用於遠端訪問VPN故障排除的ASA IKEv2調試
簡介
本文檔介紹如何瞭解當網際網路金鑰交換版本2 (IKEv2)與Cisco AnyConnect安全移動客戶端一起使用時，Cisco自適應安全裝置(ASA)上的調試。本文檔還提供了有關如何轉換ASA配置中的某些調試行的資訊。
本文檔不介紹在已建立VPN隧道到ASA之後如何傳遞流量，也不包括IPSec或IKE的基本概念。
必要條件
需求
Cisco建議您瞭解IKEv2的資料包交換。有關詳細資訊，請參閱IKEv2資料包交換和協定級別調試。
採用元件
本文中的資訊係根據以下軟體和硬體版本：
- 網際網路金鑰交換版本2 (IKEv2)
- 思科自適應安全裝置(ASA)版本8.4或更高版本
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。
核心問題
Cisco技術支援中心(TAC)通常使用IKE和IPSec debug命令來瞭解IPSec VPN隧道建立過程中出現問題的位置，但這些命令可能非常神秘。
案例
調試命令
debug crypto ikev2 protocol 127
debug crypto ikev2 platform 127
debug aggregate-auth xml 5
ASA配置
此ASA配置是嚴格意義上的基本配置，不使用外部伺服器。
interface Ethernet0/1
nameif outside
security-level 0
ip address 10.0.0.1 255.255.255.0
ip local pool webvpn1 10.2.2.1-10.2.2.10
crypto ipsec ikev2 ipsec-proposal 3des
protocol esp encryption aes-256 aes 3des des
protocol esp integrity sha-1
crypto dynamic-map dynmap 1000 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 ipsec-isakmp dynamic dynmap
crypto map crymap interface outside
crypto ca trustpoint Anu-ikev2
enrollment self
crl configure
crypto ikev2 policy 10
encryption aes-192
integrity sha
group 2
prf sha
lifetime seconds 86400
crypto ikev2 enable outside client-services port 443
crypto ikev2 remote-access trustpoint Anu-ikev2
ssl encryption 3des-sha1 aes128-sha1 aes256-sha1 des-sha1
ssl trust-point Anu-ikev2 outside
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-3.0.1047-k9.pkg 1
anyconnect profiles Anyconnect-ikev2 disk0:/anyconnect-ikev2.xml
anyconnect enable
tunnel-group-list enable
group-policy ASA-IKEV2 internal
group-policy ASA-IKEV2 attributes
wins-server none
dns-server none
vpn-tunnel-protocol ikev2
default-domain none
webvpn
anyconnect modules value dart
anyconnect profiles value Anyconnect-ikev2 type user
username Anu password lAuoFgF7KmB3D0WI encrypted privilege 15
tunnel-group ASA-IKEV2 type remote-access
tunnel-group ASA-IKEV2 general-attributes
address-pool webvpn1
default-group-policy ASA-IKEV2
tunnel-group ASA-IKEV2 webvpn-attributes
group-alias ASA-IKEV2 enable
XML檔案
<ServerList>
<HostEntry>
<HostName>Anu-IKEV2</HostName>
<HostAddress>10.0.0.1</HostAddress>
<UserGroup>ASA-IKEV2</UserGroup>
<PrimaryProtocol>IPsec</PrimaryProtocol>
</HostEntry>
</ServerList>
調試日誌和說明
伺服器訊息描述 |
調試 |
客戶端消息說明 |
|
日期：2013年4月23日 **************************************** **************************************** |
客戶端啟動通往ASA的VPN隧道。 | ||
| ---------------------------------IKE_SA_INIT Exchange啟動------------------------------ | |||
ASA從客戶端接收IKE_SA_INIT消息。 |
IKEv2-PLAT-4：RECV PKT [IKE_SA_INIT] [192.168.1.1]：25170->[10.0.0.1]：500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000 IKEv2-PROTO-3：Rx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0：f0] m_id：0x0 |
||
第一對消息是IKE_SA_INIT交換。這些訊息會交涉密碼編譯演演算法、交換隨機數，並執行Diffie-Hellman (DH)交換。 從客戶端接收的IKE_SA_INIT消息包含以下欄位：
|
IKEv2-PROTO-3：HDR[i：58AFF71141BA436B - r： 0000000000000000] IKEv2-PROTO-4：IKEV2 HDR ispi：58AFF71141BA436B - rspi：0000000000000000 IKEv2-PROTO-4：下一個負載：SA，版本：2.0 IKEv2-PROTO-4：交換型別：IKE_SA_INIT，標誌：啟動器 IKEv2-PROTO-4：消息ID：0x0，長度：528 SA下一個負載：KE，保留：0x0，長度：168 IKEv2-PROTO-4：最後一個建議：0x0，保留：0x0，長度：164 方案：1，協定ID：IKE，SPI大小：0，#trans：18 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：12 型別：1，保留：0x0，id：AES-CBC IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：12 型別：1，保留：0x0，id：AES-CBC IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：12 型別：1，保留：0x0，id：AES-CBC IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：1，保留：0x0，辨識碼：3DES IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：1，保留：0x0，辨識碼：DES IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：2，保留：0x0，id：SHA512 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：2，保留：0x0，id：SHA384 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：2，保留：0x0，id：SHA256 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：2，保留：0x0，id：SHA1 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：2，保留：0x0，辨識碼：MD5 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，id：SHA512 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，id：SHA384 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，id：SHA256 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，id：SHA96 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，辨識碼：MD596 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：4，保留：0x0，辨識碼：DH_GROUP_1536_MODP/Group 5 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：4，保留：0x0，辨識碼：DH_GROUP_1024_MODP/Group 2 IKEv2-PROTO-4：上次轉換：0x0，保留：0x0：長度：8 型別：4，保留：0x0，辨識碼：DH_GROUP_768_MODP/Group 1 KE 下一個負載：N，保留：0x0，長度：104 DH組：1，保留：0x0 eb 5e 29 fe cb 2e d1 28 ed 4a 54 b1 13 7c b8 89 f7 62 13 6b df 95 88 28 b5 97 ba 52 ef e4 1d 28 ca 06 d1 36 b6 67 32 9a c2 dd 4e d8 c7 80 de 20 36 34 c5 b3 3e 1d 83 1a c7 fb 9d b8 c5 f5ed 5f ba ba 4f b6 b2 e2 2d 43 4f a0 b6 90 9a 11 3f 7d 0a 21 c3 4d d3 0a d2 1e 33 43 d3 5e cc 4b 38 e0 N下一個負載：VID，保留：0x0，長度：24 20 12 8f 22 7b 16 23 52 e4 29 4d 98 c7 fd a8 77 ce 7c 0b4 IKEv2-PROTO-5：解析供應商特定負載：CISCO-DELETE-REASON VID下一個負載：VID，保留：0x0，長度：23 |
||
ASA驗證並處理
相關配置： crypto ikev2 policy 10 |
解密的資料包：資料： 528位元組 IKEv2-PLAT-3：處理自定義VID負載 IKEv2-PLAT-3：從對等體接收的思科版權VID IKEv2-PLAT-3：從對等體接收的AnyConnect EAP VID IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState：空閒事件：EV_RECV_INIT IKEv2-PROTO-3：(6)：檢查NAT發現 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState：空閒事件：EV_CHK_REDIRECT IKEv2-PROTO-5：(6)：不需要重定向檢查，將跳過它 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState：空閒事件：EV_CHK_CAC IKEv2-PLAT-5：已承認新ikev2 sa請求 IKEv2-PLAT-5：傳入協商sa計數增加1 IKEv2-PLAT-5：無效的PSH控制代碼 IKEv2-PLAT-5：無效的PSH控制代碼 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： IDLE Event： EV_CHK_COOKIE IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： IDLE Event： EV_CHK4_COOKIE_NOTIFY IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_INIT事件： EV_VERIFY_MSG IKEv2-PROTO-3： (6)： Verify SA init message IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_INIT事件： EV_INSERT_SA IKEv2-PROTO-3：(6)：插入SA IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_INIT事件： EV_GET_IKE_POLICY IKEv2-PROTO-3：(6)：獲取已配置的策略 IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_INIT事件： EV_PROC_MSG IKEv2-PROTO-2：(6)：處理初始消息 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_INIT事件： EV_DETECT_NAT IKEv2-PROTO-3：(6)：處理NAT發現通知 IKEv2-PROTO-5：(6)：處理nat detect src notify IKEv2-PROTO-5：(6)：遠端地址不匹配 IKEv2-PROTO-5：(6)：處理nat檢測dst通知 IKEv2-PROTO-5：(6)：本地地址匹配 IKEv2-PROTO-5：(6)：主機位於NAT外部 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_INIT事件： EV_CHK_CONFIG_MODE IKEv2-PROTO-3： (6)：已接收有效配置模式資料 IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_INIT事件： EV_SET_RECD_CONFIG_MODE IKEv2-PROTO-3：(6)：設定接收的配置模式資料 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_SET_POLICY IKEv2-PROTO-3：(6)：設定配置的策略 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_CHK_AUTH4PKI IKEv2-PROTO-5： (6)： SM Trace-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_PKI_SESH_OPEN IKEv2-PROTO-3：(6)：打開PKI會話 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_GEN_DH_KEY IKEv2-PROTO-3：(6)：計算DH公鑰 IKEv2-PROTO-3：(6)： IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_NO_EVENT IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_OK_RECD_DH_PUBKEY_RESP IKEv2-PROTO-5：(6)：操作：Action_Null IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_GEN_DH_SECRET IKEv2-PROTO-3：(6)：計算DH金鑰 IKEv2-PROTO-3：(6)： IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_NO_EVENT IKEv2-PROTO-5： (6)： SM Trace-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_OK_RECD_DH_SECRET_RESP IKEv2-PROTO-5：(6)：操作：Action_Null IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_GEN_SKEYID IKEv2-PROTO-3： (6)：生成skyid IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件： EV_GET_CONFIG_MODE |
||
ASA構建IKE_SA_INIT交換的響應消息。 此封包包含：
|
IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_BLD_INIT事件：EV_BLD_MSG IKEv2-PROTO-2：(6)：傳送初始消息 IKEv2-PROTO-3：IKE提議：1，SPI大小：0（初始協商）， 轉換編號：4 AES-CBC SHA1 SHA96 DH_GROUP_768_MODP/Group 1 IKEv2-PROTO-5：構建供應商特定負載：DELETE-REASONIKEv2-PROTO-5：構建供應商特定負載：（自定義）IKEv2-PROTO-5：構建供應商特定負載：（自定義）IKEv 2-PROTO-5：構造通知有效負載：NAT_DETECTION_SOURCE_IPIKEv2-PROTO-5：構造通知有效負載：NAT_DETECTION_DESTINATION_IPIKEv2-PLAT-2：無法檢索受信任的發行者雜湊或無可用雜湊 IKEv2-PROTO-5：構建供應商特定負載：FRAGMENTATIONIKEv2-PROTO-3： Tx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0：f0] m_id： 0x0 IKEv2-PROTO-3：HDR[i：58AFF71141BA436B - r：FC696330E6B94D7F] IKEv2-PROTO-4：IKEV2 HDR ispi：58AFF71141BA436B - rspi：FC696330E6B94D7F IKEv2-PROTO-4：下一個負載：SA，版本：2.0 IKEv2-PROTO-4：交換型別：IKE_SA_INIT，標誌：響應方MSG-RESPONSE IKEv2-PROTO-4：消息ID：0x0，長度：386 SA下一個負載：KE，保留：0x0，長度：48 IKEv2-PROTO-4：最後一個建議：0x0，保留：0x0，長度：44 方案：1，協定ID：IKE，SPI大小：0，#trans：4 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：12 型別：1，保留：0x0，id：AES-CBC IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：2，保留：0x0，id：SHA1 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，id：SHA96 IKEv2-PROTO-4：上次轉換：0x0，保留：0x0：長度：8 型別：4，保留：0x0，辨識碼：DH_GROUP_768_MODP/Group 1 KE 下一個負載：N，保留：0x0，長度：104 DH組：1，保留：0x0 c9 30 f9 32 d4 7c d1 a7 5b 71 72 09 6e 7e 91 0c e1 ce b4 a4 3c f2 8b 74 4e 20 59 b4 0b a1 ff 65 37 88 cc c4 a4 b6 fa 4a 63 03 93 89 e1 7e bd 6a 64 9a 38 24 e2 a8 40 f5 a3 d6 ef f7 1a df 33cc a1 8e fa dc 9c 34 45 79 1a 7c 29 05 87 8a ac 02 98 2e 7d cb 41 51 d6 fe fc c7 76 83 1d 03 b0 d7 N下一個負載：VID，保留：0x0，長度：24 c2 28 7f 8c 7d b3 1e 51 fc eb f1 97 ec 97 b8 67 d5 e7 c2 f5 VID下一個負載：VID，保留：0x0，長度：23 |
||
| ASA會為IKE_SA_INIT交換傳送響應消息。IKE_SA_INIT交換現已完成。ASA會啟動身份驗證過程的計時器。 | IKEv2-PLAT-4：傳送的PKT [IKE_SA_INIT] [10.0.0.1]：500->[192.168.1.1]：25170 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000000 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： INIT_DONE事件： EV_DONE IKEv2-PROTO-3：(6)：已啟用分段 IKEv2-PROTO-3：(6)：已啟用Cisco DeleteReason Notify IKEv2-PROTO-3：(6)：完成SA初始交換 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： INIT_DONE事件： EV_CHK4_ROLE IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： INIT_DONE事件： EV_START_TMR IKEv2-PROTO-3：(6)：啟動計時器以等待身份驗證消息（30秒） IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000000 CurState： R_WAIT_AUTH事件： EV_NO_EVENT |
**************************************** 日期：2013年4月23日 播放時長：16:25:02 型別：資訊 來源： acvpnagent 描述：函式：CIPsecProtocol：：initiateTunnel 檔案： .\IPsecProtocol.cpp 行：345 IPsec隧道正在啟動 **************************************** |
客戶端將IPSec隧道顯示為「正在啟動」。 |
| -----------------------------------IKE_SA_INIT完成--------------------------------- | |||
| ------------------------------------- IKE_AUTH開始------------------------------------- | |||
| **************************************** 日期：2013年4月23日 時間：16:25:00 型別：資訊 來源： acvpnagent 描述：安全網關引數： IP地址：10.0.0.1 連線埠：443 URL：「10.0.0.1」 身份驗證方法：IKE - EAP-AnyConnect IKE身份： **************************************** 日期：2013年4月23日 時間：16:25:00 型別：資訊 來源： acvpnagent 說明：啟動Cisco AnyConnect安全移動客戶端連線，版本3.0.1047 **************************************** 日期：2013年4月23日 |
客戶端從消息3中省略AUTH有效負載，以表示希望使用可擴展身份驗證。當使用者端設定檔指定或隱含可延伸驗證通訊協定(EAP)驗證，且設定檔不包含<IKEIdentity>專案時，使用者端會傳送具有固定字串*$AnyConnectClient$*的ID_GROUP型別IDi負載。客戶端在埠4500上發起到ASA的連線。 | ||
使用EAP完成身份驗證。在EAP通話中只允許一個EAP驗證方法。ASA從客戶端接收IKE_AUTH消息。 |
IKEv2-PLAT-4： RECV PKT [IKE_AUTH] [192.168.1.1]：25171->[10.0.0.1]：4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 IKEv2-PROTO-3： Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0：f0] m_id： 0x1 |
||
當客戶端包含IDi負載時 IKE_AUTH發起方資料包包含：
從屬端必須遞送的屬性 * 相關配置檔案配置： <ServerList> |
IKEv2-PROTO-3： HDR[i：58AFF71141BA436B - r：FC696330E6B94D7F] IKEv2-PROTO-4：IKEV2 HDR ispi：58AFF71141BA436B - rspi：FC696330E6B94D7F IKEv2-PROTO-4：下一個負載：加密，版本：2.0 IKEv2-PROTO-4：交換型別：IKE_AUTH，標誌：啟動器 IKEv2-PROTO-4：消息ID：0x1，長度：540 IKEv2-PROTO-5：(6)：請求具有mess_id 1；應為1到1 REAL Decrypted Packet：資料：465位元組 IKEv2-PROTO-5：解析供應商特定負載：（自定義） VID下一個負載： IDi，保留： 0x0，長度： 20 58 af f6 11 52 8d b0 2c b8 da 30 46 be 91 56 fa IDi下一個負載：CERTREQ，保留：0x0，長度：28 Id型別：組名，保留：0x0 0x0 2a 24 41 6e 79 43 6f 6e 6e 65 63 74 43 6c 69 65 6e 74 24 2a CERTREQ下一個負載：CFG，保留：0x0，長度：25 證書編碼X.509證書-簽名 CertReq資料&冒號； 20位元組 CFG下一個負載：SA，保留：0x0，長度：196 cfg型別：CFG_REQUEST，保留：0x0，保留：0x0 屬性型別：內部IP4地址，長度：0 屬性型別：內部IP4網路掩碼，長度：0 屬性型別：內部IP4 DNS，長度：0 屬性型別：內部IP4 NBNS，長度：0 屬性型別：內部地址到期，長度：0 屬性型別：應用程式版本，長度：27 41 6e 79 43 6f 6e 6e 65 63 74 20 57 69 6e 64 6f 77 73 20 33 2e 30 2e 31 30 34 37 屬性型別：內部IP6地址，長度：0 屬性型別：內部IP4子網，長度：0 屬性型別：未知- 28682，長度：15 77 69 6e 78 70 36 34 74 65 6d 70 6c 61 74 65 屬性型別：未知- 28704，長度：0 屬性型別：未知- 28705，長度：0 屬性型別：未知- 28706，長度：0 屬性型別：未知- 28707，長度：0 屬性型別：未知- 28708，長度：0 屬性型別：未知- 28709，長度：0 屬性型別：未知- 28710，長度：0 屬性型別：未知- 28672，長度：0 屬性型別：未知- 28684，長度：0 屬性型別：未知- 28711，長度：2 05 7e 屬性型別：未知- 28674，長度：0 屬性型別：未知- 28712，長度：0 屬性型別：未知- 28675，長度：0 屬性型別：未知- 28679，長度：0 屬性型別：未知- 28683，長度：0 屬性型別：未知- 28717，長度：0 屬性型別：未知- 28718，長度：0 屬性型別：未知- 28719，長度：0 屬性型別：未知- 28720，長度：0 屬性型別：未知- 28721，長度：0 屬性型別：未知- 28722，長度：0 屬性型別：未知- 28723，長度：0 屬性型別：未知- 28724，長度：0 屬性型別：未知- 28725，長度：0 屬性型別：未知- 28726，長度：0 屬性型別：未知- 28727，長度：0 屬性型別：未知- 28729，長度：0 SA下一個負載：TSi，保留：0x0，長度：124 IKEv2-PROTO-4：最後一個建議：0x0，保留：0x0，長度：120 方案：1，協定id：ESP，SPI大小：4，#trans：12 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：12 型別：1，保留：0x0，id：AES-CBC IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：12 型別：1，保留：0x0，id：AES-CBC IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：12 型別：1，保留：0x0，id：AES-CBC IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：1，保留：0x0，辨識碼：3DES IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：1，保留：0x0，辨識碼：DES IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：1，保留：0x0，id：空 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，id：SHA512 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，id：SHA384 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，id：SHA256 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，id：SHA96 IKEv2-PROTO-4：上次轉換：0x3，保留：0x0：長度：8 型別：3，保留：0x0，辨識碼：MD596 IKEv2-PROTO-4：上次轉換：0x0，保留：0x0：長度：8 型別：5，保留：0x0，id： TSi下一個負載：TSr，保留：0x0，長度：24 TS數：1，保留0x0，保留0x0 TS型別：TS_IPV4_ADDR_RANGE，proto id：0，長度：16 起始埠：0，終止埠：65535 開始地址：0.0.0.0，結束地址：255.255.255.255 TSr下一個負載：NOTIFY，保留：0x0，長度：24 TS數：1，保留0x0，保留0x0 TS型別：TS_IPV4_ADDR_RANGE，proto id：0，長度：16 起始埠：0，終止埠：65535 開始地址：0.0.0.0，結束地址：255.255.255.255 |
||
ASA會生成對IKE_AUTH消息的響應，並準備向客戶端進行身份驗證。 |
解密的封包：資料冒號(&C)；540位元組 已建立元素名稱config-auth值 |
||
ASA會傳送身份驗證負載，以便從客戶端請求使用者憑證。ASA將身份驗證方法作為「RSA」傳送，因此它會將自己的證書傳送給客戶端，以便客戶端可以對ASA伺服器進行身份驗證。 由於ASA願意使用可擴展身份驗證方法，因此會在消息4中放置EAP負載，並延遲傳送SAr2、TSi和TSr，直到在隨後的IKE_AUTH交換中完成啟動器身份驗證。因此，調試中不存在這三個有效負載。 EAP資料包包含：
|
IDr。下一個負載：CERT，保留：0x0，長度：36 Id型別：DER ASN1 DN，保留：0x0 0x0 30 1a 31 18 30 16 06 09 2a 86 48 86 f7 0d 01 09 02 16 09 41 53 41 2d 49 4b 45 56 32 CERT 下一個負載：CERT，保留：0x0，長度：436 證書編碼X.509證書-簽名 憑證資料(&C)； 431位元組 證書下一個負載：身份驗證，保留：0x0，長度：436 證書編碼X.509證書-簽名 憑證資料(&C)； 431位元組 AUTH下一個負載：EAP，保留：0x0，長度：136 身份驗證方法RSA，保留： 0x0，保留0x0 身份驗證資料(&C)；128位元組 EAP下一個負載：無，保留：0x0，長度：154 代碼：請求：id：1，長度：150 型別：未知- 254 EAP資料： 145位元組 IKEv2-PROTO-3：發射機[L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0：f0] m_id：0x1 IKEv2-PROTO-3：HDR[i：58AFF71141BA436B - r：FC696330E6B94D7F] IKEv2-PROTO-4：IKEV2 HDR ispi：58AFF71141BA436B -相對於FC696330E6B94D7F IKEv2-PROTO-4：下一個負載：ENCR，版本：2.0 IKEv2-PROTO-4：交換型別：IKE_AUTH，標誌：響應方MSG-RESPONSE IKEv2-PROTO-4：消息ID：0x1，長度：1292 ENCR下一個負載：VID，保留：0x0，長度：1264 加密資料(&C)；1260位元組 |
||
如果憑證很大或包含憑證鏈結，就可能會發生分段。發起方和響應方KE有效負載還可以包括大金鑰，這也可能導致分段。 |
IKEv2-PROTO-5：(6)：資料包分段，分段MTU：544，分段數量：3，分段ID：1 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001 |
||
**************************************** |
ASA傳送的證書將提供給使用者。憑證不受信任。EAP型別為EAP-ANYCONNECT。 | ||
使用者端會以回應來回應EAP要求。 EAP資料包包含：
ASA解密此響應，客戶端稱其已在上一個資料包（具有證書）中接收到AUTH負載，並從ASA接收了第一個EAP請求資料包。這是「init」EAP回應封包所包含的內容。 |
IKEv2-PLAT-4： RECV PKT [IKE_AUTH] [192.168.1.1]：25171->[10.0.0.1]：4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002 解密的封包：資料冒號(&C)；332位元組 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState： R_PROC_EAP_RESP事件： EV_PROC_MSG 從客戶端收到以下XML消息 IKEv2-PROTO-5：(6)：操作：Action_Null |
||
這是ASA向客戶端傳送的第二個請求。 EAP資料包包含：
加密裝載： 此負載被解密，其內容被解析為其他負載。 |
IKEv2-PROTO-2：(6)：正在傳送EAP請求 下面產生的XML訊息 |
**************************************** 日期：2013年4月23日 播放時長：16:25:04 型別：資訊 來源：acvpnui 描述：函式： SDIMgr：：ProcessPromptData 檔案： .\SDIMgr.cpp 行：281 身份驗證型別不是SDI。 **************************************** 日期：2013年4月23日 播放時長：16:25:07 型別：資訊 來源：acvpnui 描述：函式： ConnectMgr：：userResponse 檔案： .\ConnectMgr.cpp 行：985 正在處理使用者響應。 **************************************** |
客戶端請求使用者身份驗證並將其作為EAP響應傳送到下一個資料包(「auth-reply」)。 |
客戶端傳送另一條包含EAP負載的IKE_AUTH啟動器消息。 EAP資料包包含：
|
IKEv2-PLAT-4：RECV PKT [IKE_AUTH] [192.168.1.1]：25171->[10.0.0.1]：4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003 IKEv2-PROTO-3：Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0：f0] m_id：0x3 IKEv2-PROTO-3：HDR[i：58AFF71141BA436B - r：FC696330E6B94D7F] IKEv2-PROTO-4：IKEV2 HDR ispi：58AFF71141BA436B - rspi：FC696330E6B94D7F IKEv2-PROTO-4：下一個負載：ENCR，版本：2.0 IKEv2-PROTO-4：交換型別：IKE_AUTH，標誌：啟動器 IKEv2-PROTO-4：消息ID：0x3，長度：492 IKEv2-PROTO-5：(6)：請求具有mess_id 3；應為3到3 REAL Decrypted Packet：資料：424位元組 EAP下一個負載：無，保留：0x0，長度：424 代碼：響應：id：2，長度：420 型別：未知- 254 EAP資料： 415位元組 |
||
ASA處理此響應。使用者端要求使用者輸入認證。此EAP響應具有「config-auth」型別的「auth-reply」。 此封包包含使用者輸入的認證。 |
解密的資料包：資料：492位元組 從客戶端收到以下XML消息 |
||
ASA在交換中構建第三個EAP請求。 EAP資料包包含：
加密裝載： 此負載被解密，其內容被解析為其他負載。 |
IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState： R_BLD_EAP_REQ事件： EV_RECV_EAP_REQ 下面產生的XML訊息
IKEv2-PROTO-5：(6)：資料包分段，分段MTU：544，分段數量：9，分段ID：2 |
||
| **************************************** 日期：2013年4月23日 播放時長：16:25:07 型別：資訊 來源： acvpnagent 描述：當前配置檔案：Anyconnect-ikev2.xml 已接收VPN會話配置設定： 保持安裝：啟用 代理設定：不修改 代理伺服器：無 代理PAC URL：無 代理例外：無 代理鎖定：已啟用 Split Exclude：已停用本地LAN訪問首選項 分割包含：已停用 分割DNS：已停用 本地LAN萬用字元：本地LAN訪問首選項已停用 防火牆規則：無 客戶端地址：10.2.2.1 客戶端掩碼：255.0.0.0 客戶端IPv6地址：未知 客戶端IPv6掩碼：未知 MTU： 1406 IKE保持連線：20秒 IKE DPD：30秒 會話超時：0秒 中斷連線逾時：1800秒 空閒超時：1800秒 伺服器：不明 MUS主機：未知 DAP使用者消息：無 隔離狀態：已停用 永遠在VPN上：未停用 租用持續時間：0秒 預設網域：不明 首頁：不明 智慧卡移除中斷連線：啟用 許可證響應：未知 **************************************** |
ASA將「完成」消息中的VPN配置設定傳送到客戶端，並從VPN池將IP地址分配給客戶端。 | ||
客戶端傳送具有EAP負載的啟動器資料包。 EAP資料包包含：
|
IKEv2-PLAT-4： RECV PKT [IKE_AUTH] [192.168.1.1]：25171->[10.0.0.1]：4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000004 IKEv2-PROTO-3：Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0：f0] m_id：0x4 IKEv2-PROTO-3：HDR[i：58AFF71141BA436B - r：FC696330E6B94D7F] IKEv2-PROTO-4：IKEV2 HDR ispi：58AFF71141BA436B - rspi：FC696330E6B94D7F IKEv2-PROTO-4：下一個負載：ENCR，版本：2.0 IKEv2-PROTO-4：交換型別：IKE_AUTH，標誌：啟動器 IKEv2-PROTO-4：消息ID：0x4，長度：252 IKEv2-PROTO-5：(6)：請求具有mess_id 4；應為4到4 REAL Decrypted Packet：資料：177位元組 EAP下一個負載：無，保留：0x0，長度：177 代碼：響應：id：3，長度：173 型別：未知- 254 EAP資料： 168位元組 |
||
ASA處理此資料包。其 相關配置： tunnel-group ASA-IKEV2 EAP交換現在成功。 EAP資料包包含：
|
解密的資料包：資料：252位元組 從客戶端收到以下XML消息 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState： R_PROC_EAP_RESP事件： EV_START_TMR。 |
||
| 由於EAP交換成功，客戶端將傳送帶有AUTH負載的IKE_AUTH啟動器資料包。AUTH負載從共用金鑰生成。 | IKEv2-PLAT-4：RECV PKT [IKE_AUTH] [192.168.1.1]：25171->[10.0.0.1]：4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PROTO-3：Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0：f0] m_id：0x5 IKEv2-PROTO-3：HDR[i：58AFF71141BA436B - r：FC696330E6B94D7F] IKEv2-PROTO-4：IKEV2 HDR ispi：58AFF71141BA436B - rspi：FC696330E6B94D7F IKEv2-PROTO-4：下一個負載：ENCR，版本：2.0 IKEv2-PROTO-4：交換型別：IKE_AUTH，標誌：啟動器 IKEv2-PROTO-4：消息ID：0x5，長度：92 IKEv2-PROTO-5：(6)：請求具有mess_id 5；應為5到5 REAL Decrypted Packet：Data：28 bytes AUTH下一個負載：無，保留：0x0，長度：28 身份驗證方法PSK，保留： 0x0，保留0x0 身份驗證資料： 20位元組 |
||
當指定EAP驗證或 ASA處理此消息。 相關配置： crypto dynamic-map dynmap 1000 |
解密的資料包：資料：92位元組 IKEv2-PROTO-2：(6)：處理身份驗證消息 |
||
ASA使用SA、TSi和TSr負載構建IKE_AUTH響應消息。 IKE_AUTH響應方資料包包含：
加密裝載： 此負載被解密，其內容被解析為其他負載。 |
IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： R_BLD_AUTH事件： EV_MY_AUTH_METHOD IKEv2-PROTO-3：發射機[L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0：f0] m_id：0x5 |
||
| ASA發出此IKE_AUTH響應消息，該消息被分段為九個資料包。IKE_AUTH交換已完成。 | IKEv2-PROTO-5：(6)：資料包分段，分段MTU：544，分段數量：9，分段ID：3 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PLAT-4：傳送的PKT [IKE_AUTH] [10.0.0.1]：4500->[192.168.1.1]：25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000005 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： AUTH_DONE事件： EV_OK IKEv2-PROTO-5：(6)：操作：Action_Null IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： AUTH_DONE事件： EV_PKI_SESH_CLOSE |
||
| **************************************** 日期：2013年4月23日 播放時長：16:25:07 型別：資訊 來源： acvpnagent 描述：函式：ikev2_log 檔案： .\ikev2_anyconnect_osal.cpp 行：2730 已建立IPSec連線。 **************************************** 日期：2013年4月23日 播放時長：16:25:07 型別：資訊 來源： acvpnagent 描述： IPsec會話註冊： 加密：AES-CBC PRF： SHA1 HMAC： SHA96 本地身份驗證方法：PSK 遠端身份驗證方法：PSK 序列ID：0 金鑰大小：192 DH組：1 重新生成金鑰時間：4294967秒 本地地址：192.168.1.1 遠端地址：10.0.0.1 本地埠：4500 遠端連線埠：4500 會話ID：1 **************************************** 日期：2013年4月23日 播放時長：16:25:07 型別：資訊 來源：acvpnui 說明：在安全網關上配置的配置檔案為：Anyconnect-ikev2.xml **************************************** 日期：2013年4月23日 播放時長：16:25:07 型別：資訊 來源：acvpnui 描述：傳送給使用者的消息型別資訊： 正在建立VPN會話…… **************************************** |
客戶端報告IPSec連線已建立。客戶端還會檢測ASA上的使用者配置檔案。 | ||
| ----------------------------IKE_AUTH交換結束----------------------------------- | |||
**************************************** **************************************** |
XML設定檔會載入使用者端。由於客戶端現在具有來自ASA的IP地址，因此客戶端會繼續啟用VPN介面卡。 | ||
連線會輸入到安全性關聯(SA)資料庫中，狀態為「已註冊」。ASA還會執行一些檢查，例如通用訪問卡(CAC)統計資訊、是否存在重複的SA，以及設定失效對等體檢測(DPD)等值。 |
IKEv2-PROTO-5： (6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： AUTH_DONE事件： EV_INSERT_IKE IKEv2-PROTO-2：(6)：建立SA；將SA插入資料庫 IKEv2-PLAT-3： 連線狀態： UP...對等體： 192.168.1.1：25171， phase1_id： *$AnyConnectClient$* IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： AUTH_DONE事件： EV_REGISTER_SESSION IKEv2-PLAT-3：(6)使用者名稱設定為：Anu IKEv2-PLAT-3： 連線狀態：已註冊...對等體：192.168.1.1：25171，phase1_id： *$AnyConnectClient$* IKEv2-PROTO-3：(6)：正在初始化DPD，配置為10秒 IKEv2-PLAT-3：(6) mib_index設定為： 4501 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： AUTH_DONE事件： EV_GEN_LOAD_IPSEC IKEv2-PROTO-3：(6)：載入IPSEC金鑰材料 IKEv2-PLAT-3：加密對映：動態對映動態對映序列上的匹配1000 IKEv2-PLAT-3：(6) DPD最大時間將為：30 IKEv2-PLAT-3：(6) DPD最大時間將為：30 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： AUTH_DONE事件： EV_START_ACCT IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： AUTH_DONE事件： EV_CHECK_DUPE IKEv2-PROTO-3：(6)：檢查重複SA IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： AUTH_DONE事件： EV_CHK4_ROLE IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： READY事件： EV_R_UPDATE_CAC_STATS IKEv2-PLAT-5：已啟用新的ikev2 sa請求 IKEv2-PLAT-5：傳入協商的遞減計數 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： READY事件： EV_R_OK IKEv2-PROTO-3：(6)：正在啟動計時器以刪除協商上下文 IKEv2-PROTO-5：(6)： SM跟蹤-> SA： I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState： READY事件： EV_NO_EVENT IKEv2-PLAT-2：已接收SPI 0x77EE5348的PFKEY增加SA，錯誤為FALSE IKEv2-PLAT-2：已接收SPI 0x30B848A4的PFKEY更新SA，錯誤為FALSE |
||
| **************************************** 日期：2013年4月23日 播放時長：16:25:08 型別：資訊 來源： acvpnagent 說明：VPN連線已建立，現在可以傳遞資料。 **************************************** 日期：2013年4月23日 播放時長：16:25:08 型別：資訊 來源：acvpnui 描述：傳送給使用者的消息型別資訊： 正在建立VPN -正在配置系統…… **************************************** 日期：2013年4月23日 播放時長：16:25:08 型別：資訊 來源：acvpnui 描述：傳送給使用者的消息型別資訊： 正在建立VPN... **************************************** 日期：2013年4月23日 播放時長：16:25:37 型別：資訊 來源： acvpnagent 檔案： .\IPsecProtocol.cpp 行：945 已建立IPsec通道 **************************************** |
客戶端報告隧道已啟動並準備傳遞流量。 | ||
通道驗證
AnyConnect
show vpn-sessiondb detail anyconnect命令的示例輸出為：
Session Type: AnyConnect Detailed
Username : Anu Index : 2
Assigned IP : 10.2.2.1 Public IP : 192.168.1.1
Protocol : IKEv2 IPsecOverNatT AnyConnect-Parent
License : AnyConnect Premium
Encryption : AES192 AES256 Hashing : none SHA1 SHA1
Bytes Tx : 0 Bytes Rx : 11192
Pkts Tx : 0 Pkts Rx : 171
Pkts Tx Drop : 0 Pkts Rx Drop : 0
Group Policy : ASA-IKEV2 Tunnel Group : ASA-IKEV2
Login Time : 22:06:24 UTC Mon Apr 22 2013
Duration : 0h:02m:26s
Inactivity : 0h:00m:00s
NAC Result : Unknown
VLAN Mapping : N/A VLAN : none
IKEv2 Tunnels: 1
IPsecOverNatT Tunnels: 1
AnyConnect-Parent Tunnels: 1
AnyConnect-Parent:
Tunnel ID : 2.1
Public IP : 192.168.1.1
Encryption : none Auth Mode : userPassword
Idle Time Out: 30 Minutes Idle TO Left : 27 Minutes
Client Type : AnyConnect
Client Ver : 3.0.1047
IKEv2:
Tunnel ID : 2.2
UDP Src Port : 25171 UDP Dst Port : 4500
Rem Auth Mode: userPassword
Loc Auth Mode: rsaCertificate
Encryption : AES192 Hashing : SHA1
Rekey Int (T): 86400 Seconds Rekey Left(T): 86254 Seconds
PRF : SHA1 D/H Group : 1
Filter Name :
Client OS : Windows
IPsecOverNatT:
Tunnel ID : 2.3
Local Addr : 0.0.0.0/0.0.0.0/0/0
Remote Addr : 10.2.2.1/255.255.255.255/0/0
Encryption : AES256 Hashing : SHA1
Encapsulation: Tunnel
Rekey Int (T): 28800 Seconds Rekey Left(T): 28654 Seconds
Rekey Int (D): 4608000 K-Bytes Rekey Left(D): 4607990 K-Bytes
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Bytes Tx : 0 Bytes Rx : 11192
Pkts Tx : 0 Pkts Rx : 171
NAC:
Reval Int (T): 0 Seconds Reval Left(T): 0 Seconds
SQ Int (T) : 0 Seconds EoU Age(T) : 146 Seconds
Hold Left (T): 0 Seconds Posture Token:
Redirect URL :
ISAKMP
show crypto ikev2 sa命令的示例輸出為：
ASA-IKEV2# show crypto ikev2 sa
IKEv2 SAs:
Session-id:2, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote Status Role
55182129 10.0.0.1/4500 192.168.1.1/25171 READY RESPONDER
Encr: AES-CBC, keysize: 192, Hash: SHA96, DH Grp:1, Auth sign: RSA, Auth verify: EAP
Life/Active Time: 86400/112 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 10.2.2.1/0 - 10.2.2.1/65535
ESP spi in/out: 0x30b848a4/0x77ee5348
show crypto ikev2 sa detail命令的示例輸出為：
ASA-IKEV2# show crypto ikev2 sa detail
IKEv2 SAs:
Session-id:2, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id Local Remote Status Role
55182129 10.0.0.1/4500 192.168.1.1/25171 READY RESPONDER
Encr: AES-CBC, keysize: 192, Hash: SHA96, DH Grp:1, Auth sign: RSA, Auth verify: EAP
Life/Active Time: 86400/98 sec
Session-id: 2
Status Description: Negotiation done
Local spi: FC696330E6B94D7F Remote spi: 58AFF71141BA436B
Local id: hostname=ASA-IKEV2
Remote id: *$AnyConnectClient$*
Local req mess id: 0 Remote req mess id: 9
Local next mess id: 0 Remote next mess id: 9
Local req queued: 0 Remote req queued: 9 Local window: 1 Remote window: 1
DPD configured for 10 seconds, retry 2
NAT-T is detected outside
Assigned host addr: 10.2.2.1
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 10.2.2.1/0 - 10.2.2.1/65535
ESP spi in/out: 0x30b848a4/0x77ee5348
AH spi in/out: 0x0/0x0
CPI in/out: 0x0/0x0
Encr: AES-CBC, keysize: 256, esp_hmac: SHA96
ah_hmac: None, comp: IPCOMP_NONE, mode tunnel
IPSec
show crypto ipsec sa命令的示例輸出為：
ASA-IKEV2# show crypto ipsec sa
interface: outside
Crypto map tag: dynmap, seq num: 1000, local addr: 10.0.0.1
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.2.2.1/255.255.255.255/0/0)
current_peer: 192.168.1.1, username: Anu
dynamic allocated peer ip: 10.2.2.1
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 163, #pkts decrypt: 108, #pkts verify: 108
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#send errors: 0, #recv errors: 55
local crypto endpt.: 10.0.0.1/4500, remote crypto endpt.: 192.168.1.1/25171
path mtu 1488, ipsec overhead 82, media mtu 1500
current outbound spi: 77EE5348
current inbound spi : 30B848A4
inbound esp sas:
spi: 0x30B848A4 (817383588)
transform: esp-aes-256 esp-sha-hmac no compression
in use settings ={RA, Tunnel, NAT-T-Encaps, }
slot: 0, conn_id: 8192, crypto-map: dynmap
sa timing: remaining key lifetime (sec): 28685
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0xFFAD6BED 0x7ABFD5BF
outbound esp sas:
spi: 0x77EE5348 (2012107592)
transform: esp-aes-256 esp-sha-hmac no compression
in use settings ={RA, Tunnel, NAT-T-Encaps, }
slot: 0, conn_id: 8192, crypto-map: dynmap
sa timing: remaining key lifetime (sec): 28685
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001
相關資訊
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
04-May-2013 |
初始版本 |
意見