目录

简介

先决条件

要求

使用的组件

规则

网络图

配置

配置VPN 3000集中器

配置检查点NG

验证

检验网络通信

查看检查点NG上的隧道状态

查看VPN集中器上的隧道状态

故障排除

网络汇总

调试检查点 NG

调试 VPN 集中器

相关信息

简介

本文展示如何用预共享密钥配置IPSec隧道，从而在二个专用网络之间通信。在本示例中，通信网络是Cisco VPN 3000集中器内的192.168.10.x专用网络和Checkpoint下一代(NG)防火墙内的10.32.x.x专用网络。

先决条件

要求

- 从VPN集中器内和检查点NG内到Internet的流量（由172.18.124.x网络表示）必须在开始此配置之前流动。

- 用户必须熟悉IPSec协商。此过程可分为五个步骤，包括两个互联网密钥交换(IKE)阶段。

1. IPsec 隧道由相关数据流启动。如果数据流在 IPsec 对等体之间传输，则它会被认为是相关数据流。

2. 在 IKE 第 1 阶段中，IPsec 对等体对建立的 IKE 安全关联 (SA) 策略进行协商。对等体进行身份验证后，使用互联网安全关联和密钥管理协议(ISAKMP)创建安全隧道。

3. 在IKE第2阶段，IPSec对等体使用经过身份验证的安全隧道以协商IPSec SA转换。共享策略的协商决定建立 IPsec 隧道的方式。

4. 创建IPSec隧道，并根据IPSec转换集中配置的IPSec参数在IPSec对等体之间传输数据。

5. 如果删除了 IPsec SA，或者 IPsec SA 的生存时间到期，则 IPsec 隧道将终止。

使用的组件

此配置使用以下软件和硬件版本开发并测试：

- VPN 3000系列集中器3.5.2

- 检查点NG防火墙

规则

有关文档规则的详细信息，请参阅 Cisco 技术提示规则。

网络图

本文档使用以下网络设置：

注意：此配置中使用的IP编址方案在Internet上不可合法路由。这些地址是在实验室环境中使用的 RFC 1918 地址。

配置

配置VPN 3000集中器

要配置VPN 3000集中器，请完成以下步骤：

1. 转到Configuration > System > Tunneling Protocols > IPSec LAN到LAN以配置LAN到LAN会话。设置身份验证和IKE算法、预共享密钥、对等IP地址以及本地和远程网络参数的选项。单击 Apply。

在此配置中，身份验证设置为ESP-MD5-HMAC，加密设置为3DES。

2. 转到Configuration > System > Tunneling Protocols > IPSec > IKE Proposals并设置所需的参数。

选择IKE建议IKE-3DES-MD5并验证为建议选择的参数。单击Apply以配置LAN到LAN会话。

以下是此配置的参数：

3. 转至Configuration > Policy Management > Traffic Management > Security Associations，选择为会话创建的IPSec SA，并验证为LAN到LAN会话选择的IPSec SA参数。

在此配置中，LAN到LAN会话名称为“Checkpoint”，因此IPSec SA自动创建为“L2L:检查点。”

以下是此SA的参数：

配置检查点NG

网络对象和规则在检查点NG上定义，以组成与要设置的VPN配置相关的策略。然后，此策略随检查点NG策略编辑器一起安装，以完成配置的检查点NG端。

1. 为将加密相关流量的检查点NG网络和VPN集中器网络创建两个网络对象。

要创建对象，请选择“管理”>“网络对象”，然后选择“新建”>“网络”。输入适当的网络信息，然后点击OK。

这些示例显示了名为CP_inside（检查点NG的内部网络）和CONC_INSIDE（VPN集中器的内部网络）的网络对象的设置。

2. 转到Manage > Network Objects，并选择New > Workstation，以便为VPN设备、Checkpoint NG和VPN集中器创建工作站对象。

注：您可以使用在初始Checkpoint NG设置期间创建的Checkpoint NG工作站对象。选择选项，将工作站设置为网关和可互操作的VPN设备，然后单击确定。

以下示例显示名为ciscocp(Checkpoint NG)和CISCO_CONC（VPN 3000集中器）的对象的设置：

3. 转到Manage > Network Objects > Edit ，以打开Checkpoint NG工作站（本例中为ciscocp）的Workstation Properties窗口。 从窗口左边选择拓朴，然后选择要加密的网络。单击Edit以设置接口属性。

在本例中，CP_inside是检查点NG的内部网络。

4. 在“接口属性”窗口中，选择将工作站指定为内部的选项，然后指定适当的IP地址。Click OK.

图中所示的拓扑选择将工作站指定为内部，并指定CP_inside接口后面的IP地址：

5. 从“工作站属性”窗口中，选择Checkpoint NG上通向Internet的外部接口，然后单击编辑以设置接口属性。选择选项以将拓扑指定为外部拓扑，然后单击确定。

6. 从Checkpoint NG的Workstation Properties窗口中，从窗口左侧的选项中选择VPN，然后为加密和身份验证算法选择IKE参数。单击Edit以配置IKE属性。

7. 设置IKE属性以匹配VPN集中器上的属性。

在本示例中，为3DES选择加密选项，为MD5选择散列选项。

8. 选择预共享密钥的身份验证选项，然后单击编辑密钥以将预共享密钥设置为与VPN集中器上的预共享密钥兼容。单击Edit以按如图所示输入密钥，然后单击Set,OK。

9. 在IKE属性窗口中，单击Advanced...并更改以下设置：

- 取消选择“支持主动模式”选项。

- 选择“支持子网密钥交换”选项。

完成后，单击OK、OK。

10. 转到Manage > Network Objects > Edit ，以打开VPN集中器的Workstation Properties窗口。从窗口左侧的选项中选择Topology以手动定义VPN域。

在本示例中，CONC_INSIDE（VPN集中器的内部网络）定义为VPN域。

11. 从窗口左边选择VPN，然后选择IKE作为加密机制。单击Edit以配置IKE属性。

12. 设置IKE属性以反映VPN集中器上的当前配置。

在本示例中，为3DES设置加密选项，为MD5设置散列选项。

13. 选择Pre-Shared Secrets的身份验证选项，然后单击Edit Secrets以设置预共享密钥。单击Edit以按如图所示输入密钥，然后单击Set,OK。

14. 在IKE属性窗口中，单击Advanced...并更改以下设置：

- 选择适用于IKE属性的Diffie-Hellman组。

- 取消选择“支持主动模式”选项。

- 选择“支持子网密钥交换”选项。

完成后，单击OK、OK。

15. 选择Rules > Add Rules > Top以配置策略的加密规则。在策略编辑器窗口中，插入一个规则，其源为CP_inside（检查点NG的内部网络），目标为CONC_INSIDE（VPN集中器的内部网络）。 设置服务=任意、操作=加密和跟踪=日志。当您添加了规则的加密行为部分时，点击 Action 并且选择Edit Properties。

16. 选择IKE并单击Edit。

17. 在“IKE属性”窗口中，更改属性以与VPN集中器转换一致。

- 将“转换”选项设置为“加密+数据完整性(ESP)”。

- 将Encryption Algorithm（加密算法）设置为3DES。

- 将Data Integrity（数据完整性）设置为MD5。

- 设置允许的对等网关以匹配VPN集中器(CISCO_CONC)。

请在完成后单击 OK。

18. 配置Checkpoint NG后，保存策略并选择Policy > Install以启用它。

安装窗口在编译策略时显示进度说明。

当安装窗口指示策略安装已完成时，单击关闭以完成该过程。

验证

使用本部分可确认配置能否正常运行。

检验网络通信

为了测试两个专用网络之间的通信，您可以从其中一个专用网络向另一个专用网络发起ping。在此配置中，从检查点NG端(10.32.50.51)向VPN集中器网络(192.168.10.2)发送了ping。

查看检查点NG上的隧道状态

要查看隧道状态，请转到策略编辑器，然后选择窗口>系统状态。

查看VPN集中器上的隧道状态

要验证VPN集中器上的隧道状态，请转到Administration > Administer Sessions。

在LAN到LAN会话下，选择检查点的连接名称，以查看有关创建的SA以及传输/接收的数据包数的详细信息。

故障排除

本部分提供的信息可用于对配置进行故障排除。

注意：不能使用VPN集中器公有IP地址（外部接口）通过IPSec隧道对流量执行PAT。 否则，隧道会失败。因此，用于PATing的IP地址必须是外部接口上配置的地址以外的地址。

网络汇总

当检查点的加密域中配置了多个相邻的内部网络时，设备可以自动总结与相关流量相关的网络。如果 VPN 集中器未配置为匹配，则隧道可能会出现故障。例如，如果将内部网络10.0.0.0 /24和10.0.1.0 /24配置为包含在隧道中，则这些网络可总结为10.0.0.0 /23。

调试检查点 NG

要查看日志，请选择“窗口”>“日志查看器”。

调试 VPN 集中器

要在VPN集中器上启用调试，请转到Configuration > System > Events > Classes。启用AUTH、AUTHDBG、IKE、IKEDBG、IPSEC和IPSECDBG，使严重性记录为1 - 13。要查看调试，请选择“监控”>“可过滤事件日志”。

1 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=506 172.18.124.157

RECEIVED Message (msgid=0) with payloads :

HDR + SA (1) + VENDOR (13) + NONE (0) ... total length : 128

3 09/11/2002 20:36:03.610 SEV=9 IKEDBG/0 RPT=507 172.18.124.157

processing SA payload

4 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=508

Proposal # 1, Transform # 1, Type ISAKMP, Id IKE

Parsing received transform:

Phase 1 failure against global IKE proposal # 1:

Mismatched attr types for class Auth Method:

Rcv'd: Preshared Key

Cfg'd: XAUTH with Preshared Key (Initiator authenticated)

10 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=509

Phase 1 failure against global IKE proposal # 2:

Mismatched attr types for class DH Group:

Rcv'd: Oakley Group 2

Cfg'd: Oakley Group 1

13 09/11/2002 20:36:03.610 SEV=7 IKEDBG/0 RPT=510 172.18.124.157

Oakley proposal is acceptable

14 09/11/2002 20:36:03.610 SEV=9 IKEDBG/47 RPT=9 172.18.124.157

processing VID payload

15 09/11/2002 20:36:03.610 SEV=9 IKEDBG/0 RPT=511 172.18.124.157

processing IKE SA

16 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=512

Proposal # 1, Transform # 1, Type ISAKMP, Id IKE

Parsing received transform:

Phase 1 failure against global IKE proposal # 1:

Mismatched attr types for class Auth Method:

Rcv'd: Preshared Key

Cfg'd: XAUTH with Preshared Key (Initiator authenticated)

22 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=513

Phase 1 failure against global IKE proposal # 2:

Mismatched attr types for class DH Group:

Rcv'd: Oakley Group 2

Cfg'd: Oakley Group 1

25 09/11/2002 20:36:03.610 SEV=7 IKEDBG/28 RPT=9 172.18.124.157

IKE SA Proposal # 1, Transform # 1 acceptable

Matches global IKE entry # 3

26 09/11/2002 20:36:03.610 SEV=9 IKEDBG/0 RPT=514 172.18.124.157

constructing ISA_SA for isakmp

27 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=515 172.18.124.157

SENDING Message (msgid=0) with payloads :

HDR + SA (1) + NONE (0) ... total length : 84

29 09/11/2002 20:36:03.630 SEV=8 IKEDBG/0 RPT=516 172.18.124.157

RECEIVED Message (msgid=0) with payloads :

HDR + KE (4) + NONCE (10) + NONE (0) ... total length : 184

31 09/11/2002 20:36:03.630 SEV=8 IKEDBG/0 RPT=517 172.18.124.157

RECEIVED Message (msgid=0) with payloads :

HDR + KE (4) + NONCE (10) + NONE (0) ... total length : 184

33 09/11/2002 20:36:03.630 SEV=9 IKEDBG/0 RPT=518 172.18.124.157

processing ke payload

34 09/11/2002 20:36:03.630 SEV=9 IKEDBG/0 RPT=519 172.18.124.157

processing ISA_KE

35 09/11/2002 20:36:03.630 SEV=9 IKEDBG/1 RPT=91 172.18.124.157

processing nonce payload

36 09/11/2002 20:36:03.660 SEV=9 IKEDBG/0 RPT=520 172.18.124.157

constructing ke payload

37 09/11/2002 20:36:03.660 SEV=9 IKEDBG/1 RPT=92 172.18.124.157

constructing nonce payload

38 09/11/2002 20:36:03.660 SEV=9 IKEDBG/46 RPT=37 172.18.124.157

constructing Cisco Unity VID payload

39 09/11/2002 20:36:03.660 SEV=9 IKEDBG/46 RPT=38 172.18.124.157

constructing xauth V6 VID payload

40 09/11/2002 20:36:03.660 SEV=9 IKEDBG/48 RPT=19 172.18.124.157

Send IOS VID

41 09/11/2002 20:36:03.660 SEV=9 IKEDBG/38 RPT=10 172.18.124.157

Constructing VPN 3000 spoofing IOS Vendor ID payload (version: 1.0.0,

capabilities: 20000001)

43 09/11/2002 20:36:03.660 SEV=9 IKEDBG/46 RPT=39 172.18.124.157

constructing VID payload

44 09/11/2002 20:36:03.660 SEV=9 IKEDBG/48 RPT=20 172.18.124.157

Send Altiga GW VID

45 09/11/2002 20:36:03.660 SEV=9 IKEDBG/0 RPT=521 172.18.124.157

Generating keys for Responder...

46 09/11/2002 20:36:03.670 SEV=8 IKEDBG/0 RPT=522 172.18.124.157

SENDING Message (msgid=0) with payloads :

HDR + KE (4) + NONCE (10) ... total length : 256

48 09/11/2002 20:36:03.690 SEV=8 IKEDBG/0 RPT=523 172.18.124.157

RECEIVED Message (msgid=0) with payloads :

HDR + ID (5) + HASH (8) + NONE (0) ... total length : 60

50 09/11/2002 20:36:03.690 SEV=9 IKEDBG/1 RPT=93 172.18.124.157

Group [172.18.124.157]

Processing ID

51 09/11/2002 20:36:03.690 SEV=9 IKEDBG/0 RPT=524 172.18.124.157

Group [172.18.124.157]

processing hash

52 09/11/2002 20:36:03.690 SEV=9 IKEDBG/0 RPT=525 172.18.124.157

Group [172.18.124.157]

computing hash

53 09/11/2002 20:36:03.690 SEV=9 IKEDBG/23 RPT=10 172.18.124.157

Group [172.18.124.157]

Starting group lookup for peer 172.18.124.157

54 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/1 RPT=10

AUTH_Open() returns 9

55 09/11/2002 20:36:03.690 SEV=7 AUTH/12 RPT=10

Authentication session opened: handle = 9

56 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/3 RPT=10

AUTH_PutAttrTable(9, 748174)

57 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/6 RPT=10

AUTH_GroupAuthenticate(9, 2f1b19c, 49c648)

58 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/59 RPT=10

AUTH_BindServer(51a6b48, 0, 0)

59 09/11/2002 20:36:03.690 SEV=9 AUTHDBG/69 RPT=10

Auth Server e054d4 has been bound to ACB 51a6b48, sessions = 1

60 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/65 RPT=10

AUTH_CreateTimer(51a6b48, 0, 0)

61 09/11/2002 20:36:03.690 SEV=9 AUTHDBG/72 RPT=10

Reply timer created: handle = 4B0018

62 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/61 RPT=10

AUTH_BuildMsg(51a6b48, 0, 0)

63 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/64 RPT=10

AUTH_StartTimer(51a6b48, 0, 0)

64 09/11/2002 20:36:03.690 SEV=9 AUTHDBG/73 RPT=10

Reply timer started: handle = 4B0018, timestamp = 1163319,

timeout = 30000

65 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/62 RPT=10

AUTH_SndRequest(51a6b48, 0, 0)

66 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/50 RPT=19

IntDB_Decode(3825300, 156)

67 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/47 RPT=19

IntDB_Xmt(51a6b48)

68 09/11/2002 20:36:03.690 SEV=9 AUTHDBG/71 RPT=10

xmit_cnt = 1

69 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/47 RPT=20

IntDB_Xmt(51a6b48)

70 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/49 RPT=10

IntDB_Match(51a6b48, 3eb7ab0)

71 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/63 RPT=10

AUTH_RcvReply(51a6b48, 0, 0)

72 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/50 RPT=20

IntDB_Decode(3eb7ab0, 298)

73 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/48 RPT=10

IntDB_Rcv(51a6b48)

74 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/66 RPT=10

AUTH_DeleteTimer(51a6b48, 0, 0)

75 09/11/2002 20:36:03.790 SEV=9 AUTHDBG/74 RPT=10

Reply timer stopped: handle = 4B0018, timestamp = 1163329

76 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/58 RPT=10

AUTH_Callback(51a6b48, 0, 0)

77 09/11/2002 20:36:03.790 SEV=6 AUTH/41 RPT=10 172.18.124.157

Authentication successful: handle = 9, server = Internal,

group = 172.18.124.157

78 09/11/2002 20:36:03.790 SEV=7 IKEDBG/0 RPT=526 172.18.124.157

Group [172.18.124.157]

Found Phase 1 Group (172.18.124.157)

79 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/4 RPT=10

AUTH_GetAttrTable(9, 748420)

80 09/11/2002 20:36:03.790 SEV=7 IKEDBG/14 RPT=10 172.18.124.157

Group [172.18.124.157]

Authentication configured for Internal

81 09/11/2002 20:36:03.790 SEV=9 IKEDBG/19 RPT=19 172.18.124.157

Group [172.18.124.157]

IKEGetUserAttributes: IP Compression = disabled

82 09/11/2002 20:36:03.790 SEV=9 IKEDBG/19 RPT=20 172.18.124.157

Group [172.18.124.157]

IKEGetUserAttributes: Split Tunneling Policy = Disabled

83 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/2 RPT=10

AUTH_Close(9)

84 09/11/2002 20:36:03.790 SEV=9 IKEDBG/1 RPT=94 172.18.124.157

Group [172.18.124.157]

constructing ID

85 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=527

Group [172.18.124.157]

construct hash payload

86 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=528 172.18.124.157

Group [172.18.124.157]

computing hash

87 09/11/2002 20:36:03.790 SEV=9 IKEDBG/46 RPT=40 172.18.124.157

Group [172.18.124.157]

constructing dpd vid payload

88 09/11/2002 20:36:03.790 SEV=8 IKEDBG/0 RPT=529 172.18.124.157

SENDING Message (msgid=0) with payloads :

HDR + ID (5) + HASH (8) ... total length : 80

90 09/11/2002 20:36:03.790 SEV=4 IKE/119 RPT=10 172.18.124.157

Group [172.18.124.157]

PHASE 1 COMPLETED

91 09/11/2002 20:36:03.790 SEV=6 IKE/121 RPT=10 172.18.124.157

Keep-alive type for this connection: None

92 09/11/2002 20:36:03.790 SEV=6 IKE/122 RPT=10 172.18.124.157

Keep-alives configured on but peer does not

support keep-alives (type = None)

93 09/11/2002 20:36:03.790 SEV=7 IKEDBG/0 RPT=530 172.18.124.157

Group [172.18.124.157]

Starting phase 1 rekey timer: 64800000 (ms)

94 09/11/2002 20:36:03.790 SEV=4 AUTH/22 RPT=16

User 172.18.124.157 connected

95 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/60 RPT=10

AUTH_UnbindServer(51a6b48, 0, 0)

96 09/11/2002 20:36:03.790 SEV=9 AUTHDBG/70 RPT=10

Auth Server e054d4 has been unbound from ACB 51a6b48, sessions = 0

97 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/10 RPT=10

AUTH_Int_FreeAuthCB(51a6b48)

98 09/11/2002 20:36:03.790 SEV=7 AUTH/13 RPT=10

Authentication session closed: handle = 9

99 09/11/2002 20:36:03.790 SEV=8 IKEDBG/0 RPT=531 172.18.124.157

RECEIVED Message (msgid=54796f76) with payloads :

HDR + HASH (8) + SA (1) + NONCE (10) + ID (5) + ID (5) + NONE (0)

... total length : 156

102 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=532 172.18.124.157

Group [172.18.124.157]

processing hash

103 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=533 172.18.124.157

Group [172.18.124.157]

processing SA payload

104 09/11/2002 20:36:03.790 SEV=9 IKEDBG/1 RPT=95 172.18.124.157

Group [172.18.124.157]

processing nonce payload

105 09/11/2002 20:36:03.790 SEV=9 IKEDBG/1 RPT=96 172.18.124.157

Group [172.18.124.157]

Processing ID

106 09/11/2002 20:36:03.790 SEV=5 IKE/35 RPT=6 172.18.124.157

Group [172.18.124.157]

Received remote IP Proxy Subnet data in ID Payload:

Address 10.32.0.0, Mask 255.255.128.0, Protocol 0, Port 0

109 09/11/2002 20:36:03.790 SEV=9 IKEDBG/1 RPT=97 172.18.124.157

Group [172.18.124.157]

Processing ID

110 09/11/2002 20:36:03.790 SEV=5 IKE/34 RPT=6 172.18.124.157

Group [172.18.124.157]

Received local IP Proxy Subnet data in ID Payload:

Address 192.168.10.0, Mask 255.255.255.0, Protocol 0, Port 0

113 09/11/2002 20:36:03.790 SEV=8 IKEDBG/0 RPT=534

QM IsRekeyed old sa not found by addr

114 09/11/2002 20:36:03.790 SEV=5 IKE/66 RPT=8 172.18.124.157

Group [172.18.124.157]

IKE Remote Peer configured for SA: L2L: Checkpoint

115 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=535 172.18.124.157

Group [172.18.124.157]

processing IPSEC SA

116 09/11/2002 20:36:03.790 SEV=7 IKEDBG/27 RPT=8 172.18.124.157

Group [172.18.124.157]

IPSec SA Proposal # 1, Transform # 1 acceptable

117 09/11/2002 20:36:03.790 SEV=7 IKEDBG/0 RPT=536 172.18.124.157

Group [172.18.124.157]

IKE: requesting SPI!

118 09/11/2002 20:36:03.790 SEV=9 IPSECDBG/6 RPT=39

IPSEC key message parse - msgtype 6, len 200, vers 1, pid 00000000,

seq 10, err 0, type 2, mode 0, state 32, label 0, pad 0,

spi 00000000, encrKeyLen 0, hashKeyLen 0, ivlen 0, alg 0, hmacAlg 0,

lifetype 0, lifetime1 17248580, lifetime2 0, dsId 300

122 09/11/2002 20:36:03.790 SEV=9 IPSECDBG/1 RPT=139

Processing KEY_GETSPI msg!

123 09/11/2002 20:36:03.790 SEV=7 IPSECDBG/13 RPT=10

Reserved SPI 305440147

124 09/11/2002 20:36:03.790 SEV=8 IKEDBG/6 RPT=10

IKE got SPI from key engine: SPI = 0x1234a593

125 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=537 172.18.124.157

Group [172.18.124.157]

oakley constucting quick mode

126 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=538 172.18.124.157

Group [172.18.124.157]

constructing blank hash

127 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=539 172.18.124.157

Group [172.18.124.157]

constructing ISA_SA for ipsec

128 09/11/2002 20:36:03.800 SEV=9 IKEDBG/1 RPT=98 172.18.124.157

Group [172.18.124.157]

constructing ipsec nonce payload

129 09/11/2002 20:36:03.800 SEV=9 IKEDBG/1 RPT=99 172.18.124.157

Group [172.18.124.157]

constructing proxy ID

130 09/11/2002 20:36:03.800 SEV=7 IKEDBG/0 RPT=540 172.18.124.157

Group [172.18.124.157]

Transmitting Proxy Id:

Remote subnet: 10.32.0.0 Mask 255.255.128.0 Protocol 0 Port 0

Local subnet: 192.168.10.0 mask 255.255.255.0 Protocol 0 Port 0

134 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=541 172.18.124.157

Group [172.18.124.157]

constructing qm hash

135 09/11/2002 20:36:03.800 SEV=8 IKEDBG/0 RPT=542 172.18.124.157

SENDING Message (msgid=54796f76) with payloads :

HDR + HASH (8) + SA (1) ... total length : 152

137 09/11/2002 20:36:03.800 SEV=8 IKEDBG/0 RPT=543 172.18.124.157

RECEIVED Message (msgid=54796f76) with payloads :

HDR + HASH (8) + NONE (0) ... total length : 48

139 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=544 172.18.124.157

Group [172.18.124.157]

processing hash

140 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=545 172.18.124.157

Group [172.18.124.157]

loading all IPSEC SAs

141 09/11/2002 20:36:03.800 SEV=9 IKEDBG/1 RPT=100 172.18.124.157

Group [172.18.124.157]

Generating Quick Mode Key!

142 09/11/2002 20:36:03.800 SEV=9 IKEDBG/1 RPT=101 172.18.124.157

Group [172.18.124.157]

Generating Quick Mode Key!

143 09/11/2002 20:36:03.800 SEV=7 IKEDBG/0 RPT=546 172.18.124.157

Group [172.18.124.157]

Loading subnet:

Dst: 192.168.10.0 mask: 255.255.255.0

Src: 10.32.0.0 mask: 255.255.128.0

146 09/11/2002 20:36:03.800 SEV=4 IKE/49 RPT=7 172.18.124.157

Group [172.18.124.157]

Security negotiation complete for LAN-to-LAN Group (172.18.124.157)

Responder, Inbound SPI = 0x1234a593, Outbound SPI = 0x0df37959

149 09/11/2002 20:36:03.800 SEV=9 IPSECDBG/6 RPT=40

IPSEC key message parse - msgtype 1, len 606, vers 1, pid 00000000,

seq 0, err 0, type 2, mode 1, state 64, label 0, pad 0,

spi 0df37959, encrKeyLen 24, hashKeyLen 16, ivlen 8, alg 2, hmacAlg 3,

lifetype 0, lifetime1 17248580, lifetime2 0, dsId 0

153 09/11/2002 20:36:03.800 SEV=9 IPSECDBG/1 RPT=140

Processing KEY_ADD msg!

154 09/11/2002 20:36:03.800 SEV=9 IPSECDBG/1 RPT=141

key_msghdr2secassoc(): Enter

155 09/11/2002 20:36:03.800 SEV=7 IPSECDBG/1 RPT=142

No USER filter configured

156 09/11/2002 20:36:03.800 SEV=9 IPSECDBG/1 RPT=143

KeyProcessAdd: Enter

157 09/11/2002 20:36:03.800 SEV=8 IPSECDBG/1 RPT=144

KeyProcessAdd: Adding outbound SA

158 09/11/2002 20:36:03.800 SEV=8 IPSECDBG/1 RPT=145

KeyProcessAdd: src 192.168.10.0 mask 0.0.0.255,

dst 10.32.0.0 mask 0.0.127.255

159 09/11/2002 20:36:03.810 SEV=8 IPSECDBG/1 RPT=146

KeyProcessAdd: FilterIpsecAddIkeSa success

160 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/6 RPT=41

IPSEC key message parse - msgtype 3, len 327, vers 1, pid 00000000,

seq 0, err 0, type 2, mode 1, state 32, label 0, pad 0,

spi 1234a593, encrKeyLen 24, hashKeyLen 16, ivlen 8, alg 2, hmacAlg 3,

lifetype 0, lifetime1 17248580, lifetime2 0, dsId 0

164 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/1 RPT=147

Processing KEY_UPDATE msg!

165 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/1 RPT=148

Update inbound SA addresses

166 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/1 RPT=149

key_msghdr2secassoc(): Enter

167 09/11/2002 20:36:03.810 SEV=7 IPSECDBG/1 RPT=150

No USER filter configured

168 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/1 RPT=151

KeyProcessUpdate: Enter

169 09/11/2002 20:36:03.810 SEV=8 IPSECDBG/1 RPT=152

KeyProcessUpdate: success

170 09/11/2002 20:36:03.810 SEV=8 IKEDBG/7 RPT=7

IKE got a KEY_ADD msg for SA: SPI = 0x0df37959

171 09/11/2002 20:36:03.810 SEV=8 IKEDBG/0 RPT=547

pitcher: rcv KEY_UPDATE, spi 0x1234a593

172 09/11/2002 20:36:03.810 SEV=4 IKE/120 RPT=7 172.18.124.157

Group [172.18.124.157]

PHASE 2 COMPLETED (msgid=54796f76)

相关信息

- Cisco VPN 3000 系列集中器支持页

- Cisco VPN 3000 系列客户端支持页

- IPSec 支持页面

- 技术支持 - Cisco Systems