ASA IKEv2-Fehlerbehebung für Remote Access-VPN

Beschreibung der Servernachricht

Fehlerbehebung

Beschreibung der Kundennachricht

Datum: 23.04.13
Uhrzeit: 16:24:55
Typ: Informationen
Quelle: acvpnui

Beschreibung : Function: ClientIfcBase::connect
Datei: .\ClientIfcBase.cpp
Anschluss: 964
Der Benutzer hat eine VPN-Verbindung mit Anu-IKEV2 angefordert.

****************************************
Datum: 23.04.13
Uhrzeit: 16:24:55
Typ: Informationen
Quelle: acvpnui

Beschreibung : Message type information sent to the user:
Anu-IKEV2 kontaktieren
****************************************
Datum: 23.04.13
Uhrzeit: 16:24:55
Typ: Informationen
Quelle: acvpnui

Beschreibung : Function: ApiCert::getCertList
Datei: .\ApiCert.cpp
Anschluss: 259
Anzahl der gefundenen Zertifikate: 0
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:00
Typ: Informationen
Quelle: acvpnui

Beschreibung : Initiating VPN connection to the secure gateway https://10.0.0.1/ASA-IKEV2
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:00
Typ: Informationen
Quelle: acvpnagent

Beschreibung : Tunnel initiated by GUI Client.

****************************************

Datum: 23.04.13
Uhrzeit: 16:25:02
Typ: Informationen
Quelle: acvpnagent

Beschreibung : Function: CIPsecProtocol::connectTransport
Datei: .\IPsecProtocol.cpp
Anschluss: 1629
IKE-Socket von 192.168.1.1:25170 bis 10.0.0.1:500 geöffnet
****************************************

Die ASA empfängt die IKE_SA_INIT-Nachricht vom Client.

IKEv2-PLAT-4: RECV PKT [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000

IKEv2-PROTO-3: Rx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] m_id: 0x0

Das erste Nachrichtenpaar ist der IKE_SA_INIT-Austausch. Diese Nachrichten handeln kryptografische Algorithmen aus, tauschen Unzen aus und führen einen Diffie-Hellman-Austausch (DH) durch.

Die IKE_SA_INIT-Nachricht, die vom Client empfangen wurde, enthält folgende Felder:

1. ISAKMP-Header - SPI/Version/Flags.
2. SAi1 - Verschlüsselungsalgorithmus, der vom IKE-Initiator unterstützt wird.
3. KEi - Öffentlicher DH-Schlüsselwert des Initiators.
4. N - Initiator Nonce

Die ASA verifiziert und verarbeitet die
IKE_INIT-Nachricht. Die ASA:

1. Wählt die Verschlüsselungs-Suite aus
   die vom Initiator angeboten werden.
2. Berechnet seinen eigenen geheimen DH-Schlüssel.
3. Berechnet einen SKEYID-Wert von
   für die alle Schlüssel abgeleitet werden können
   IKE_SA. Die Header aller
   nachfolgende Nachrichten
   verschlüsselt und authentifiziert. Die Fehlermeldung
   Schlüssel für die Verschlüsselung und
   Integritätsschutz
   von SKEYID und werden wie folgt bezeichnet:
   
   
   1. SK_e - Verschlüsselung.
   2. SK_a - Authentifizierung.
   3. SK_d - Abgeleitet und verwendet
      zur Ableitung weiterer
      Schlüsselmaterial für
      CHILD_SAs
   Ein separater SK_e und SK_a sind
   für jede Richtung berechnet.

Relevante Konfiguration:

crypto ikev2 policy 10
 encryption aes-192 integrity 
 sha group 2  prf sha lifetime 
 seconds 86400
crypto ikev2 enable outside

Die ASA erstellt die Antwortnachricht für den IKE_SA_INIT-Austausch.

Dieses Paket enthält:

1. ISAKMP-Header - SPI/Version/Flags.
2. SAr1 - Verschlüsselungsalgorithmus, der vom IKE-Responder ausgewählt wird.
3. KEr - Öffentlicher DH-Schlüsselwert des Responders.
4. N - Responder Nonce.

Der Client zeigt den IPSec-Tunnel als 'initiating' an.

Datum: 23.04.13
Uhrzeit: 16:25:02
Typ: Informationen
Quelle: acvpnagent

Beschreibung: Funktion: ikev2_log
Datei: .\ikev2_anyconnect_osal.cpp
Anschluss: 2730
Empfangene Anforderung zum Einrichten eines IPsec-Tunnels; lokaler Datenverkehrswähler = Adressbereich: 0.0.0.0-255.255.255.255 Protokoll: 0 Port-Bereich: 0-65535; Remote-Datenverkehrswähler = Adressbereich: 0.0.0.0-255.255.255 Protokoll: 0 Port-Bereich: 0-65535
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:02
Typ: Informationen
Quelle: acvpnagent

Beschreibung : Function: CIPsecProtocol::connectTransport
Datei: .\IPsecProtocol.cpp
Anschluss: 1629
Geöffneter IKE-Socket von 192.168.1.1:25171 bis 10.0.0.1:4500
****************************************

Die Authentifizierung erfolgt über EAP. In einer EAP-Konversation ist nur eine einzige EAP-Authentifizierungsmethode zulässig. Die ASA empfängt die IKE_AUTH-Nachricht vom Client.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001

IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x1

Wenn der Client eine IDi-Nutzlast enthält
aber keine AUTH-Nutzlast, zeigt dies
der Client hat eine Identität deklariert, hat aber
nicht bewiesen. Bei den Debug-Vorgängen wird AUTH
Nutzlast ist in IKE_AUTH nicht vorhanden.
vom Client gesendetes Paket. Der Client
sendet die AUTH-Nutzlast nur, nachdem
Der EAP-Austausch ist erfolgreich. Wenn die ASA
ist bereit, eine erweiterbare
Authentifizierungsmethode, wird ein EAP platziert
Payload in Nachricht 4 und verzögert das Senden
SAr2, TSi und TSr bis zum Initiator
Authentifizierung ist abgeschlossen in einem
nachfolgender IKE_AUTH-Austausch.

Das IKE_AUTH-Initiatorpaket enthält:

1. ISAKMP-Header -
   SPI/Version/Flags.
2. IDi - Der Tunnelgruppenname, der
   der Client eine Verbindung herstellen möchte mit
   kann von der IDi
   Nutzlast vom Typ ID_KEY_ID in
   die erste Nachricht des
   IKE_AUTH-Austausch. Diese
   auftritt, wenn das Clientprofil*
   mit einem Gruppennamen vorkonfiguriert
   oder nach einer erfolgreichen
   Authentifizierung, hat der Client
   den Gruppennamen in seinen
   Einstellungsdatei. Die ASA
   versucht, einer Tunnelgruppe zu entsprechen
   Name mit dem Inhalt der IKE
   IDi-Nutzlast. Nach dem ersten
   Erfolgreiches IPSec-VPN ist
   eingerichtet, speichert der Client die
   Gruppenname (Gruppenalias), an den
   der Benutzer authentifiziert hat. Diese Gruppe
   Name wird in der IDi
   Nutzlast der nächsten Verbindung
   versuchen, die
   wahrscheinliche Gruppe
   Benutzer. Wenn die EAP-Authentifizierung
   vom Kunden festgelegt oder impliziert
   Profil, und das Profil weist keine
   enthalten die <IKEIdentity>
   -Element, sendet der Client eine
   ID_GROUP, Typ IDi, Nutzlast
   mit fester Zeichenfolge
   *$AnyConnectClient$*.
   
3. CERTREQ - Der Kunde ist
   Anfordern der ASA für eine
   bevorzugtes Zertifikat. Zertifikat
   Anforderung von Payloads kann enthalten sein
   in einem Austausch, wenn der Absender
   muss das Zertifikat des
   empfänger. Die Zertifikatanforderung
   Nutzlast wird verarbeitet von
   Prüfung der "Cert-Kodierung"
   Feld, um
   ob der Prozessor
   Zertifikate dieses Typs. Ist dies der Fall,
   Das Feld "Zertifizierungsstelle" ist
   überprüft, um festzustellen, ob
   der Prozessor über Zertifikate verfügt,
   die validiert werden können, bis zu einem
   die angegebene Zertifizierung
   Behörden. Dies kann eine Kette von
   Zertifikate.
   
4. CFG - CFG_REQUEST/
   CFG_REPLY ermöglicht IKE
   Endgerät zum Anfordern von Informationen
   von ihrem Peer aus. Wenn ein Attribut im
   CFG_REQUEST-Konfiguration
   Nutzlast ist nicht Null-Länge, sondern
   als Vorschlag dafür angesehen werden
   attribute.The CFG_REPLY
   Konfigurationsnutzlast kann zurückkehren
   oder einen neuen Wert eingeben. Es kann
   auch neue Attribute hinzufügen und nicht
   einige angeforderte hinzufügen.
   Zurückgegebene Antworten werden ignoriert
   Eigenschaften, die sie nicht
   erkennen. Bei diesen Debug-Vorgängen
   Client fordert den Tunnel an
   Konfiguration im
   CFG_REQUEST: Die ASA
   antwortet darauf und sendet den Tunnel
   Konfigurationsattribute erst nach
   der EAP-Austausch erfolgreich war.
   
5. SAi2 - SAi2 initiiert die SA,
   ähnlich wie in Phase 2
   Transformationssatzaustausch in IKEv1.
   
6. TSi und TSr - Der Initiator und
   Adressierer für Datenverkehr
   enthalten bzw. die Quelle
   und die Zieladresse des
   Initiator und Responder, um
   Weiterleiten und Empfangen verschlüsselt
   datenverkehr. Der Adressbereich
   legt fest, dass der gesamte Datenverkehr zwischen
   dieser Bereich getunnelt wird. Wenn die
   ist für die
   Responder, sendet er identische TS
   Payloads zurückgeben.

Die Attribute, die der Client für
Gruppenauthentifizierung in einem
AnyConnect-Profildatei

* Relevante Profilkonfiguration:

<ServerList>
<HostEntry>
  <HostName>Anu-IKEV2
  </HostName>
  <HostAddress>10.0.0.1
  </HostAddress>
  
         
         
           ASA-IKEV2 
          
 
         
<PrimaryProtocol>IPsec
</PrimaryProtocol>
</HostEntry>
</ServerList>

Die ASA generiert eine Antwort auf die IKE_AUTH-Nachricht und bereitet sich darauf vor, sich beim Client zu authentifizieren.

Entschlüsseltes Paket:Daten&Doppelpunkt; 540 Byte
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Zeitgeber wird angehalten, auf Authentifizierungsmeldung zu warten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_CHK_NAT_T
IKEv2-PROTO-3: (6): NAT-Erkennung prüfen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_CHG_NAT_T_PORT
IKEv2-PROTO-2: (6): NAT erkannte Float zu Init-Port 25171 bzw. Port 4500
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_PROC_ID
IKEv2-PROTO-2: (6): Gültige Parameter in Prozess-ID erhalten
IKEv2-PLAT-3: (6) Peer-Authentifizierungsmethode festgelegt auf: 0
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_CHK_IF_PEER_CERT NEEDS_TO_BE_FETCHED_FOR_PROF_SEL
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_GET_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): Aufrufen konfigurierter Richtlinien
IKEv2-PLAT-3: Neue AnyConnect Client-Verbindung basierend auf ID-Nutzlast erkannt
IKEv2-PLAT-3: my_auth_method = 1
IKEv2-PLAT-3: (6) Peer-Authentifizierungsmethode festgelegt auf: 256
IKEv2-PLAT-3: supported_peers_auth_method = 16
IKEv2-PLAT-3: (6) tp_name festgelegt auf: Anu-ikev2
IKEv2-PLAT-3: Vertrauenspunkt festgelegt auf: Anu-ikev2
IKEv2-PLAT-3: P1-ID = 0
IKEv2-PLAT-3: IKE_ID_AUTO wird in = 9 umgewandelt
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_SET_POLICY
IKEv2-PROTO-3: (6): Festlegen konfigurierter Richtlinien
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_VERIFY_POLICY_BY_PEERY ID
IKEv2-PROTO-3: (6): Überprüfen der Peer-Richtlinie
IKEv2-PROTO-3: (6): Übereinstimmendes Zertifikat gefunden
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_CHK_CONFIG_MODE
IKEv2-PROTO-3: (6): Es wurden gültige Konfigurationsmodusdaten empfangen.
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_SET_RECD_CONFIG_MODE
IKEv2-PLAT-3: (6) Der DHCP-Hostname für DDNS ist auf "winxp64template" festgelegt.
IKEv2-PROTO-3: (6): Einstellung der empfangenen Konfigurationsmodusdaten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_CHK_AUTH4EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Ereignis: EV_CHK_EAP
IKEv2-PROTO-3: (6): Auf EAP-Austausch überprüfen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Ereignis: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Meine Authentifizierungsdaten generieren
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Ereignis: EV_CHK4_SIGN
IKEv2-PROTO-3: (6): Meine Authentifizierungsmethode abrufen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Ereignis: EV_SIGN
IKEv2-PROTO-3: (6): Signaturauthentifizierungsdaten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Ereignis: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Ereignis: EV_AUTHEN_REQ F
IKEv2-PROTO-2: (6): Authentifizierer wird aufgefordert, EAP-Anfragen zu senden

Erstellter Elementname config-auth-Wert
Attributname Clientwert vpn zu Elementkonfigurationsauth hinzugefügt
Attributnamenstyp-Wert hello zu Elementkonfigurationsauth hinzugefügt
Erstellter Elementname Versionswert 9.0(2)8
Elementname, Versionswert 9.0(2)8, zum Element config-auth hinzugefügt
Attributname, der sg auf Elementversion setzt, wurde hinzugefügt
Generierte XML-Nachricht unten
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="hello">
<version who="sg">9,0(2)8</version>
</config-auth>

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Ereignis: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Aktion: Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Ereignis: EV_CHK_REDIRECT T
IKEv2-PROTO-3: (6): Umleitungsprüfung mit Plattform für Lastenausgleich
IKEv2-PLAT-3: Redirect-Prüfung auf Plattform
IKEv2-PLAT-3: ikev2_osal_redirect: Sitzung akzeptiert von 10.0.0.1
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Ereignis: EV_SEND_EAP_AUTH_REQ
IKEv2-PROTO-2: (6): EAP-Anforderung wird gesendet
IKEv2-PROTO-5: Aufbau anbieterspezifischer Payload: CISCO-GRANITEIKEv2-PROTO-3: (6): Einrichtung

Die ASA sendet die AUTH-Payload, um Benutzeranmeldeinformationen vom Client anzufordern. Die ASA sendet die AUTH-Methode als 'RSA', sodass sie ihr eigenes Zertifikat an den Client sendet, sodass der Client den ASA-Server authentifizieren kann.

Da die ASA bereit ist, eine erweiterbare Authentifizierungsmethode zu verwenden, fügt sie eine EAP-Nutzlast in Nachricht 4 ein und verschiebt das Senden von SAr2, TSi und TSr, bis die Initiatorauthentifizierung in einem nachfolgenden IKE_AUTH-Austausch abgeschlossen ist. Daher sind diese drei Payloads in den Debugs nicht vorhanden.

Das EAP-Paket enthält:

1. Code: request - Dieser Code wird vom Authentifikator an den Peer gesendet.
2. id: 1 - Die ID vergleicht die EAP-Antworten mit den Anforderungen. Hier ist der Wert 1, was bedeutet, dass es sich um das erste Paket in der EAP-Vermittlungsstelle handelt. Diese EAP-Anforderung hat den "config-auth"-Typ "hello"; sie wird von der ASA an den Client gesendet, um den EAP-Austausch zu initiieren.
3. Länge: 150 - Die Länge des EAP-Pakets umfasst den Code, die ID, die Länge und die EAP-Daten.
4. EAP-Daten.

Die Fragmentierung kann auftreten, wenn die Zertifikate groß sind oder Zertifikatsketten enthalten sind. Sowohl Initiator- als auch Responder KE Payloads können auch große Schlüssel beinhalten, was ebenfalls zur Fragmentierung beitragen kann.

****************************************
Datum: 23.04.13
Uhrzeit: 16:25:02
Typ: Informationen
Quelle: acvpnagent

Beschreibung : Funktion: ikev2_verify_X509_SIG_certs
Datei: .\ikev2_anyconnect_osal.cpp
Anschluss: 2077
Zertifikatsannahme vom Benutzer wird angefordert
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:02
Typ: Fehler
Quelle: acvpnui

Beschreibung : Function: CapiCertificate::verifyChainPolicy
Datei: .\Certificates\CapiCertificate.cpp
Anschluss: 2032
Aufgerufene Funktion: CertVerifyCertificateChainPolicy
Rückgabecode: -2146762487 (0x800B0109)
Beschreibung: Eine Zertifikatskette wurde verarbeitet, aber in einem Stammzertifikat beendet, das vom Trust Provider nicht als vertrauenswürdig eingestuft wird.
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:04
Typ: Informationen
Quelle: acvpnagent

Beschreibung : Function: CEAPMgr::dataRequestCB
Datei: .\EAPMgr.cpp
Anschluss: 400
Vorgeschlagener EAP-Typ: EAP-ANYCONNECT
****************************************

Der Client antwortet auf die EAP-Anfrage mit einer Antwort.

Das EAP-Paket enthält:

1. Code: response - Dieser Code wird vom Peer als Antwort auf die EAP-Anforderung an den Authentifikator gesendet.
2. id: 1 - Die ID gleicht die EAP-Antworten mit den Anforderungen ab. Hier ist der Wert 1, was bedeutet, dass es sich um eine Antwort auf die zuvor vom ASA (Authentifikator) gesendete Anforderung handelt. Diese EAP-Antwort hat den 'config-auth'-Typ 'init'; der Client initialisiert den EAP-Austausch und wartet darauf, dass die ASA die Authentifizierungsanforderung generiert.
3. Länge: 252 - Die Länge des EAP-Pakets umfasst den Code, die ID, die Länge und die EAP-Daten.
4. EAP-Daten.

Die ASA entschlüsselt diese Antwort, und der Client gibt an, dass er die AUTH-Nutzlast des vorherigen Pakets (mit dem Zertifikat) und das erste EAP-Anforderungspaket von der ASA erhalten hat. Dies ist der Inhalt des init-EAP-Antwortpakets.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc 696330e6b94d7f MID=00000002
IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR-IPI: 58AFF71141BA436B - RSPI: FC696330E6B94D7F
IKEv2-PROTO-4: Nächste Nutzlast: ENCR, Version: 2.0
IKEv2-PROTO-4: Austauschtyp: IKE_AUTH, Markierungen: INITIATOR
IKEv2-PROTO-4: Nachrichten-ID: 0x2, Länge: 332
IKEv2-PROTO-5: (6): Anfrage hat mess_id 2; 2 bis 2 erwartet
REAL Entschlüsseltes Paket:Daten: 256 Bytes
 EAP Nächste Nutzlast: KEINE, reserviert: 0x0, Länge: 256
    Code: Antwort: ID: 1, Länge: 252
    Typ: Unbekannt - 254
EAP-Daten: 247 Byte

Entschlüsseltes Paket: Daten&Doppelpunkt; 332 Byte
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_WAIT_EAP_RESP Ereignis: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Zeitgeber wird angehalten, auf Authentifizierungsmeldung zu warten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_WAIT_EAP_RESP Ereignis: EV_RECV_EAP_RESP

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP Ereignis: EV_PROC_MSG
IKEv2-PROTO-2: (6): EAP-Antwort wird verarbeitet

Unten vom Client empfangene XML-Nachricht
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="init">
<Geräte-ID>win</Geräte-ID>
<version who="vpn">3.0.1047</version>
<group-select>ASA-IKEV2</group-select>
<Gruppenzugriff>ASA-IKEV2</Gruppenzugriff>
</config-auth>
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP Ereignis: EV_RECV_EP AP_AUTH

IKEv2-PROTO-5: (6): Aktion: Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_BLD_EAP_REQ Ereignis: EV_RECV_EQ AP_REQ

Dies ist die zweite Anforderung, die von der ASA an den Client gesendet wird.

Das EAP-Paket enthält:

1. Code: request - Dieser Code wird vom Authentifikator an den Peer gesendet.
2. id: 2 - Die ID vergleicht die EAP-Antworten mit den Anforderungen. Hier ist der Wert 2, was anzeigt, dass es sich um das zweite Paket in der Vermittlungsstelle handelt. Diese Anforderung hat den 'config-auth'-Typ 'auth-request'; die ASA fordert an, dass der Client die Anmeldeinformationen für die Benutzerauthentifizierung sendet.
3. Länge: 457 - Die Länge des EAP-Pakets umfasst den Code, die ID, die Länge und die EAP-Daten.
4. EAP-Daten.

ENCR-Nutzlast:

Diese Nutzlast wird entschlüsselt, und ihr Inhalt wird als zusätzliche Nutzlast geparst.

IKEv2-PROTO-2: (6): EAP-Anforderung wird gesendet

Generierte XML-Nachricht unten
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-request">
<version who="sg">9,0(2)8</version>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash>
</opak>
<csport>443</csport>
<auth id="main">
<Formular>
<input type="text" name="username" label="Benutzername:"></input>
<input type="password" name="password" label="Kennwort"></input>
</form>
</auth>
</config-auth>
IKEv2-PROTO-3: (6): Paket wird für die Verschlüsselung erstellt; Inhalt:
 EAP Nächste Nutzlast: KEINE, reserviert: 0x0, Länge: 461
    Code: Anfrage: ID: 2, Länge: 457
    Typ: Unbekannt - 254
EAP-Daten: 452 Byte

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR [i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR-IPI: 58AFF71141BA436B - RSPI: FC696330E6B94D7F
IKEv2-PROTO-4: Nächste Nutzlast: ENCR, Version: 2.0
IKEv2-PROTO-4: Austauschtyp: IKE_AUTH, Flags: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: Nachrichten-ID: 0x2, Länge: 524
 ENCR Nächste Nutzlast: EAP, reserviert: 0x0, Länge: 496
Verschlüsselte Daten&Doppelpunkt; 492 Byte

IKEv2-PLAT-4: GESENDETES PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc 696330e6b94d7f MID=00000002
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_BLD_EAP_REQ Ereignis: EV_START_TMR
IKEv2-PROTO-3: (6): Startzeitgeber für Wartezeit auf Benutzerauth-Nachricht (120 Sek.)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_WAIT_EAP_RESP Ereignis: EV_NO_EVENT   

Der Client fordert eine Benutzerauthentifizierung an und sendet diese als EAP-Antwort im nächsten Paket ("auth-reply") an die ASA.

Der Client sendet eine weitere IKE_AUTH-Initiatornachricht mit der EAP-Nutzlast.

Das EAP-Paket enthält:

1. Code: response - Dieser Code wird vom Peer als Antwort auf die EAP-Anforderung an den Authentifikator gesendet.
2. id: 2 - Die ID vergleicht die EAP-Antworten mit den Anforderungen. Hier ist der Wert 2, was bedeutet, dass es sich um eine Antwort auf die zuvor vom ASA (Authentifikator) gesendete Anforderung handelt.
3. Länge: 420 - Die Länge des EAP-Pakets umfasst den Code, die ID, die Länge und die EAP-Daten.
4. EAP-Daten.

Die ASA verarbeitet diese Antwort. Der Client hat den Benutzer aufgefordert, Anmeldeinformationen einzugeben. Diese EAP-Antwort hat den 'config-auth'-Typ 'auth-reply'. Dieses Paket enthält die vom Benutzer eingegebenen Anmeldeinformationen.

Entschlüsseltes Paket: Daten: 492 Bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Ereignis: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Zeitgeber wird angehalten, auf Authentifizierungsmeldung zu warten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Ereignis: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Ereignis: EV_PROC_MSG
IKEv2-PROTO-2: (6): EAP-Antwort wird verarbeitet

Unten vom Client empfangene XML-Nachricht
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-reply">
<Geräte-ID>win</Geräte-ID>
<version who="vpn">3.0.1047</version>
<Sitzungstoken></Sitzungstoken>
<Sitzungs-ID></Sitzungs-ID>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash></opaque>
<Auth>
<Kennwort>cisco123</Kennwort>
<username>Anu</username></auth>
</config-auth>
IKEv2-PLAT-1: EAP: Initiierte Benutzerauthentifizierung
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Ereignis: EV_NO_EVENT
IKEv2-PLAT-5: EAP:In AAA-Rückruf
Serverzertifikat-Digest abgerufen: DACE1C274785F28BA11D64453096BAE294A3172E
IKEv2-PLAT-5: EAP:Erfolg beim AAA-Rückruf
IKEv2-PROTO-3: Antwort vom Authentifizierer empfangen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Ereignis: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Aktion: Action_Null

Die ASA erstellt eine dritte EAP-Anforderung im Austausch.

Das EAP-Paket enthält:

1. Code: request - Dieser Code wird vom Authentifikator an den Peer gesendet.
2. id: 3 - Die ID vergleicht die EAP-Antworten mit den Anforderungen. Hier ist der Wert 3, was anzeigt, dass es sich um das dritte Paket in der Vermittlungsstelle handelt. Dieses Paket hat den 'config-auth'-Typ 'complete'; die ASA hat eine Antwort erhalten, und der EAP-Austausch ist abgeschlossen.
3. Länge: 4235 - Die Länge des EAP-Pakets umfasst den Code, die ID, die Länge und die EAP-Daten.
4. EAP-Daten.

ENCR-Nutzlast:

Diese Nutzlast wird entschlüsselt, und ihr Inhalt wird als zusätzliche Nutzlast geparst.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Ereignis: EV_RECV_EAP_REQ
IKEv2-PROTO-2: (6): EAP-Anforderung wird gesendet

Generierte XML-Nachricht unten
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="complete">
<version who="sg">9,0(2)8</version>
<Sitzungs-ID>32768</Sitzungs-ID>
<session-token>18wA0TtGmDxPKPQCJywC7fB7EWLCEgz-ZtjYpAyXx2yJH0H3G3H8t5xpBOx3Ixag</session-token>
<auth id="success">
<message id="0" param1="" param2=""></message>
</auth>

IKEv2-PROTO-3: (6): Paket wird für die Verschlüsselung erstellt; Inhalt:
 EAP Nächste Nutzlast: KEINE, reserviert: 0x0, Länge: 4239
    Code: Anfrage: ID: 3, Länge: 4235
    Typ: Unbekannt - 254
EAP-Daten: 4230 Byte

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x3
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR-IPI: 58AFF71141BA436B - RSPI: FC696330E6B94D7F
IKEv2-PROTO-4: Nächste Nutzlast: ENCR, Version: 2.0
IKEv2-PROTO-4: Austauschtyp: IKE_AUTH, Flags: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: Nachrichten-ID: 0x3, Länge: 4300
 ENCR Nächste Nutzlast: EAP, reserviert: 0x0, Länge: 4272
Verschlüsselte Daten&Doppelpunkt;4268 Byte

IKEv2-PROTO-5: (6): Fragmentiertes Paket, Fragment-MTU: 544, Anzahl der Fragmente: 9, Fragment-ID: 2
IKEv2-PLAT-4: GESENDETE PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: GESENDETE PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: GESENDETE PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: GESENDETE PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: GESENDETE PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: GESENDETE PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: GESENDETE PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: GESENDETE PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: GESENDETE PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Ereignis: EV_START_TMR
IKEv2-PROTO-3: (6): Startzeitgeber wartet auf Benutzerauth-Nachricht (120 Sek.)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Ereignis: EV_NO_EVENT

Der Client sendet das Initiatorpaket mit der EAP-Nutzlast.

Das EAP-Paket enthält:

1. Code: response - Dieser Code wird vom Peer als Antwort auf die EAP-Anforderung an den Authentifikator gesendet.
2. id: 3 - Die ID vergleicht die EAP-Antworten mit den Anforderungen. Hier ist der Wert 3, was bedeutet, dass es sich um eine Antwort auf die zuvor vom ASA (Authentifikator) gesendete Anforderung handelt. Die ASA empfängt nun das Antwortpaket vom Client, das vom Typ "config-auth" "ack" ist. Diese Antwort bestätigt die zuvor von der ASA gesendete EAP-"complete"-Nachricht.
3. Länge: 173 - Die Länge des EAP-Pakets umfasst den Code, die ID, die Länge und die EAP-Daten.
4. EAP-Daten.

Die ASA verarbeitet dieses Paket. Die Fehlermeldung
Der EAP-Austausch ist erfolgreich. Die ASA
bereitet das Senden der Tunnelgruppe vor
Konfiguration im nächsten Paket, das
wurde zuvor vom Client angefordert in
die IDi-Nutzlast. Die ASA erhält die
Antwortpaket vom Client, das
den 'config-auth'-Typ 'ack' hat. Diese
Antwort bestätigt den EAP
'complete'-Nachricht, die vom
ASA vor.

Relevante Konfiguration:

tunnel-group ASA-IKEV2 
 type remote-access
tunnel-group ASA-IKEV2 
 general-attributes
 address-pool webvpn1
 authorization-server-group 
 LOCAL default-group-policy 
  ASA-IKEV2
tunnel-group ASA-IKEV2
 webvpn-attributes
 group-alias ASA-IKEV2 
 enable

Der EAP-Austausch ist jetzt erfolgreich.

Das EAP-Paket enthält:

1. Code: Success - Dieser Code ist
   vom Authentifikator an den
   Peer nach Abschluss eines EAP
   Authentifizierungsmethode. Diese
   zeigt an, dass der Peer
   erfolgreich beim
   Authentifikator.
2. id: 3 - Die ID passt zu den
   EAP-Antworten mit den Anforderungen.
   Hier ist der Wert 3, was
   zeigt an, dass dies eine Reaktion auf
   die zuvor von der
   ASA (Authentifikator). Der dritte Satz
   der Pakete in der Vermittlung war
   erfolgreich, und der EAP-Austausch
   ist erfolgreich.
3. Länge: 4 - Länge des EAP
   Paket enthält Code, ID,
   Länge und EAP-Daten.
4. EAP-Daten.

Entschlüsseltes Paket:Daten:252 Bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_RESP Ereignis: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Zeitgeber wird angehalten, auf Authentifizierungsmeldung zu warten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_RESP Ereignis: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Ereignis: EV_PROC_MSG
IKEv2-PROTO-2: (6): EAP-Antwort wird verarbeitet

Unten vom Client empfangene XML-Nachricht
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="ack">
<Geräte-ID>win</Geräte-ID>
<version who="vpn">3.0.1047</version>
</config-auth>

IKEv2-PLAT-3: (6) aggrAuthHdl auf 0x2000 eingestellt
IKEv2-PLAT-3: (6) tg_name festgelegt auf: ASA-IKEV2
IKEv2-PLAT-3: (6) Einstellung für Tuninggruppentyp auf: RA
IKEv2-PLAT-1: EAP:Authentifizierung erfolgreich
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Ereignis: EV_RECV_EAP_SUCCS ESS
IKEv2-PROTO-2: (6): EAP-Statusmeldung wird gesendet
IKEv2-PROTO-3: (6): Paket wird für die Verschlüsselung erstellt; Inhalt:
 EAP Nächste Nutzlast: KEINE, reserviert: 0x0, Länge: 8
    Code: Erfolg: ID: 3, Länge: 4

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x4
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR-IPI: 58AFF71141BA436B - RSPI: FC696330E6B94D7F
IKEv2-PROTO-4: Nächste Nutzlast: ENCR, Version: 2.0
IKEv2-PROTO-4: Austauschtyp: IKE_AUTH, Flags: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: Nachrichten-ID: 0x4, Länge: 76
 ENCR Nächste Nutzlast: EAP, reserviert: 0x0, Länge: 48
Verschlüsselte Daten&Doppelpunkt;44 Byte

IKEv2-PLAT-4: GESENDETES PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc 696330e6b94d7f MID=00000004

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Ereignis: EV_START_TMR
IKEv2-PROTO-3: (6): Startzeitgeber wartet auf Authentifizierungsmeldung (30 Sek.)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_AUTH_VERIFY Ereignis: EE V_NO_EVENT

Wenn EAP-Authentifizierung angegeben ist oder
impliziert durch das Client-Profil und die
Profil enthält nicht die
<IKEIdentity>-Element, sendet der Client
eine ID_GROUP-Typ-IDi-Nutzlast mit
die feste Zeichenfolge *$AnyConnectClient$*.

Die ASA verarbeitet diese Meldung.

Relevante Konfiguration:

crypto dynamic-map dynmap 1000 
 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 
 ipsec-isakmp dynamic dynmap
crypto map crymap interface 
 outside

Entschlüsseltes Paket: Daten: 92 Bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_WAIT_EAP_AUTH_VERIFY Ereignis: EV_RECV_AUIFY TH
IKEv2-PROTO-3: (6): Zeitgeber wird angehalten, auf Authentifizierungsmeldung zu warten
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_GET_EAP_KEY
IKEv2-PROTO-2: (6): Senden der AUTH zur Überprüfung des Peers nach dem EAP-Austausch
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_VERIFY_AUTH
IKEv2-PROTO-3: (6): Überprüfen der Authentifizierungsdaten
IKEv2-PROTO-3: (6): Vorinstallierten Schlüssel für ID verwenden *$AnyConnectClient$*, Schlüssel-ID verwenden 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_GET_CONFIG_MODE
IKEv2-PLAT-3: Antwort im Konfigurationsmodus in Warteschlange gestellt
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_NO_EVENT
IKEv2-PLAT-3: PSH: client=AnyConnect client-version=3.0.1047 client-os=Windows client-os-version=
IKEv2-PLAT-3: Konfigurationsmodus-Antwort abgeschlossen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_OK_GET_CONFIG
IKEv2-PROTO-3: (6): Verfügt über Konfigurationsmodusdaten zum Senden
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_CHK4_IC
IKEv2-PROTO-3: (6): Erstkontakt wird verarbeitet
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_CHK_REDIRECT
IKEv2-PROTO-5: (6): Die Umleitungsprüfung für diese Sitzung wurde bereits durchgeführt und übersprungen.
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_PROC_SA_TS
IKEv2-PROTO-2: (6): Verarbeitung der Authentifizierungsmeldung
IKEv2-PLAT-1: Crypto Map: Karte dynmap seq 1000. Angepasster Selektor mit zugewiesener IP
IKEv2-PLAT-3: Crypto Map: Übereinstimmung auf dynamischer Karte dynmap seq 1000
IKEv2-PLAT-3: PFS deaktiviert für RA-Verbindung
IKEv2-PROTO-3: (6):
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_NO_EVENT
IKEv2-PLAT-2: Empfangener PFKEY-SPI-Rückruf für SPI 0x30B848A4, Fehler FALSE
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Ereignis: EV_OK_RECD_IPSEC_RESP

IKEv2-PROTO-2: (6): Verarbeitung der Authentifizierungsmeldung

Die ASA erstellt die IKE_AUTH-Antwortnachricht mit den SA-, TSi- und TSr-Payloads.

Das IKE_AUTH-Antwortpaket enthält:

1. ISAKMP-Header - SPI/Version/Flags.
2. AUTH-Payload - Mit der gewählten Authentifizierungsmethode.
3. CFG - CFG_REQUEST/CFG_REPLY ermöglicht einem IKE-Endpunkt, Informationen von seinem Peer anzufordern. Wenn ein Attribut in der CFG_REQUEST-Konfigurationsnutzlast nicht die Länge 0 (null) aufweist, wird es als Vorschlag für dieses Attribut verwendet. Die CFG_REPLY-Konfigurationsnutzlast kann diesen oder einen neuen Wert zurückgeben. Es können auch neue Attribute hinzugefügt werden und nicht einige angeforderte. Anforderer ignorieren zurückgegebene Attribute, die sie nicht erkennen. Die ASA antwortet dem Client mit den Tunnelkonfigurationsattributen im CFG_REPLY-Paket.
4. SAr2 - SAr2 initiiert die SA, die dem Phase-2-Transformationssatzaustausch in IKEv1 ähnelt.
5. TSi und TSr - Die Selektoren für Initiator- und Responder-Datenverkehr enthalten jeweils die Quell- und Zieladresse des Initiators und Responders, um verschlüsselten Datenverkehr weiterzuleiten und zu empfangen. Der Adressbereich gibt an, dass der gesamte Datenverkehr zu und von diesem Bereich getunnelt wird. Wenn der Vorschlag für den Beantworter akzeptabel ist, sendet er identische TS-Payloads zurück.

ENCR-Nutzlast:

Diese Nutzlast wird entschlüsselt, und ihr Inhalt wird als zusätzliche Nutzlast geparst.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Ereignis: EV_MY_AUTH_METHODE
IKEv2-PROTO-3: (6): Meine Authentifizierungsmethode abrufen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Ereignis: EV_GET_PRESHR_KEY
IKEv2-PROTO-3: (6): Preshared Key (PSK) des Peers für *$AnyConnectClient$* abrufen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Ereignis: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Meine Authentifizierungsdaten generieren
IKEv2-PROTO-3: (6): Vorinstallierten Schlüssel für ID-Hostname=ASA-IKEV2 verwenden, Schlüssel-Len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Ereignis: EV_CHK4_SIGN
IKEv2-PROTO-3: (6): Meine Authentifizierungsmethode abrufen
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Ereignis: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_EAP_AUTH_VERIFY Ereignis: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Meine Authentifizierungsdaten generieren
IKEv2-PROTO-3: (6): Vorinstallierten Schlüssel für ID-Hostname=ASA-IKEV2 verwenden, Schlüssel-len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_EAP_AUTH_VERIFY Ereignis: EV_SEND_AUIFY TH
IKEv2-PROTO-2: (6): AUTH senden, um Peer nach EAP-Austausch zu überprüfen
IKEv2-PROTO-3: ESP-Vorschlag: 1, SPI-Größe: 4 (IPSec-Verhandlung),
Anzahl der Umwandlungen: 3
   AES-CBC SHA96   
IKEv2-PROTO-5: Construct Notify Payload: ESP_TFC_NO_SUPPORTIKEv2-PROTO-5: Construct Notify Payload: NON_FIRST_FRAGSIKEv2-PROTO-3: (6): Building packet for encryption; Inhalt:
 AUTH Nächste Nutzlast: CFG, reserviert: 0x0, Länge: 28
    Auth-Methode PSK, reserviert: 0x0, reserviert: 0x0
Auth-Daten&Doppelpunkt; 20 Byte
 CFG Nächste Nutzlast: SA, reserviert: 0x0, Länge: 4196
    cfg-Typ: CFG_REPLY, reserviert: 0x0, reserviert: 0x0

   Attributtyp: interne IP4-Adresse, Länge: 4

     01 01 01 01
   Attributtyp: interne IP4-Netzmaske, Länge: 4

     00 00 00 00
   Attributtyp: interner Adressablauf, Länge: 4

     00 00 00 00
   Attributtyp: Applikationsversion, Länge: 16

     41 53 41 20 31 30 30 2e 37 28 36 29 31 31 36 00
   Attributtyp: Unbekannt - 28704, Länge: 4

     00 00 00 00
   Attributtyp: Unbekannt - 28705, Länge: 4

     00 00 07 08
   Attributtyp: Unbekannt - 28706, Länge: 4

     00 00 07 08
   Attributtyp: Unbekannt - 28707, Länge: 1

     01
   Attributtyp: Unbekannt - 28709, Länge: 4

     00 00 00 1e
   Attributtyp: Unbekannt - 28710, Länge: 4

     00 00 00 14
   Attributtyp: Unbekannt - 28684, Länge: 1

     01
   Attributtyp: Unbekannt - 28711, Länge: 2

     05 7e
   Attributtyp: Unbekannt - 28679, Länge: 1

     00
   Attributtyp: Unbekannt - 28683, Länge: 4

     80 00 01
   Attributtyp: Unbekannt - 28725, Länge: 1

     00
   Attributtyp: Unbekannt - 28726, Länge: 1

     00
   Attributtyp: Unbekannt - 28727, Länge: 4056

     3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 22 31
     2e 30 22 20 65 6e 63 6f 64 69 6e 67 3d 22 55 54
     46 2d 38 22 3f 3e 3c 63 6f 6e 66 69 67 2d 61 75
     74 68 20 63 6c 69 65 6e 74 3d 22 76 70 6e 22 20
     74 79 70 65 3d 22 63 6f 6d 70 6c 65 74 65 22 3e
     3c 76 65 72 73 69 6f 6e 20 77 68 6f 3d 22 73 67
     22 3e 31 30 30 2e 37 28 36 29 31 31 36 3c 2f 76
     65 72 73 69 6f 6e 3e 3c 73 65 73 73 69 6f 6e 2d
     69 64 3e 38 31 39 32 3c 2f 73 65 73 73 69 6f 6e
<Snip>
     72 6f 66 69 6c 65 2d 6d 61 6e 69 66 65 73 74 3e
     3c 2f 63 6f 6e 66 69 67 3e 3c 2f 63 6f 6e 66 69
     67 2 d 61 75 74 68 3e 00
   Attributtyp: Unbekannt - 28729, Länge: 1

     00
 SA Nächste Nutzlast: TSi, reserviert: 0x0, Länge: 44
IKEv2-PROTO-4: letzter Vorschlag: 0x0, reserviert: 0x0, Länge: 40
  Angebot: 1, Protokoll-ID: ESP, SPI-Größe: 4, #trans: 3
IKEv2-PROTO-4: letzte Transformation: 0x3, reserviert: 0x0: Länge: 12
    Typ: 1, reserviert: 0x0, ID: AES-CBC
IKEv2-PROTO-4: letzte Transformation: 0x3, reserviert: 0x0: Länge: 8
    Typ: 3, reserviert: 0x0, ID: SHA96
IKEv2-PROTO-4: letzte Transformation: 0x0, reserviert: 0x0: Länge: 8
    Typ: 5, reserviert: 0x0, ID:

 TSi Nächste Nutzlast: TSr, reserviert: 0x0, Länge: 24
    Anzahl der TSs: 1, reserviert 0x0, reserviert 0x0
    TS-Typ: TS_IPV4_ADDR_RANGE, Proto-ID: 0, Länge: 16
    Anfangsport: 0, Endport: 65535
    start addr: 10.2.2.1, end addr: 10.2.2.1
 TSr Nächste Nutzlast: NOTIFY, reserviert: 0x0, Länge: 24
    Anzahl der TSs: 1, reserviert 0x0, reserviert 0x0
    TS-Typ: TS_IPV4_ADDR_RANGE, Proto-ID: 0, Länge: 16
    Anfangsport: 0, Endport: 65535
    start addr: 0.0.0.0, end addr: 255.255.255.255

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR-IPI: 58AFF71141BA436B - RSPI: FC696330E6B94D7F
IKEv2-PROTO-4: Nächste Nutzlast: ENCR, Version: 2.0
IKEv2-PROTO-4: Austauschtyp: IKE_AUTH, Flags: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: Nachrichten-ID: 0x5, Länge: 4396
 ENCR Nächste Nutzlast: AUTH, reserviert: 0x0, Länge: 4368
Verschlüsselte Daten&Doppelpunkt; 4.364 Byte

****************************************
Datum: 23.04.13
Uhrzeit: 16:25:07
Typ: Informationen
Quelle: acvpndownloader

Beschreibung : Function: ProfileMgr::loadProfiles
Datei: ..\Api\ProfileMgr.cpp
Anschluss: 148
Geladene Profile:
C:\Documents and Settings\All Benutzer\Anwendungsdaten\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\anyconnect-ikev2.xml
****************************************
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:07
Typ: Informationen
Quelle: acvpndownloader

Beschreibung: Current Preference Settings:
ServiceDisable: Falsch
CertificateStoreOverride: Falsch
Zertifikatspeicher: Alle
ShowPreConnectMessage: false
AutoConnectOnStart: Falsch
MinimizeOnConnect: true
LocalLanAccess: Falsch
AutoReconnect: true
AutoReconnectBehavior: DisconnectOnSuspend
UseStartBeforeLogon: false
AutoUpdate: true
RSASecurIDIntegration: Automatisch
WindowsLogonEnforcement: SingleLocalLogon
WindowsVPN-Einrichtung: Nur lokaleBenutzer
Proxy-Einstellungen: Nativ
AllowLocalProxyConnections: true
PPPExklusion: Deaktivieren
PPPExklusionServerIP:
AutomaticVPNPolicy: Falsch
VertrauenswürdigeNetzwerkrichtlinie: Verbindung trennen
Nicht vertrauenswürdigeNetzwerkrichtlinie: Verbinden
VertrauenswürdigeDNS-Domänen:
VertrauenswürdigeDNS-Server:
AlwaysOn: Falsch
ConnectFailurePolicy: Geschlossen
AllowCaptivePortalRemediation: Falsch
CaptivePortalRemediationTimeout: 5
ApplyLastVPNLocalResourceRules: Falsch
VPNDisconnect zulassen: true
EnableScripting: Falsch
TerminateScriptOnNextEvent: false
EnablePostSBLOnConnectScript: true
AutomaticCertSelection: true
RetainVPNonLogoff: Falsch
BenutzerDurchsetzung: Nur derselbeBenutzer
EnableAutomaticServerSelection: false
AutoServerAuswahlVerbesserung: 20
AutoServerAuswahlSuspendZeit: 4
Authentifizierungs-Timeout: 12
SafeWordSofTokenIntegration: false
AllowIPsecOverSSL: Falsch
ClearSmartcardPin: true
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:07
Typ: Informationen
Quelle: acvpnui

Beschreibung : Message type information sent to the user:
VPN wird eingerichtet - System wird geprüft...
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:07
Typ: Informationen
Quelle: acvpnui

Beschreibung : Message type information sent to the user:
VPN wird eingerichtet - VPN-Adapter wird aktiviert...
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:07
Typ: Informationen
Quelle: acvpnagent

Beschreibung : Function: CVirtualAdapter::DoRegistryRepair
Datei: .\WindowsVirtualAdapter.cpp
Anschluss: 1869
VA-Kontrollschlüssel gefunden: SYSTEM\CurrentControlSet\ENUM\ROOT\NET\0000\Control

****************************************
Datum: 23.04.13
Uhrzeit: 16:25:07
Typ: Informationen
Quelle: acvpnagent

Beschreibung : Es wurde eine neue Netzwerkschnittstelle erkannt.
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:07
Typ: Informationen
Quelle: acvpnagent

Beschreibung : Function: CRouteMgr::logInterfaces
Datei: .\RouteMgr.cpp
Anschluss: 2076
Aufgerufene Funktion: logInterfaces
Rückgabecode: 0 (0x00000000)
Beschreibung: IP Address Interface List:
10.2.2.1
192.168.1.1
****************************************
Datum: 23.04.13
Uhrzeit: 16:25:08
Typ: Informationen
Quelle: acvpnagent

Beschreibung: Host Configuration:
 Öffentliche Adresse: 192.168.1.1
 Öffentliche Maske: 255.255.255.0
 Private Adresse: 10.2.2.1
 Private Maske: 255.0.0.0
 Private IPv6-Adresse: K/A
 Private IPv6-Maske: k. A.
 Remote-Peers: 10.0.0.1 (TCP-Port 443, UDP-Port 500), 10.0.0.1 (UDP-Port 4500)
 Private Netzwerke: keine
 Öffentliche Netzwerke: keine
 Tunnelmodus: ja
****************************************

Die Verbindung wird in die Datenbank der Security Association (SA) eingegeben, und der Status lautet REGISTERED (REGISTRIERT). Die ASA führt außerdem einige Prüfungen wie CAC-Statistiken (Common Access Card), Vorhandensein doppelter SAs durch und legt Werte wie DPD (Dead Peer Detection) usw. fest.