2台のルータ間のLAN-to-LAN IPSecトンネルの設定

ダウンロード オプション

  • PDF     (463.0 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (100.3 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (109.8 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2023 年 8 月 3 日
Document ID:71462

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

    はじめに

    このドキュメントでは、2台のCiscoルータ(Cisco IOS®またはCisco IOS® XE)間でInternet Key Exchange(IKEv1)を使用したポリシーベースのVPN(PVPN)を設定する方法について説明します。

    前提条件

    要件

    このドキュメントに関する固有の要件はありません。

    使用するコンポーネント

    このドキュメントの情報は、Cisco IOS®リリース15.7を搭載したCiscoルータに基づくものです。ユーザはIPSec VPNトンネルを介してサイト全体のリソースにアクセスできます。

    このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

    表記法

    ドキュメント表記の詳細については、『シスコ テクニカル ティップスの表記法』を参照してください。

    設定

    このセクションでは、このドキュメントで説明する機能を設定するために必要な情報を提供しています。

    ネットワーク図

    このドキュメントでは、次のネットワーク セットアップを使用します。

    ネットワーク図

    注：この設定で使用されているIPアドレッシング方式は、インターネット上で正式にルーティング可能なものではありません。これらは、ラボ環境で使用された RFC 1918 のアドレスです。

    コンフィギュレーション

    このドキュメントでは、次のコンフィギュレーションを使用します。

    注：シスコでは、両方のデバイスの暗号マップに適用されるACLを互いのミラーイメージにすることを推奨しています。

    ルータ A 
    !--- Create an ISAKMP policy for Phase 1 negotiations for the L2L tunnels.

crypto isakmp policy 10
encryption aes
hash sha256
authentication pre-share
group 14

!--- Specify the pre-shared key and the remote peer address 
    !--- to match for the L2L tunnel.

crypto isakmp key vpnuser address 10.0.0.2

!--- Create the Phase 2 policy for IPsec negotiation.

crypto ipsec transform-set myset esp-aes esp-sha256-hmac

!--- Create an ACL for the traffic to be encrypted.
!--- In this example, the traffic from 10.1.1.0/24 to 172.16.2.0/24
!--- is encrypted. The traffic which does not match the access list 
!--- is unencrypted for the Internet.

access-list 100 permit ip 10.1.1.0 0.0.0.255 172.16.2.0 0.0.0.255

!--- Create the actual crypto map. Specify an access control list (ACL),
    !--- which defines the proxy identities (local and remote host/networks).

crypto map mymap 10 ipsec-isakmp
 set peer 10.0.0.2
 set transform-set myset
 match address 100

interface GigabitEthernet0/1
ip address 10.1.1.2 255.255.255.0

!--- Apply the crypto map on the outside interface.

interface GigabitEthernet0/0
 ip address 172.16.1.1 255.255.255.0
 crypto map mymap

!--- Route to the default gateway

ip route 0.0.0.0 0.0.0.0 172.16.1.2
    ルータ B 
    !--- Create an ISAKMP policy for Phase 1 negotiations for the L2L tunnels.

crypto isakmp policy 10
encryption aes
hash sha256
authentication pre-share
group 14

!--- Specify the pre-shared key and the remote peer address 
    !--- to match for the L2L tunnel.

crypto isakmp key vpnuser address 172.16.1.1

!--- Create the Phase 2 policy for IPsec negotiation.

crypto ipsec transform-set myset esp-aes esp-sha256-hmac

!--- Create an ACL for the traffic to be encrypted.
!--- In this example, the traffic from 172.16.2.0/24 to 10.1.1.0/24
!--- is encrypted. The traffic which does not match the access list 
!--- is unencrypted for the Internet.

access-list 100 permit ip 172.16.2.0 0.0.0.255 10.1.1.0 0.0.0.255

!--- Create the actual crypto map. Specify an access control list (ACL),
    !--- which defines the proxy identities (local and remote host/networks).

!
crypto map mymap 10 ipsec-isakmp
 set peer 172.16.1.1
 set transform-set myset
 match address 100

interface GigabitEthernet0/1
ip address 172.16.2.1 255.255.255.0
!

!--- Apply the crypto map on the outside interface.

interface GigabitEthernet0/0
ip address 10.0.0.2 255.255.255.0
crypto map mymap

!--- Route to the default gateway.

ip route 0.0.0.0 0.0.0.0 10.0.01

    確認

    ここでは、設定が正常に機能しているかどうかを確認します。

    Cisco CLI Analyzer(登録ユーザ専用)では、特定の show コマンドをサポートしています。Cisco CLIアナライザを使用して、 show コマンド出力の解析を表示します。

    • show crypto ipsec sa – 現在のセキュリティアソシエーション(SA)で使用されている設定、カプセル化とカプセル化解除の数、ローカルおよびリモートのプロキシID、およびセキュリティパラメータインデックス(SPI)の着信と発信を表示します。

      RouterA#show crypto ipsec sa

interface: Serial2/0
    Crypto map tag: mymap, local addr 172.16.1.1

    protected vrf: (none)
   local  ident (addr/mask/prot/port): (10.1.1.0/255.255.255.0/0/0)
   remote ident (addr/mask/prot/port): (172.16.2.0/255.255.255.0/0/0)
   current_peer 10.0.0.2 port 500
     PERMIT, flags={origin_is_acl,}
    #pkts encaps: 21, #pkts encrypt: 21, #pkts digest: 21
    #pkts decaps: 21, #pkts decrypt: 21, #pkts verify: 21
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 0, #pkts compr. failed: 0
    #pkts not decompressed: 0, #pkts decompress failed: 0
    #send errors 0, #recv errors 0

     local crypto endpt.: 172.16.1.1, remote crypto endpt.: 10.0.0.2
     plaintext mtu 1438, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet0/0
     current outbound spi: 0x8767D399(2271728537)
     PFS (Y/N): N, DH group: none

     inbound esp sas:
      spi: 0x6E210372(1847657330)
        transform: esp-aes esp-sha256-hmac ,
        in use settings ={Tunnel, }
        conn id: 2007, flow_id: Onboard VPN:7, sibling_flags 80004040, crypto map: mymap
        sa timing: remaining key lifetime (k/sec): (4338240/3269)
        IV size: 16 bytes
        replay detection support: Y
        Status: ACTIVE(ACTIVE)

     inbound ah sas:

     inbound pcp sas:

     outbound esp sas:
      spi: 0x8767D399(2271728537)
        transform: esp-aes esp-sha256-hmac ,
        in use settings ={Tunnel, }
        conn id: 2008, flow_id: Onboard VPN:8, sibling_flags 80004040, crypto map: mymap
        sa timing: remaining key lifetime (k/sec): (4338240/3269)
        IV size: 16 bytes
        replay detection support: Y
        Status: ACTIVE(ACTIVE)

     outbound ah sas:

     outbound pcp sas:

    • show crypto isakmp sa – 現在のすべてのIKE SAとステータスを表示します。

      RouterA#show crypto isakmp sa
dst             src             state          conn-id slot status
10.0.0.2        172.16.1.1      QM_IDLE              1    0 ACTIVE
    • show crypto map ：次のコマンドで作成された暗号マップ構造を表示します。
      • クリプトマップの名前とシーケンス番号。
      • ピアアドレス。
      • ローカルおよびリモートプロキシIDとともに適用されるACLの名前。
      • 使用されるIPsecトランスフォームセットの値。
      • 暗号マップがバインドされているインターフェイス。
      RouterA#show crypto map
                

Crypto Map IPv4 "mymap" 10 ipsec-isakmp
                Peer = 10.0.0.2
                Extended IP access list 100
                    access-list 100 permit ip 10.1.1.0 0.0.0.255 172.16.2.0 0.0.0.255
                Current peer: 10.0.0.2
                Security association lifetime: 4608000 kilobytes/3600 seconds
                Responder-Only (Y/N): N
                PFS (Y/N): N
                Mixed-mode : Disabled
                Transform sets={
                                myset:  { esp-aes esp-sha256-hmac  } ,
                }
                Interfaces using crypto map mymap:
                                GigabitEthernet0/0

RouterB#show crypto map
                Interfaces using crypto map NiStTeSt1:

Crypto Map IPv4 "mymap" 10 ipsec-isakmp
                Peer = 172.16.1.1
                Extended IP access list 100
                    access-list 100 permit ip 172.16.2.0 0.0.0.255 10.1.1.0 0.0.0.255
                Current peer: 10.0.0.1
                Security association lifetime: 4608000 kilobytes/3600 seconds
                Responder-Only (Y/N): N
                PFS (Y/N): N
                Mixed-mode : Disabled
                Transform sets={
                                myset:  { esp-aes esp-sha256-hmac  } ,
                }
                Interfaces using crypto map mymap:
                                GigabitEthernet0/0
    • show crypto session remote <IP address of peer VPN endpoint> detail 
      RouterA#show crypto session remote 10.0.0.2 detail   
Crypto session current status

Interface: GigabitEthernet0/0
Uptime: 00:39:16 
Session status: UP-ACTIVE   >>>>> Status of the VPN 
Peer: 10.0.0.2 port 500 fvrf: (none) ivrf: (none)
      Phase1_id: 10.0.0.2
      Desc: (none)
  Session ID: 0
  IKEv1 SA: local 172.16.1.1/500 remote 10.0.0.2/500 Active
          Capabilities:(none) connid:1004 lifetime:23:20:43
  IPSEC FLOW: permit ip 10.1.1.0/255.255.255.0 172.16.2.0/255.255.255.0
        Active SAs: 2, origin: crypto map
        Inbound:  #pkts dec'ed 21 drop 0 life (KB/Sec) 4338240/1243
        Outbound: #pkts enc'ed 21 drop 0 life (KB/Sec) 4338240/1243


RouterB#show crypto session remote 172.16.1.1 detail
Crypto session current status

Interface: GigabitEthernet0/0
Uptime: 00:40:43
Session status: UP-ACTIVE    >>>>> Status of the VPN 
Peer: 172.16.1.1 port 500 fvrf: (none) ivrf: (none)
      Phase1_id: 172.16.1.1
      Desc: (none)
  Session ID: 0
  IKEv1 SA: local 10.0.0.2/500 remote 172.16.1.1/500 Active
          Capabilities:(none) connid:1004 lifetime:23:19:16
  IPSEC FLOW: permit ip 172.16.2.0/255.255.255.0 10.1.1.0/255.255.255.0
        Active SAs: 2, origin: crypto map
        Inbound:  #pkts dec'ed 21 drop 0 life (KB/Sec) 4271304/1156
        Outbound: #pkts enc'ed 21 drop 0 life (KB/Sec) 4271304/1156
      •

    トラブルシュート

    ここでは、設定のトラブルシューティングに使用できる情報を示します。

    コマンド

    Cisco CLI Analyzer(登録ユーザ専用)では、特定の show コマンドをサポートしています。Cisco CLIアナライザを使用して、 show コマンド出力の解析を表示します。

    注： debug コマンドを使用する前に、『debugコマンドの重要な情報』を参照してください。

    • debug crypto isakmp – フェーズ1のISAKMPネゴシエーションを表示します。

    • debug crypto ipsec – フェーズ2のIPSecネゴシエーションを表示します。

      •

    debug 出力例

    デバッグの出力例は、VPNネゴシエーションが成功した場合のルータA（イニシエータ）からの出力です。

    ルータ

    RouterA#debug crypto isakmp Jul 1 04:08:49.558: ISAKMP: (0):SA request profile is (NULL) Jul 1 04:08:49.558: ISAKMP: (0):Created a peer struct for 10.0.0.2, peer port 500 Jul 1 04:08:49.558: ISAKMP: (0):New peer created peer = 0x2108BC48 peer_handle = 0x80000005 Jul 1 04:08:49.558: ISAKMP: (0):Locking peer struct 0x2108BC48, refcount 1 for isakmp_initiator Jul 1 04:08:49.558: ISAKMP: (0):local port 500, remote port 500 Jul 1 04:08:49.558: ISAKMP: (0):set new node 0 to QM_IDLE Jul 1 04:08:49.558: ISAKMP: (0):Find a dup sa in the avl tree during calling isadb_insert sa = 3DA022D8 Jul 1 04:08:49.558: ISAKMP: (0):Can not start Aggressive mode,.! Success rate is 50 percent (1/2), round-trip min/avg/max = 1/1/1 ms Router# trying Main mode. Jul 1 04:08:49.558: ISAKMP: (0):found peer pre-shared key matching 10.0.0.2 Jul 1 04:08:49.558: ISAKMP: (0):constructed NAT-T vendor-rfc3947 ID Jul 1 04:08:49.558: ISAKMP: (0):constructed NAT-T vendor-07 ID Jul 1 04:08:49.558: ISAKMP: (0):constructed NAT-T vendor-03 ID Jul 1 04:08:49.558: ISAKMP: (0):constructed NAT-T vendor-02 ID Jul 1 04:08:49.558: ISAKMP: (0):Input = IKE_MESG_FROM_IPSEC, IKE_SA_REQ_MM Jul 1 04:08:49.558: ISAKMP: (0):Old State = IKE_READY New State = IKE_I_MM1 Jul 1 04:08:49.562: ISAKMP: (0):beginning Main Mode exchange Jul 1 04:08:49.562: ISAKMP-PAK: (0):sending packet to 10.0.0.2 my_port 500 peer_port 500 (I) MM_NO_STATE Jul 1 04:08:49.562: ISAKMP: (0):Sending an IKE IPv4 Packet. Jul 1 04:08:49.690: ISAKMP-PAK: (0):received packet from 10.0.0.2 dport 500 sport 500 Global (I) MM_NO_STATE Jul 1 04:08:49.690: ISAKMP: (0):Input = IKE_MESG_FROM_PEER, IKE_MM_EXCH Jul 1 04:08:49.690: ISAKMP: (0):Old State = IKE_I_MM1 New State = IKE_I_MM2 Jul 1 04:08:49.690: ISAKMP: (0):processing SA payload. message ID = 0 Jul 1 04:08:49.690: ISAKMP: (0):processing vendor id payload Jul 1 04:08:49.690: ISAKMP: (0):vendor ID seems Unity/DPD but major 69 mismatch Jul 1 04:08:49.690: ISAKMP: (0):vendor ID is NAT-T RFC 3947 Jul 1 04:08:49.690: ISAKMP: (0):found peer pre-shared key matching 10.0.0.2 Jul 1 04:08:49.690: ISAKMP: (0):local preshared key found Jul 1 04:08:49.690: ISAKMP: (0):Scanning profiles for xauth ... Jul 1 04:08:49.690: ISAKMP: (0):Checking ISAKMP transform 1 against priority 10 policy Jul 1 04:08:49.690: ISAKMP: (0): encryption AES-CBC Jul 1 04:08:49.690: ISAKMP: (0): keylength of 128 Jul 1 04:08:49.690: ISAKMP: (0): hash SHA256 Jul 1 04:08:49.690: ISAKMP: (0): default group 14 Jul 1 04:08:49.690: ISAKMP: (0): auth pre-share Jul 1 04:08:49.690: ISAKMP: (0): life type in seconds Jul 1 04:08:49.690: ISAKMP: life duration (VPI) of 0x0 0x1 0x51 0x80 Jul 1 04:08:49.690: ISAKMP: (0):atts are acceptable. Next payload is 0 Jul 1 04:08:49.690: ISAKMP: (0):Acceptable atts:actual life: 0 Jul 1 04:08:49.690: ISAKMP: (0):Acceptable atts:life: 0 Jul 1 04:08:49.690: ISAKMP: (0):Fill atts in sa vpi_length:4 Jul 1 04:08:49.690: ISAKMP: (0):Fill atts in sa life_in_seconds:86400 Jul 1 04:08:49.690: ISAKMP: (0):Returning Actual lifetime: 86400 Jul 1 04:08:49.690: ISAKMP: (0):Started lifetime timer: 86400. Jul 1 04:08:49.814: ISAKMP: (0):processing vendor id payload Jul 1 04:08:49.814: ISAKMP: (0):vendor ID seems Unity/DPD but major 69 mismatch Jul 1 04:08:49.814: ISAKMP: (0):vendor ID is NAT-T RFC 3947 Jul 1 04:08:49.814: ISAKMP: (0):Input = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE Jul 1 04:08:49.814: ISAKMP: (0):Old State = IKE_I_MM2 New State = IKE_I_MM2 Jul 1 04:08:49.818: ISAKMP-PAK: (0):sending packet to 10.0.0.2 my_port 500 peer_port 500 (I) MM_SA_SETUP Jul 1 04:08:49.818: ISAKMP: (0):Sending an IKE IPv4 Packet. Jul 1 04:08:49.818: ISAKMP: (0):Input = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE Jul 1 04:08:49.818: ISAKMP: (0):Old State = IKE_I_MM2 New State = IKE_I_MM3 Jul 1 04:08:49.978: ISAKMP-PAK: (0):received packet from 10.0.0.2 dport 500 sport 500 Global (I) MM_SA_SETUP Jul 1 04:08:49.978: ISAKMP: (0):Input = IKE_MESG_FROM_PEER, IKE_MM_EXCH Jul 1 04:08:49.978: ISAKMP: (0):Old State = IKE_I_MM3 New State = IKE_I_MM4 Jul 1 04:08:49.978: ISAKMP: (0):processing KE payload. message ID = 0 Jul 1 04:08:50.138: ISAKMP: (0):processing NONCE payload. message ID = 0 Jul 1 04:08:50.138: ISAKMP: (0):found peer pre-shared key matching 10.0.0.2 Jul 1 04:08:50.138: ISAKMP: (1004):processing vendor id payload Jul 1 04:08:50.138: ISAKMP: (1004):vendor ID is Unity Jul 1 04:08:50.138: ISAKMP: (1004):processing vendor id payload Jul 1 04:08:50.138: ISAKMP: (1004):vendor ID is DPD Jul 1 04:08:50.138: ISAKMP: (1004):processing vendor id payload Jul 1 04:08:50.138: ISAKMP: (1004):speaking to another IOS box! Jul 1 04:08:50.138: ISAKMP: (1004):received payload type 20 Jul 1 04:08:50.138: ISAKMP: (1004):His hash no match - this node outside NAT Jul 1 04:08:50.138: ISAKMP: (1004):received payload type 20 Jul 1 04:08:50.138: ISAKMP: (1004):No NAT Found for self or peer Jul 1 04:08:50.138: ISAKMP: (1004):Input = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE Jul 1 04:08:50.138: ISAKMP: (1004):Old State = IKE_I_MM4 New State = IKE_I_MM4 Jul 1 04:08:50.138: ISAKMP: (1004):Send initial contact Jul 1 04:08:50.138: ISAKMP: (1004):SA is doing Jul 1 04:08:50.138: ISAKMP: (1004):pre-shared key authentication using id type ID_IPV4_ADDR Jul 1 04:08:50.138: ISAKMP: (1004):ID payload next-payload : 8 type : 1 Jul 1 04:08:50.138: ISAKMP: (1004): address : 172.16.1.1 >>>>> IKE ID sent Jul 1 04:08:50.138: ISAKMP: (1004): protocol : 17 port : 500 length : 12 Jul 1 04:08:50.138: ISAKMP: (1004):Total payload length: 12 Jul 1 04:08:50.138: ISAKMP-PAK: (1004):sending packet to 10.0.0.2 my_port 500 peer_port 500 (I) MM_KEY_EXCH Jul 1 04:08:50.138: ISAKMP: (1004):Sending an IKE IPv4 Packet. Jul 1 04:08:50.138: ISAKMP: (1004):Input = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE Jul 1 04:08:50.138: ISAKMP: (1004):Old State = IKE_I_MM4 New State = IKE_I_MM5 Jul 1 04:08:50.138: ISAKMP-PAK: (1004):received packet from 10.0.0.2 dport 500 sport 500 Global (I) MM_KEY_EXCH Jul 1 04:08:50.142: ISAKMP: (1004):processing ID payload. message ID = 0 Jul 1 04:08:50.142: ISAKMP: (1004):ID payload next-payload : 8 type : 1 Jul 1 04:08:50.142: ISAKMP: (1004): address : 10.0.0.2 >>>>> IKE ID received Jul 1 04:08:50.142: ISAKMP: (1004): protocol : 17 port : 500 length : 12 Jul 1 04:08:50.142: ISAKMP: (0):peer matches *none* of the profiles Jul 1 04:08:50.142: ISAKMP: (1004):processing HASH payload. message ID = 0 Jul 1 04:08:50.142: ISAKMP: (1004):SA authentication status: authenticated Jul 1 04:08:50.142: ISAKMP: (1004):SA has been authenticated with 10.0.0.2 Jul 1 04:08:50.142: ISAKMP: (0):Trying to insert a peer 172.16.1.1/10.0.0.2/500/, Jul 1 04:08:50.142: ISAKMP: (0): and inserted successfully 2108BC48. Jul 1 04:08:50.142: ISAKMP: (1004):Input = IKE_MESG_FROM_PEER, IKE_MM_EXCH Jul 1 04:08:50.142: ISAKMP: (1004):Old State = IKE_I_MM5 New State = IKE_I_MM6 Jul 1 04:08:50.142: ISAKMP: (1004):Input = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE Jul 1 04:08:50.142: ISAKMP: (1004):Old State = IKE_I_MM6 New State = IKE_I_MM6 Jul 1 04:08:50.142: ISAKMP: (1004):Input = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE Jul 1 04:08:50.142: ISAKMP: (1004):Old State = IKE_I_MM6 New State = IKE_P1_COMPLETE Jul 1 04:08:50.142: ISAKMP: (1004):beginning Quick Mode exchange, M-ID of 3184909968 Jul 1 04:08:50.142: ISAKMP: (1004):QM Initiator gets spi Jul 1 04:08:50.142: ISAKMP-PAK: (1004):sending packet to 10.0.0.2 my_port 500 peer_port 500 (I) QM_IDLE Jul 1 04:08:50.142: ISAKMP: (1004):Sending an IKE IPv4 Packet. Jul 1 04:08:50.142: ISAKMP: (1004):Node 3184909968, Input = IKE_MESG_INTERNAL, IKE_INIT_QM Jul 1 04:08:50.142: ISAKMP: (1004):Old State = IKE_QM_READY New State = IKE_QM_I_QM1 Jul 1 04:08:50.142: ISAKMP: (1004):Input = IKE_MESG_INTERNAL, IKE_PHASE1_COMPLETE >>>>> Phase1 negotiation is complete Jul 1 04:08:50.142: ISAKMP: (1004):Old State = IKE_P1_COMPLETE New State = IKE_P1_COMPLETE Jul 1 04:08:50.146: ISAKMP-PAK: (1004):received packet from 10.0.0.2 dport 500 sport 500 Global (I) QM_IDLE Jul 1 04:08:50.146: ISAKMP: (1004):processing HASH payload. message ID = 3184909968 Jul 1 04:08:50.146: ISAKMP: (1004):processing SA payload. message ID = 3184909968 Jul 1 04:08:50.146: ISAKMP: (1004):Checking IPSec proposal 1 Jul 1 04:08:50.146: ISAKMP: (1004):transform 1, ESP_AES Jul 1 04:08:50.146: ISAKMP: (1004): attributes in transform: Jul 1 04:08:50.146: ISAKMP: (1004): encaps is 1 (Tunnel) Jul 1 04:08:50.146: ISAKMP: (1004): SA life type in seconds Jul 1 04:08:50.146: ISAKMP: (1004): SA life duration (basic) of 3600 Jul 1 04:08:50.146: ISAKMP: (1004): SA life type in kilobytes Jul 1 04:08:50.146: ISAKMP: SA life duration (VPI) of 0x0 0x46 0x50 0x0 Jul 1 04:08:50.146: ISAKMP: (1004): authenticator is HMAC-SHA256 Jul 1 04:08:50.146: ISAKMP: (1004): key length is 128 Jul 1 04:08:50.146: ISAKMP: (1004):atts are acceptable. Jul 1 04:08:50.146: IPSEC(validate_proposal_request): proposal part #1 Jul 1 04:08:50.146: IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) INBOUND local= 172.16.1.1:0, remote= 10.0.0.2:0, local_proxy= 10.1.1.0/255.255.255.0/256/0, remote_proxy= 172.16.2.0/255.255.255.0/256/0, protocol= ESP, transform= esp-aes esp-sha256-hmac (Tunnel), lifedur= 0s and 0kb, spi= 0x0(0), conn_id= 0, keysize= 128, flags= 0x0 Jul 1 04:08:50.146: Crypto mapdb : proxy_match src addr : 10.1.1.0 dst addr : 172.16.2.0 protocol : 0 src port : 0 dst port : 0 Jul 1 04:08:50.146: (ipsec_process_proposal)Map Accepted: mymap, 10 Jul 1 04:08:50.146: ISAKMP: (1004):processing NONCE payload. message ID = 3184909968 Jul 1 04:08:50.146: ISAKMP: (1004):processing ID payload. message ID = 3184909968 Jul 1 04:08:50.146: ISAKMP: (1004):processing ID payload. message ID = 3184909968 Jul 1 04:08:50.146: ISAKMP: (1004):Node 3184909968, Input = IKE_MESG_FROM_PEER, IKE_QM_EXCH Jul 1 04:08:50.146: ISAKMP: (1004):Old State = IKE_QM_I_QM1 New State = IKE_QM_IPSEC_INSTALL_AWAIT Jul 1 04:08:50.146: IPSEC(key_engine): got a queue event with 1 KMI message(s) Jul 1 04:08:50.146: Crypto mapdb : proxy_match src addr : 10.1.1.0 dst addr : 172.16.2.0 protocol : 256 src port : 0 dst port : 0 Jul 1 04:08:50.146: IPSEC(crypto_ipsec_create_ipsec_sas): Map found mymap, 10 Jul 1 04:08:50.146: IPSEC(crypto_ipsec_sa_find_ident_head): reconnecting with the same proxies and peer 10.0.0.2 Jul 1 04:08:50.146: IPSEC(get_old_outbound_sa_for_peer): No outbound SA found for peer 22C55798 Jul 1 04:08:50.146: IPSEC(create_sa): sa created, (sa) sa_dest= 172.16.1.1, sa_proto= 50, sa_spi= 0x6E210372(1847657330), >>>>> Inbound SPI  sa_trans= esp-aes esp-sha256-hmac , sa_conn_id= 2007 sa_lifetime(k/sec)= (4608000/3600), (identity) local= 172.16.1.1:0, remote= 10.0.0.2:0, local_proxy= 10.1.1.0/255.255.255.0/256/0, remote_proxy= 172.16.2.0/255.255.255.0/256/0 Jul 1 04:08:50.146: IPSEC(create_sa): sa created, (sa) sa_dest= 10.0.0.2, sa_proto= 50, sa_spi= 0x8767D399(2271728537), >>>>> Outbound SPI sa_trans= esp-aes esp-sha256-hmac , sa_conn_id= 2008 sa_lifetime(k/sec)= (4608000/3600), (identity) local= 172.16.1.1:0, remote= 10.0.0.2:0, local_proxy= 10.1.1.0/255.255.255.0/256/0, remote_proxy= 172.16.2.0/255.255.255.0/256/0 Jul 1 04:08:50.150: IPSEC: Expand action denied, notify RP Jul 1 04:08:50.150: ISAKMP-ERROR: (0):Failed to find peer index node to update peer_info_list Jul 1 04:08:50.150: ISAKMP: (1004):Received IPSec Install callback... proceeding with the negotiation Jul 1 04:08:50.150: ISAKMP: (1004):Successfully installed IPSEC SA (SPI:0x6E210372) on GigabitEthernet0/0 >>>>> IPsec SA is installed Jul 1 04:08:50.150: ISAKMP-PAK: (1004):sending packet to 10.0.0.2 my_port 500 peer_port 500 (I) QM_IDLE Jul 1 04:08:50.150: ISAKMP: (1004):Sending an IKE IPv4 Packet. Jul 1 04:08:50.150: ISAKMP: (1004):deleting node -1110057328 error FALSE reason "No Error" Jul 1 04:08:50.150: ISAKMP: (1004):Node 3184909968, Input = IKE_MESG_FROM_IPSEC, IPSEC_INSTALL_DONE Jul 1 04:08:50.150: ISAKMP: (1004):Old State = IKE_QM_IPSEC_INSTALL_AWAIT New State = IKE_QM_PHASE2_COMPLETE >>>>> Phase2 negotiation is complete Jul 1 04:08:50.950: ISAKMP: (1003):purging node -262896492 Jul 1 04:09:09.710: ISAKMP: (1003):purging SA., sa=3DA05D84, delme=3DA05D84

    関連情報

    更新履歴

    改定 発行日 コメント
    3.0
    03-Aug-2023
    概要、SEO、ブランディング要件、スタイル要件、およびフォーマットを更新。
    2.0
    05-Jul-2022
    ドキュメントをCisco IOSリリース15.7に更新。
    1.0
    12-Sep-2006
    初版
    TAC Authored

    シスコ エンジニア提供

    • ムルトゥンジャイ・セティ
      Cisco TACエンジニア

    このドキュメントは役に立ちましたか?

    Feedbackフィードバック

    シスコに問い合わせ

    このドキュメントは次の製品に対応しています