目錄

簡介

必要條件

需求

採用元件

慣例

網路圖表

組態

配置VPN 3000 Concentrator

配置檢查點NG

驗證

驗證網路通訊

檢視檢查點NG上的隧道狀態

檢視VPN集中器上的隧道狀態

疑難排解

網路摘要

檢查點NG的調試

VPN集中器的調試

相關資訊

簡介

本文檔演示如何使用預共用金鑰配置IPSec隧道以在兩個專用網路之間進行通訊。在本示例中，通訊網路是Cisco VPN 3000集中器內的192.168.10.x專用網路和Checkpoint Next Generation(NG)防火牆內的10.32.x.x專用網路。

必要條件

需求

- 從VPN集中器內部和Checkpoint NG內部到Internet的流量（此處由172.18.124.x網路表示）必須在開始此配置之前流動。

- 使用者必須熟悉IPSec協商。此過程可分為五個步驟，包括兩個網際網路金鑰交換(IKE)階段。

1. IPSec隧道由相關流量發起。流量在IPSec對等體之間傳輸時被認為很有趣。

2. 在IKE第1階段，IPSec對等體協商已建立的IKE安全關聯(SA)策略。對等點通過驗證後，會使用網際網路安全性關聯和金鑰管理通訊協定(ISAKMP)建立一個安全通道。

3. 在IKE第2階段，IPSec對等體使用經過身份驗證的安全隧道來協商IPSec SA轉換。共用策略的協商決定如何建立IPSec隧道。

4. 建立IPSec隧道，並根據IPSec轉換集中配置的IPSec引數在IPSec對等體之間傳輸資料。

5. IPSec SA被刪除或其生存期到期時，IPSec隧道將終止。

採用元件

已使用以下軟體和硬體版本開發和測試此配置：

- VPN 3000系列集中器3.5.2

- 檢查點NG防火牆

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

網路圖表

本檔案會使用以下網路設定：

注意：此配置中使用的IP編址方案在Internet上不能合法路由。它們是RFC 1918地址，已在實驗室環境中使用。

組態

配置VPN 3000 Concentrator

要配置VPN 3000集中器，請完成以下步驟：

1. 若要設定LAN到LAN作業階段，請前往Configuration > System > Tunneling Protocols > IPSec LAN-to-LAN。設定身份驗證和IKE演算法、預共用金鑰、對等IP地址以及本地和遠端網路引數的選項。按一下「Apply」。

在此配置中，身份驗證設定為ESP-MD5-HMAC，加密設定為3DES。

2. 轉至Configuration > System > Tunneling Protocols > IPSec > IKE Proposals，並設定所需的引數。

選擇IKE提議IKE-3DES-MD5並驗證為提議選擇的引數。按一下「Apply」以設定LAN到LAN作業階段。

以下是此組態的引數：

3. 轉至Configuration > Policy Management > Traffic Management > Security Associations，選擇為會話建立的IPSec SA，並驗證為LAN到LAN會話選擇的IPSec SA引數。

在此配置中，LAN到LAN會話名稱為「檢查點」，因此IPSec SA自動建立為「L2L:檢查點。」

以下是此SA的引數：

配置檢查點NG

在Checkpoint NG上定義網路對象和規則，以便制定與要設定的VPN配置相關的策略。然後使用檢查點NG策略編輯器安裝此策略，以完成配置的檢查點NG端。

1. 為將加密相關流量的Checkpoint NG網路和VPN集中器網路建立兩個網路對象。

要建立對象，請選擇管理>網路對象，然後選擇新建>網路。輸入相應的網路資訊，然後按一下OK（確定）。

這些示例顯示了名為CP_inside（檢查點NG的內部網路）和CONC_INSIDE（VPN集中器的內部網路）的網路對象的設定。

2. 轉到管理>網路對象，然後選擇新建>工作站，以便為VPN裝置、檢查點NG和VPN集中器建立工作站對象。

註：您可以使用在初始檢查點NG設定期間建立的Checkpoint NG工作站對象。選擇選項將工作站設定為Gateway and Interoperable VPN Device，然後按一下OK。

以下示例顯示名為ciscocp(Checkpoint NG)和CISCO_CONC(VPN 3000 Concentrator)的對象設定：

3. 要開啟Checkpoint NG工作站（本例中為ciscocp）的「工作站屬性」視窗，請轉到管理>網路對象>編輯。 從視窗左側的選項中選擇Topology，然後選擇要加密的網路。按一下「Edit」以設定介面屬性。

在本示例中，CP_inside是檢查點NG的內部網路。

4. 在Interface Properties視窗中，選擇用於將工作站指定為內部工作站的選項，然後指定適當的IP地址。按一下「OK」（確定）。

顯示的拓撲選擇將工作站指定為內部，並在CP_inside介面後指定IP地址：

5. 在「工作站屬性」視窗中，選擇指向Internet的檢查點NG上的外部介面，然後按一下編輯以設定介面屬性。選擇該選項將拓撲指定為外部拓撲，然後按一下確定。

6. 在Checkpoint NG上的Workstation Properties視窗中，從視窗左側的選項中選擇VPN，然後選擇用於加密和身份驗證演算法的IKE引數。按一下Edit以配置IKE屬性。

7. 設定IKE屬性以匹配VPN集中器上的屬性。

在本示例中，為3DES選擇加密選項，為MD選擇雜湊選項。

8. 選擇Pre-Shared Secrets的身份驗證選項，然後按一下Edit Secrets，將預共用金鑰設定為與VPN集中器上的預共用金鑰相容。按一下「Edit」以輸入您的金鑰，如下圖所示，然後按一下「Set」，最後按一下「OK」。

9. 在IKE屬性視窗中，按一下Advanced...並更改以下設定：

- 取消選擇Support aggressive mode選項。

- 選擇支援子網金鑰交換的選項。

完成後，按一下OK、OK。

10. 轉至Manage > Network Objects > Edit，開啟VPN集中器的Workstation Properties視窗。從視窗左側的選項中選擇Topology，以便手動定義VPN域。

在本示例中，CONC_INSIDE（VPN集中器的內部網路）定義為VPN域。

11. 從視窗左側的選項中選擇VPN，然後選擇IKE作為加密方案。按一下Edit以配置IKE屬性。

12. 設定IKE屬性以反映VPN集中器上的當前配置。

在本示例中，為3DES設定加密選項，為MD設定雜湊選項。

13. 選擇預共用金鑰的身份驗證選項，然後按一下Edit Secrets以設定預共用金鑰。按一下「Edit」以輸入您的金鑰，如下圖所示，然後按一下「Set」，最後按一下「OK」。

14. 在IKE屬性視窗中，按一下Advanced...並更改以下設定：

- 選擇適用於IKE屬性的Diffie-Hellman組。

- 取消選擇Support aggressive mode選項。

- 選擇支援子網金鑰交換的選項。

完成後，按一下OK、OK。

15. 選擇Rules > Add Rules > Top以配置策略的加密規則。在Policy Editor（策略編輯器）視窗中，插入一條規則，其中源為CP_inside（檢查點NG的內部網路），目標為CONC_INSIDE（VPN集中器的內部網路）。 設定Service = Any、Action = Encrypt和Track = Log的值。新增規則的Encrypt Action部分後，按一下右鍵Action並選擇Edit Properties。

16. 選擇IKE，然後按一下Edit。

17. 在IKE屬性視窗中，更改屬性以與VPN集中器轉換一致。

- 將Transform選項設定為Encryption + Data Integrity(ESP)。

- 將「加密演算法」設定為3DES。

- 將資料完整性設置為MD5。

- 將Allowed Peer Gateway設定為match the VPN Concentrator(CISCO_CONC)。

完成後，按一下OK。

18. 配置檢查點NG後，儲存策略並選擇Policy > Install以啟用它。

編譯策略時，安裝視窗將顯示進度註釋。

當安裝視窗指示策略安裝完成時，按一下Close以完成該過程。

驗證

使用本節內容，確認您的組態是否正常運作。

驗證網路通訊

為了測試兩個專用網路之間的通訊，您可以啟動從其中一個專用網路到另一個專用網路的ping。在此配置中，從檢查點NG端(10.32.50.51)向VPN集中器網路(192.168.10.2)傳送ping。

檢視檢查點NG上的隧道狀態

要檢視隧道狀態，請轉至策略編輯器並選擇視窗>系統狀態。

檢視VPN集中器上的隧道狀態

要驗證VPN集中器上的隧道狀態，請轉到管理>管理會話。

在LAN到LAN會話下，選擇檢查點的連線名稱，以檢視有關建立的SA和傳送/接收的資料包數量的詳細資訊。

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

注意：不得使用VPN集中器公共IP地址（外部介面）通過IPSec隧道對流量執行PAT。 否則，通道會失敗。因此，用於PAT的IP地址必須是外部介面上配置的地址以外的地址。

網路摘要

當在Checkpoint上的加密域中配置多個相鄰的內部網路時，裝置可以自動總結與所需流量相關的網路。如果VPN集中器未配置為匹配，則通道可能會失敗。例如，如果將10.0.0.0 /24和10.0.1.0 /24的內部網路配置為包括在隧道中，則這些網路可以總結為10.0.0.0 /23。

檢查點NG的調試

要檢視日誌，請選擇視窗>日誌檢視器。

VPN集中器的調試

要在VPN集中器上啟用調試，請轉到Configuration > System > Events > Classes。啟用AUTH、AUTHDBG、IKE、IKEDBG、IPSEC和IPSECDBG以使嚴重性記錄為1 - 13。要檢視調試，請選擇Monitoring > Filterable Event Log。

1 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=506 172.18.124.157

RECEIVED Message (msgid=0) with payloads :

HDR + SA (1) + VENDOR (13) + NONE (0) ... total length : 128

3 09/11/2002 20:36:03.610 SEV=9 IKEDBG/0 RPT=507 172.18.124.157

processing SA payload

4 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=508

Proposal # 1, Transform # 1, Type ISAKMP, Id IKE

Parsing received transform:

Phase 1 failure against global IKE proposal # 1:

Mismatched attr types for class Auth Method:

Rcv'd: Preshared Key

Cfg'd: XAUTH with Preshared Key (Initiator authenticated)

10 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=509

Phase 1 failure against global IKE proposal # 2:

Mismatched attr types for class DH Group:

Rcv'd: Oakley Group 2

Cfg'd: Oakley Group 1

13 09/11/2002 20:36:03.610 SEV=7 IKEDBG/0 RPT=510 172.18.124.157

Oakley proposal is acceptable

14 09/11/2002 20:36:03.610 SEV=9 IKEDBG/47 RPT=9 172.18.124.157

processing VID payload

15 09/11/2002 20:36:03.610 SEV=9 IKEDBG/0 RPT=511 172.18.124.157

processing IKE SA

16 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=512

Proposal # 1, Transform # 1, Type ISAKMP, Id IKE

Parsing received transform:

Phase 1 failure against global IKE proposal # 1:

Mismatched attr types for class Auth Method:

Rcv'd: Preshared Key

Cfg'd: XAUTH with Preshared Key (Initiator authenticated)

22 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=513

Phase 1 failure against global IKE proposal # 2:

Mismatched attr types for class DH Group:

Rcv'd: Oakley Group 2

Cfg'd: Oakley Group 1

25 09/11/2002 20:36:03.610 SEV=7 IKEDBG/28 RPT=9 172.18.124.157

IKE SA Proposal # 1, Transform # 1 acceptable

Matches global IKE entry # 3

26 09/11/2002 20:36:03.610 SEV=9 IKEDBG/0 RPT=514 172.18.124.157

constructing ISA_SA for isakmp

27 09/11/2002 20:36:03.610 SEV=8 IKEDBG/0 RPT=515 172.18.124.157

SENDING Message (msgid=0) with payloads :

HDR + SA (1) + NONE (0) ... total length : 84

29 09/11/2002 20:36:03.630 SEV=8 IKEDBG/0 RPT=516 172.18.124.157

RECEIVED Message (msgid=0) with payloads :

HDR + KE (4) + NONCE (10) + NONE (0) ... total length : 184

31 09/11/2002 20:36:03.630 SEV=8 IKEDBG/0 RPT=517 172.18.124.157

RECEIVED Message (msgid=0) with payloads :

HDR + KE (4) + NONCE (10) + NONE (0) ... total length : 184

33 09/11/2002 20:36:03.630 SEV=9 IKEDBG/0 RPT=518 172.18.124.157

processing ke payload

34 09/11/2002 20:36:03.630 SEV=9 IKEDBG/0 RPT=519 172.18.124.157

processing ISA_KE

35 09/11/2002 20:36:03.630 SEV=9 IKEDBG/1 RPT=91 172.18.124.157

processing nonce payload

36 09/11/2002 20:36:03.660 SEV=9 IKEDBG/0 RPT=520 172.18.124.157

constructing ke payload

37 09/11/2002 20:36:03.660 SEV=9 IKEDBG/1 RPT=92 172.18.124.157

constructing nonce payload

38 09/11/2002 20:36:03.660 SEV=9 IKEDBG/46 RPT=37 172.18.124.157

constructing Cisco Unity VID payload

39 09/11/2002 20:36:03.660 SEV=9 IKEDBG/46 RPT=38 172.18.124.157

constructing xauth V6 VID payload

40 09/11/2002 20:36:03.660 SEV=9 IKEDBG/48 RPT=19 172.18.124.157

Send IOS VID

41 09/11/2002 20:36:03.660 SEV=9 IKEDBG/38 RPT=10 172.18.124.157

Constructing VPN 3000 spoofing IOS Vendor ID payload (version: 1.0.0,

capabilities: 20000001)

43 09/11/2002 20:36:03.660 SEV=9 IKEDBG/46 RPT=39 172.18.124.157

constructing VID payload

44 09/11/2002 20:36:03.660 SEV=9 IKEDBG/48 RPT=20 172.18.124.157

Send Altiga GW VID

45 09/11/2002 20:36:03.660 SEV=9 IKEDBG/0 RPT=521 172.18.124.157

Generating keys for Responder...

46 09/11/2002 20:36:03.670 SEV=8 IKEDBG/0 RPT=522 172.18.124.157

SENDING Message (msgid=0) with payloads :

HDR + KE (4) + NONCE (10) ... total length : 256

48 09/11/2002 20:36:03.690 SEV=8 IKEDBG/0 RPT=523 172.18.124.157

RECEIVED Message (msgid=0) with payloads :

HDR + ID (5) + HASH (8) + NONE (0) ... total length : 60

50 09/11/2002 20:36:03.690 SEV=9 IKEDBG/1 RPT=93 172.18.124.157

Group [172.18.124.157]

Processing ID

51 09/11/2002 20:36:03.690 SEV=9 IKEDBG/0 RPT=524 172.18.124.157

Group [172.18.124.157]

processing hash

52 09/11/2002 20:36:03.690 SEV=9 IKEDBG/0 RPT=525 172.18.124.157

Group [172.18.124.157]

computing hash

53 09/11/2002 20:36:03.690 SEV=9 IKEDBG/23 RPT=10 172.18.124.157

Group [172.18.124.157]

Starting group lookup for peer 172.18.124.157

54 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/1 RPT=10

AUTH_Open() returns 9

55 09/11/2002 20:36:03.690 SEV=7 AUTH/12 RPT=10

Authentication session opened: handle = 9

56 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/3 RPT=10

AUTH_PutAttrTable(9, 748174)

57 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/6 RPT=10

AUTH_GroupAuthenticate(9, 2f1b19c, 49c648)

58 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/59 RPT=10

AUTH_BindServer(51a6b48, 0, 0)

59 09/11/2002 20:36:03.690 SEV=9 AUTHDBG/69 RPT=10

Auth Server e054d4 has been bound to ACB 51a6b48, sessions = 1

60 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/65 RPT=10

AUTH_CreateTimer(51a6b48, 0, 0)

61 09/11/2002 20:36:03.690 SEV=9 AUTHDBG/72 RPT=10

Reply timer created: handle = 4B0018

62 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/61 RPT=10

AUTH_BuildMsg(51a6b48, 0, 0)

63 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/64 RPT=10

AUTH_StartTimer(51a6b48, 0, 0)

64 09/11/2002 20:36:03.690 SEV=9 AUTHDBG/73 RPT=10

Reply timer started: handle = 4B0018, timestamp = 1163319,

timeout = 30000

65 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/62 RPT=10

AUTH_SndRequest(51a6b48, 0, 0)

66 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/50 RPT=19

IntDB_Decode(3825300, 156)

67 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/47 RPT=19

IntDB_Xmt(51a6b48)

68 09/11/2002 20:36:03.690 SEV=9 AUTHDBG/71 RPT=10

xmit_cnt = 1

69 09/11/2002 20:36:03.690 SEV=8 AUTHDBG/47 RPT=20

IntDB_Xmt(51a6b48)

70 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/49 RPT=10

IntDB_Match(51a6b48, 3eb7ab0)

71 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/63 RPT=10

AUTH_RcvReply(51a6b48, 0, 0)

72 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/50 RPT=20

IntDB_Decode(3eb7ab0, 298)

73 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/48 RPT=10

IntDB_Rcv(51a6b48)

74 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/66 RPT=10

AUTH_DeleteTimer(51a6b48, 0, 0)

75 09/11/2002 20:36:03.790 SEV=9 AUTHDBG/74 RPT=10

Reply timer stopped: handle = 4B0018, timestamp = 1163329

76 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/58 RPT=10

AUTH_Callback(51a6b48, 0, 0)

77 09/11/2002 20:36:03.790 SEV=6 AUTH/41 RPT=10 172.18.124.157

Authentication successful: handle = 9, server = Internal,

group = 172.18.124.157

78 09/11/2002 20:36:03.790 SEV=7 IKEDBG/0 RPT=526 172.18.124.157

Group [172.18.124.157]

Found Phase 1 Group (172.18.124.157)

79 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/4 RPT=10

AUTH_GetAttrTable(9, 748420)

80 09/11/2002 20:36:03.790 SEV=7 IKEDBG/14 RPT=10 172.18.124.157

Group [172.18.124.157]

Authentication configured for Internal

81 09/11/2002 20:36:03.790 SEV=9 IKEDBG/19 RPT=19 172.18.124.157

Group [172.18.124.157]

IKEGetUserAttributes: IP Compression = disabled

82 09/11/2002 20:36:03.790 SEV=9 IKEDBG/19 RPT=20 172.18.124.157

Group [172.18.124.157]

IKEGetUserAttributes: Split Tunneling Policy = Disabled

83 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/2 RPT=10

AUTH_Close(9)

84 09/11/2002 20:36:03.790 SEV=9 IKEDBG/1 RPT=94 172.18.124.157

Group [172.18.124.157]

constructing ID

85 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=527

Group [172.18.124.157]

construct hash payload

86 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=528 172.18.124.157

Group [172.18.124.157]

computing hash

87 09/11/2002 20:36:03.790 SEV=9 IKEDBG/46 RPT=40 172.18.124.157

Group [172.18.124.157]

constructing dpd vid payload

88 09/11/2002 20:36:03.790 SEV=8 IKEDBG/0 RPT=529 172.18.124.157

SENDING Message (msgid=0) with payloads :

HDR + ID (5) + HASH (8) ... total length : 80

90 09/11/2002 20:36:03.790 SEV=4 IKE/119 RPT=10 172.18.124.157

Group [172.18.124.157]

PHASE 1 COMPLETED

91 09/11/2002 20:36:03.790 SEV=6 IKE/121 RPT=10 172.18.124.157

Keep-alive type for this connection: None

92 09/11/2002 20:36:03.790 SEV=6 IKE/122 RPT=10 172.18.124.157

Keep-alives configured on but peer does not

support keep-alives (type = None)

93 09/11/2002 20:36:03.790 SEV=7 IKEDBG/0 RPT=530 172.18.124.157

Group [172.18.124.157]

Starting phase 1 rekey timer: 64800000 (ms)

94 09/11/2002 20:36:03.790 SEV=4 AUTH/22 RPT=16

User 172.18.124.157 connected

95 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/60 RPT=10

AUTH_UnbindServer(51a6b48, 0, 0)

96 09/11/2002 20:36:03.790 SEV=9 AUTHDBG/70 RPT=10

Auth Server e054d4 has been unbound from ACB 51a6b48, sessions = 0

97 09/11/2002 20:36:03.790 SEV=8 AUTHDBG/10 RPT=10

AUTH_Int_FreeAuthCB(51a6b48)

98 09/11/2002 20:36:03.790 SEV=7 AUTH/13 RPT=10

Authentication session closed: handle = 9

99 09/11/2002 20:36:03.790 SEV=8 IKEDBG/0 RPT=531 172.18.124.157

RECEIVED Message (msgid=54796f76) with payloads :

HDR + HASH (8) + SA (1) + NONCE (10) + ID (5) + ID (5) + NONE (0)

... total length : 156

102 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=532 172.18.124.157

Group [172.18.124.157]

processing hash

103 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=533 172.18.124.157

Group [172.18.124.157]

processing SA payload

104 09/11/2002 20:36:03.790 SEV=9 IKEDBG/1 RPT=95 172.18.124.157

Group [172.18.124.157]

processing nonce payload

105 09/11/2002 20:36:03.790 SEV=9 IKEDBG/1 RPT=96 172.18.124.157

Group [172.18.124.157]

Processing ID

106 09/11/2002 20:36:03.790 SEV=5 IKE/35 RPT=6 172.18.124.157

Group [172.18.124.157]

Received remote IP Proxy Subnet data in ID Payload:

Address 10.32.0.0, Mask 255.255.128.0, Protocol 0, Port 0

109 09/11/2002 20:36:03.790 SEV=9 IKEDBG/1 RPT=97 172.18.124.157

Group [172.18.124.157]

Processing ID

110 09/11/2002 20:36:03.790 SEV=5 IKE/34 RPT=6 172.18.124.157

Group [172.18.124.157]

Received local IP Proxy Subnet data in ID Payload:

Address 192.168.10.0, Mask 255.255.255.0, Protocol 0, Port 0

113 09/11/2002 20:36:03.790 SEV=8 IKEDBG/0 RPT=534

QM IsRekeyed old sa not found by addr

114 09/11/2002 20:36:03.790 SEV=5 IKE/66 RPT=8 172.18.124.157

Group [172.18.124.157]

IKE Remote Peer configured for SA: L2L: Checkpoint

115 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=535 172.18.124.157

Group [172.18.124.157]

processing IPSEC SA

116 09/11/2002 20:36:03.790 SEV=7 IKEDBG/27 RPT=8 172.18.124.157

Group [172.18.124.157]

IPSec SA Proposal # 1, Transform # 1 acceptable

117 09/11/2002 20:36:03.790 SEV=7 IKEDBG/0 RPT=536 172.18.124.157

Group [172.18.124.157]

IKE: requesting SPI!

118 09/11/2002 20:36:03.790 SEV=9 IPSECDBG/6 RPT=39

IPSEC key message parse - msgtype 6, len 200, vers 1, pid 00000000,

seq 10, err 0, type 2, mode 0, state 32, label 0, pad 0,

spi 00000000, encrKeyLen 0, hashKeyLen 0, ivlen 0, alg 0, hmacAlg 0,

lifetype 0, lifetime1 17248580, lifetime2 0, dsId 300

122 09/11/2002 20:36:03.790 SEV=9 IPSECDBG/1 RPT=139

Processing KEY_GETSPI msg!

123 09/11/2002 20:36:03.790 SEV=7 IPSECDBG/13 RPT=10

Reserved SPI 305440147

124 09/11/2002 20:36:03.790 SEV=8 IKEDBG/6 RPT=10

IKE got SPI from key engine: SPI = 0x1234a593

125 09/11/2002 20:36:03.790 SEV=9 IKEDBG/0 RPT=537 172.18.124.157

Group [172.18.124.157]

oakley constucting quick mode

126 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=538 172.18.124.157

Group [172.18.124.157]

constructing blank hash

127 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=539 172.18.124.157

Group [172.18.124.157]

constructing ISA_SA for ipsec

128 09/11/2002 20:36:03.800 SEV=9 IKEDBG/1 RPT=98 172.18.124.157

Group [172.18.124.157]

constructing ipsec nonce payload

129 09/11/2002 20:36:03.800 SEV=9 IKEDBG/1 RPT=99 172.18.124.157

Group [172.18.124.157]

constructing proxy ID

130 09/11/2002 20:36:03.800 SEV=7 IKEDBG/0 RPT=540 172.18.124.157

Group [172.18.124.157]

Transmitting Proxy Id:

Remote subnet: 10.32.0.0 Mask 255.255.128.0 Protocol 0 Port 0

Local subnet: 192.168.10.0 mask 255.255.255.0 Protocol 0 Port 0

134 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=541 172.18.124.157

Group [172.18.124.157]

constructing qm hash

135 09/11/2002 20:36:03.800 SEV=8 IKEDBG/0 RPT=542 172.18.124.157

SENDING Message (msgid=54796f76) with payloads :

HDR + HASH (8) + SA (1) ... total length : 152

137 09/11/2002 20:36:03.800 SEV=8 IKEDBG/0 RPT=543 172.18.124.157

RECEIVED Message (msgid=54796f76) with payloads :

HDR + HASH (8) + NONE (0) ... total length : 48

139 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=544 172.18.124.157

Group [172.18.124.157]

processing hash

140 09/11/2002 20:36:03.800 SEV=9 IKEDBG/0 RPT=545 172.18.124.157

Group [172.18.124.157]

loading all IPSEC SAs

141 09/11/2002 20:36:03.800 SEV=9 IKEDBG/1 RPT=100 172.18.124.157

Group [172.18.124.157]

Generating Quick Mode Key!

142 09/11/2002 20:36:03.800 SEV=9 IKEDBG/1 RPT=101 172.18.124.157

Group [172.18.124.157]

Generating Quick Mode Key!

143 09/11/2002 20:36:03.800 SEV=7 IKEDBG/0 RPT=546 172.18.124.157

Group [172.18.124.157]

Loading subnet:

Dst: 192.168.10.0 mask: 255.255.255.0

Src: 10.32.0.0 mask: 255.255.128.0

146 09/11/2002 20:36:03.800 SEV=4 IKE/49 RPT=7 172.18.124.157

Group [172.18.124.157]

Security negotiation complete for LAN-to-LAN Group (172.18.124.157)

Responder, Inbound SPI = 0x1234a593, Outbound SPI = 0x0df37959

149 09/11/2002 20:36:03.800 SEV=9 IPSECDBG/6 RPT=40

IPSEC key message parse - msgtype 1, len 606, vers 1, pid 00000000,

seq 0, err 0, type 2, mode 1, state 64, label 0, pad 0,

spi 0df37959, encrKeyLen 24, hashKeyLen 16, ivlen 8, alg 2, hmacAlg 3,

lifetype 0, lifetime1 17248580, lifetime2 0, dsId 0

153 09/11/2002 20:36:03.800 SEV=9 IPSECDBG/1 RPT=140

Processing KEY_ADD msg!

154 09/11/2002 20:36:03.800 SEV=9 IPSECDBG/1 RPT=141

key_msghdr2secassoc(): Enter

155 09/11/2002 20:36:03.800 SEV=7 IPSECDBG/1 RPT=142

No USER filter configured

156 09/11/2002 20:36:03.800 SEV=9 IPSECDBG/1 RPT=143

KeyProcessAdd: Enter

157 09/11/2002 20:36:03.800 SEV=8 IPSECDBG/1 RPT=144

KeyProcessAdd: Adding outbound SA

158 09/11/2002 20:36:03.800 SEV=8 IPSECDBG/1 RPT=145

KeyProcessAdd: src 192.168.10.0 mask 0.0.0.255,

dst 10.32.0.0 mask 0.0.127.255

159 09/11/2002 20:36:03.810 SEV=8 IPSECDBG/1 RPT=146

KeyProcessAdd: FilterIpsecAddIkeSa success

160 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/6 RPT=41

IPSEC key message parse - msgtype 3, len 327, vers 1, pid 00000000,

seq 0, err 0, type 2, mode 1, state 32, label 0, pad 0,

spi 1234a593, encrKeyLen 24, hashKeyLen 16, ivlen 8, alg 2, hmacAlg 3,

lifetype 0, lifetime1 17248580, lifetime2 0, dsId 0

164 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/1 RPT=147

Processing KEY_UPDATE msg!

165 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/1 RPT=148

Update inbound SA addresses

166 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/1 RPT=149

key_msghdr2secassoc(): Enter

167 09/11/2002 20:36:03.810 SEV=7 IPSECDBG/1 RPT=150

No USER filter configured

168 09/11/2002 20:36:03.810 SEV=9 IPSECDBG/1 RPT=151

KeyProcessUpdate: Enter

169 09/11/2002 20:36:03.810 SEV=8 IPSECDBG/1 RPT=152

KeyProcessUpdate: success

170 09/11/2002 20:36:03.810 SEV=8 IKEDBG/7 RPT=7

IKE got a KEY_ADD msg for SA: SPI = 0x0df37959

171 09/11/2002 20:36:03.810 SEV=8 IKEDBG/0 RPT=547

pitcher: rcv KEY_UPDATE, spi 0x1234a593

172 09/11/2002 20:36:03.810 SEV=4 IKE/120 RPT=7 172.18.124.157

Group [172.18.124.157]

PHASE 2 COMPLETED (msgid=54796f76)

相關資訊

- Cisco VPN 3000系列集中器支援頁面

- Cisco VPN 3000系列使用者端支援頁面

- IPSec支援頁面

- 技術支援 - Cisco Systems