec-timeout 0 0

password cisco

no login

line vty 5 15

login

!

no scheduler allocate

end

1720-1#

1720-1#show crypto isa sa

DST src state conn-id slot

172.16.172.39 172.16.172.34 QM_IDLE 132 0

1720-1#show crypto ipsec sa

interface: FastEthernet0

Crypto map tag: vpn, local addr. 172.16.172.39

local ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (192.168.4.0/255.255.255.0/0/0)

current_peer: 172.16.172.34

PERMIT, flags={origin_is_acl,}

#pkts encaps: 9 #pkts encrypt: 9 #pkts digest 9

#pkts decaps: 9, #pkts decrypt: 9, #pkts verify 9

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0

#send errors 7, #recv errors 0

local crypto endpt.: 172.16.172.39, remote crypto endpt.: 172.16.172.34

path mtu 1500, media mtu 1500

current outbound spi: 2D408709

inbound ESP sas:

spi: 0x58009C01(1476434945)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

!--- IPsec SA 200 as seen in the show crypto engine connection active command.

slot: 0, conn id: 200, flow_id: 1, crypto map: vpn

sa timing: remaining key lifetime (k/sec): (4607998/3144)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas:

outbound ESP sas:

spi: 0x2D408709(759203593)

transform: ESP-Des esp-md5-hmac ,

in use settings ={Tunnel, }

!--- IPsec SA 201 as seen in the show crypto engine connection active command.

slot: 0, conn id: 201, flow_id: 2, crypto map: vpn

sa timing: remaining key lifetime (k/sec): (4607998/3144)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

1720-1#

1720-1#show crypto map

Interfaces using crypto map mymap:

Crypto Map "vpn" 10 ipsec-isakmp

Peer = 172.16.172.34

Extended IP access list 150

access-list 150 permit ip 10.10.10.0 0.0.0.255 192.168.4.0 0.0.0.255

Current peer: 172.16.172.34

Security association lifetime: 4608000 kilobytes/3600 seconds

PFS (Y/N): N

Transform sets={ myset, }

Interfaces using crypto map vpn: FastEthernet0

Informações Relacionadas

- Cisco PIX Firewall Software

- Referências do comando Cisco Secure PIX Firewall

- Avisos de campo de produto de segurança (incluindo PIX)

- Solicitações de Comentários (RFCs)

- Negociação IPsec/Protocolos IKE

- Suporte Técnico e Documentação - Cisco Systems