拓扑结构:

从帖子中使用IOU Rack v3

我的Cisco IOU机架–从f​​lyxj IOUv3

看起来像下面的截图:

目标是使用第三方受信任的PKI证书– verisign来实现ipsec。本实验将使用verisign试用版 演示程序。

使R6和R7作为PC进行测试。逻辑拓扑如下所示:

1.删​​除所有现有配置,然后重新加载这四个路由器:

R2#删除nvram:startup-config
删除文件名[startup-config]?
删除nvram:startup-config吗? [确认]
[好]
R2#重新加载

2.使用预共享密钥组成VPN:

@R1
crypto isakmp策略10
 验证预共享
 group 2
加密isakmp密钥cisco1234地址10.9.200.47
!
加密ipsec转换集VPN1 ah-sha-hmac esp-3des esp-sha-hmac 
!
加密映射VPN-MAP 10 ipsec-isakmp 
 set peer 10.9.200.47
 设置转换集VPN1 
 匹配地址ACL-VPN
!
接口Ethernet0 / 0
 ip address 10.9.200.37255.255.255.0
 crypto map 虚拟专用网-MAP

ip路由0.0.0.0 0.0.0.0 10.9.200.37
ip访问列表扩展ACL-VPN
 允许IP 192.168.177.0 0.0.0.255 192.168.99.0 0.0.0.255

@R2:
crypto isakmp策略10
 验证预共享
 group 2
加密isakmp密钥cisco1234地址10.9.200.37
!
加密ipsec转换集VPN1 ah-sha-hmac esp-3des esp-sha-hmac 
!
加密映射VPN-MAP 10 ipsec-isakmp 
 set peer 10.9.200.37
 设置转换集VPN1 
 匹配地址ACL-VPN
!
接口Ethernet0 / 0
 ip address 10.9.200.47255.255.255.0
 crypto map 虚拟专用网-MAP
ip路由0.0.0.0 0.0.0.0 10.9.200.37
!
ip访问列表扩展ACL-VPN
 允许IP 192.168.99.0 0.0.0.255 192.168.177.0 0.0.0.255

通过ping测试结果 R6的R7的IP 192.168.99.1
R6#ping 192.168.99.1 
键入转义序列以中止。
向192.168.99.1发送5个100字节的ICMP Echo,超时为2秒:
。!!!!
成功率为80%(4/5),最小/平均/最大往返次数= 4/8/12毫秒

调试加密Isakmp输出@ R1:

R1(配置)#
* 3月11日02:14:55.159:ISAKMP:(0):SA请求配置文件为(NULL)
* 3月11日02:14:55.159:ISAKMP:为10.9.200.47(对等端口500)创建了对等结构
* 3月11日02:14:55.159:ISAKMP:创建的新对等方= 0xB6803C58 peer_handle = 0x80000002
* 3月11日02:14:55.159:ISAKMP:锁定对等结构体0xB6803C58,isakmp_initiator的引用计数1
* 3月11日02:14:55.159:ISAKMP:本地端口500,远程端口500
* 3月11日02:14:55.159:ISAKMP:将新节点0设置为QM_IDLE     
* 3月11日02:14:55.159:ISAKMP:(0):成功插入sa = B6803240
* 3月11日02:14:55.159:ISAKMP:(0):无法启动积极模式,尝试进入主模式。
* 3月11日02:14:55.159:ISAKMP:(0):找到与10.9.200.47匹配的对等预共享密钥
* 3月11日02:14:55.159:ISAKMP:(0):构造的NAT-T供应商-rfc3947 ID
* 3月11日02:14:55.159:ISAKMP:(0):构造的NAT-T供应商-07 ID
* 3月11日02:14:55.159:ISAKMP:(0):构造的NAT-T供应商-03 ID
* 3月11日02:14:55.159:ISAKMP:(0):构造的NAT-T供应商-02 ID
* 3月11日02:14:55.159:ISAKMP:(0):输入= IKE_MESG_FROM_IPSEC,IKE_SA_REQ_MM
* 3月11日02:14:55.159:ISAKMP:(0):旧状态= IKE_READY New State = IKE_I_MM1 

* 3月11日02:14:55.159:ISAKMP:(0):开始主模式交换
* 3月11日02:14:55.159:ISAKMP:(0):将数据包发送到10.9.200.47 my_port 500 peer_port 500(I)MM_NO_STATE
* 3月11日02:14:55.159:ISAKMP:(0):发送IKE IPv4数据包。
* 3月11日02:14:55.163:ISAKMP(0):从10.9.200.47 dport 500 sport 500 Global(I)收到的数据包MM_NO_STATE
* 3月11日02:14:55.163:ISAKMP:(0):输入= IKE_MESG_FROM_PEER,IKE_MM_EXCH
* 3月11日02:14:55.163:ISAKMP:(0):旧状态= IKE_I_MM1 New State = IKE_I_MM2 

* 3月11日02:14:55.183:ISAKMP:(0):处理SA有效负载。消息ID = 0
* 3月11日02:14:55.183:ISAKMP:(0):处理供应商ID有效负载
* 3月11日02:14:55.183:ISAKMP:(0):供应商ID似乎是Unity / DPD,但主要69不匹配
* 3月11日02:14:55.183:ISAKMP(0):供应商ID为NAT-T RFC 3947
* 3月11日02:14:55.183:ISAKMP:(0):找到与10.9.200.47匹配的对等预共享密钥
* 3月11日02:14:55.183:ISAKMP:(0):找到本地预共享密钥
* 3月11日02:14:55.183:ISAKMP:正在扫描配置文件中的xauth…
* 3月11日02:14:55.183:ISAKMP:(0):根据优先级10策略检查ISAKMP转换1
* 3月11日02:14:55.183:ISAKMP:     encryption DES-CBC
* 3月11日02:14:55.183:ISAKMP:     hash SHA
* 3月11日02:14:55.183:ISAKMP:     default 2组
* 3月11日02:14:55.183:ISAKMP:     auth pre-share
* 3月11日02:14:55.183:ISAKMP:     life type in seconds
* 3月11日02:14:55.183:ISAKMP:     的寿命(VPI)为 0x0 0x1 0x51 0x80 
* 3月11日02:14:55.183:可以接受ISAKMP:(0):atts。下一个有效载荷为0
* 3月11日02:14:55.183:ISAKMP:(0):可接受的攻击次数:实际寿命:0
* 3月11日02:14:55.183:ISAKMP:(0):可接受的攻击次数:寿命:0
* 3月11日02:14:55.183:ISAKMP:(0):以sa vpi_length:4填充
* 3月11日02:14:55.183:ISAKMP:(0):以秒为单位填充注数:86400
* 3月11日02:14:55.183:ISAKMP:(0):返回实际寿命:86400
* 3月11日02:14:55.183:ISAKMP:(0)::启动寿命计时器:86400。

* 3月11日02:14:55.183:ISAKMP:(0):处理供应商ID有效负载
* 3月11日02:14:55.183:ISAKMP:(0):供应商ID似乎是Unity / DPD,但主要69不匹配
* 3月11日02:14:55.183:ISAKMP(0):供应商ID为NAT-T RFC 3947
* 3月11日02:14:55.183:ISAKMP:(0):输入= IKE_MESG_INTERNAL,IKE_PROCESS_MAIN_MODE
* 3月11日02:14:55.183:ISAKMP:(0):旧状态= IKE_I_MM2 新状态= IKE_I_MM2 

* 3月11日02:14:55.183:ISAKMP:(0):将数据包发送到10.9.200.47 my_port 500 peer_port 500(I)MM_SA_SETUP
* 3月11日02:14:55.183:ISAKMP:(0):发送IKE IPv4数据包。
* 3月11日02:14:55.183:ISAKMP:(0):输入= IKE_MESG_INTERNAL,IKE_PROCESS_COMPLETE
* 3月11日02:14:55.183:ISAKMP:(0):旧状态= IKE_I_MM2 New State = IKE_I_MM3 

* 3月11日02:14:55.191:ISAKMP(0):从10.9.200.47 dport 500 sport 500 Global(I)收到的数据包MM_SA_SETUP
* 3月11日02:14:55.191:ISAKMP:(0):输入= IKE_MESG_FROM_PEER,IKE_MM_EXCH
* 3月11日02:14:55.191:ISAKMP:(0):旧状态= IKE_I_MM3 New State = IKE_I_MM4 

* 3月11日02:14:55.191:ISAKMP:(0):处理KE有效负载。消息ID = 0
* 3月11日02:14:55.195:ISAKMP:(0):处理NONCE有效负载。消息ID = 0
* 3月11日02:14:55.195:ISAKMP:(0):找到与10.9.200.47匹配的对等预共享密钥
* 3月11日02:14:55.195:ISAKMP:(1001):处理供应商ID有效负载
* 3月11日02:14:55.195:ISAKMP:(1001):供应商ID为Unity
* 3月11日02:14:55.195:ISAKMP:(1001):处理供应商ID有效负载
* 3月11日02:14:55.195:ISAKMP:(1001):供应商ID为DPD
* 3月11日02:14:55.195:ISAKMP:(1001):处理供应商ID有效负载
* 3月11日02:14:55.195:ISAKMP:(1001):与另一个IOS盒子通话!
* 3月11日02:14:55.195:ISAKMP:收到的有效载荷类型为20
* 3月11日02:14:55.195:ISAKMP(1001):他的哈希不匹配-该节点位于NAT之外
* 3月11日02:14:55.195:ISAKMP:收到的有效载荷类型为20
* 3月11日02:14:55.195:ISAKMP(1001):未为自身或对等方找到NAT
* 3月11日02:14:55.195:ISAKMP:(1001):输入= IKE_MESG_INTERNAL,IKE_PROCESS_MAIN_MODE
* 3月11日02:14:55.195:ISAKMP:(1001):旧状态= IKE_I_MM4 新状态= IKE_I_MM4 

* 3月11日02:14:55.199:ISAKMP:(1001):发送初始联系人
* 3月11日02:14:55.199:ISAKMP:(1001):SA正在使用ID类型ID_IPV4_ADDR执行预共享密钥身份验证
* 3月11日02:14:55.199:ISAKMP(1001):ID有效载荷 
        next-payload : 8
        type         : 1 
        address      : 10.9.200.37 
        protocol     : 17 
        port         : 500 
        length       : 12
* 3月11日02:14:55.199:ISAKMP:(1001):总有效载荷长度:12
* 3月11日02:14:55.199:ISAKMP:(1001):将数据包发送到10.9.200.47 my_port 500 peer_port 500(I)MM_KEY_EXCH
* 3月11日02:14:55.199:ISAKMP:(1001):发送IKE IPv4数据包。
* 3月11日02:14:55.199:ISAKMP:(1001):输入= IKE_MESG_INTERNAL,IKE_PROCESS_COMPLETE
* 3月11日02:14:55.199:ISAKMP:(1001):旧状态= IKE_I_MM4 New State = IKE_I_MM5 

* 3月11日02:14:55.199:ISAKMP(1001):从10.9.200.47 dport 500 sport 500 Global(I)收到的数据包MM_KEY_EXCH
* 3月11日02:14:55.199:ISAKMP:(1001):正在处理ID有效负载。消息ID = 0
* 3月11日02:14:55.199:ISAKMP(1001):ID有效载荷 
        next-payload : 8
        type         : 1 
        address      : 10.9.200.47 
        protocol     : 17 
        port         : 500 
        length       : 12
* 3月11日02:14:55.199:ISAKMP:(0)::对等项匹配*无*配置文件
* 3月11日02:14:55.199:ISAKMP:(1001):正在处理HASH有效负载。消息ID = 0
* 3月11日02:14:55.199:ISAKMP:(1001):SA身份验证状态:
        authenticated
* 3月11日02:14:55.199:ISAKMP:(1001):SA已通过10.9.200.47认证
* 3月11日02:14:55.199:ISAKMP:尝试插入对等10.9.200.37/10.9.200.47/500/, 并成功插入B6803C58。
* 3月11日02:14:55.199:ISAKMP:(1001):输入= IKE_MESG_FROM_PEER,IKE_MM_EXCH
* 3月11日02:14:55.199:ISAKMP:(1001):旧状态= IKE_I_MM5 New State = IKE_I_MM6 

* 3月11日02:14:55.199:ISAKMP:(1001):输入= IKE_MESG_INTERNAL,IKE_PROCESS_MAIN_MODE
* 3月11日02:14:55.199:ISAKMP:(1001):旧状态= IKE_I_MM6 新状态= IKE_I_MM6 

* 3月11日02:14:55.203:ISAKMP:(1001):输入= IKE_MESG_INTERNAL,IKE_PROCESS_COMPLETE
* 3月11日02:14:55.203:ISAKMP:(1001):旧状态= IKE_I_MM6 New State = IKE_P1_COMPLETE 

* 3月11日02:14:55.203:ISAKMP:(1001):开始快速模式交换,M-ID为1780039293
* 3月11日02:14:55.203:ISAKMP:(1001):QM发起方获取SPI
* 3月11日02:14:55.203:ISAKMP:(1001):将数据包发送到10.9.200.47 my_port 500 peer_port 500(I)QM_IDLE     
* 3月11日02:14:55.203:ISAKMP:(1001):发送IKE IPv4数据包。
* 3月11日02:14:55.203:ISAKMP:(1001):节点1780039293,输入= IKE_MESG_INTERNAL,IKE_INIT_QM
* 3月11日02:14:55.203:ISAKMP:(1001):旧状态= IKE_QM_READY 新状态= IKE_QM_I_QM1
* 3月11日02:14:55.203:ISAKMP:(1001):输入= IKE_MESG_INTERNAL,IKE_PHASE1_COMPLETE
* 3月11日02:14:55.203:ISAKMP:(1001):旧状态= IKE_P1_COMPLETE 新状态= IKE_P1_COMPLETE 

* 3月11日02:14:55.207:ISAKMP(1001):从10.9.200.47 dport 500 sport 500 Global(I)QM_IDLE接收到数据包     
* 3月11日02:14:55.207:ISAKMP:(1001):正在处理HASH有效负载。讯息编号= 1780039293
* 3月11日02:14:55.207:ISAKMP:(1001):处理SA有效负载。讯息编号= 1780039293
* 3月11日02:14:55.207:ISAKMP:(1001):Checking IPSec proposal 1
* 3月11日02:14:55.207:ISAKMP: transform 1, AH_SHA
* 3月11日02:14:55.207:ISAKMP:  转换中的属性:
* 3月11日02:14:55.207:ISAKMP:      encaps is 1 (Tunnel)
* 3月11日02:14:55.207:ISAKMP:      SA生活类型(以秒为单位)
* 3月11日02:14:55.207:ISAKMP:      SA寿命(基本)为3600
* 3月11日02:14:55.207:ISAKMP:      SA生活类型(以千字节为单位)
* 3月11日02:14:55.207:ISAKMP:      SA的持续时间(VPI)为 0x0 0x46 0x50 0x0 
* 3月11日02:14:55.207:ISAKMP:      验证者是HMAC-SHA
* 3月11日02:14:55.207:ISAKMP:(1001):atts are acceptable.
* 3月11日02:14:55.207:ISAKMP:(1001):Checking IPSec proposal 1
* 3月11日02:14:55.207:ISAKMP: transform 1, ESP_3DES
* 3月11日02:14:55.207:ISAKMP:  转换中的属性:
* 3月11日02:14:55.207:ISAKMP:      encaps is 1 (Tunnel)
* 3月11日02:14:55.207:ISAKMP:      SA生活类型(以秒为单位)
* 3月11日02:14:55.207:ISAKMP:      SA寿命(基本)为3600
* 3月11日02:14:55.207:ISAKMP:      SA生活类型(以千字节为单位)
* 3月11日02:14:55.207:ISAKMP:      SA的持续时间(VPI)为 0x0 0x46 0x50 0x0 
* 3月11日02:14:55.207:ISAKMP:      验证者是HMAC-SHA
* 3月11日02:14:55.207:ISAKMP:(1001):atts are acceptable.
* 3月11日02:14:55.207:ISAKMP:(1001):正在处理NONCE有效负载。讯息编号= 1780039293
* 3月11日02:14:55.207:ISAKMP:(1001):正在处理ID有效负载。讯息编号= 1780039293
* 3月11日02:14:55.207:ISAKMP:(1001):正在处理ID有效负载。讯息编号= 1780039293
* 3月11日02:14:55.207:ISAKMP:(1001): Creating IPSec SAs
* 3月11日02:14:55.207:       入站SA从10.9.200.47到10.9.200.37(f / i) 0/ 0
       (将192.168.99.0代理为192.168.177.0)
* 3月11日02:14:55.207:       具有spi 0xA14845AE和conn_id 0
* 3月11日02:14:55.207:       寿命3600秒
* 3月11日02:14:55.207:       使用寿命4608000千字节
* 3月11日02:14:55.207:       出站SA从10.9.200.37到10.9.200.47(f / i)0/0
       (将192.168.177.0代理为192.168.99.0)
* 3月11日02:14:55.207:        has spi  0x85C87ECF和conn_id 0
* 3月11日02:14:55.207:       寿命3600秒
* 3月11日02:14:55.207:       使用寿命4608000千字节
* 3月11日02:14:55.207:ISAKMP:(1001): Creating IPSec SAs
* 3月11日02:14:55.207:       入站SA从10.9.200.47到10.9.200.37(f / i) 0/ 0
       (将192.168.99.0代理为192.168.177.0)
* 3月11日02:14:55.207:       具有spi 0x87C3AC12和conn_id 0
* 3月11日02:14:55.207:       寿命3600秒
* 3月11日02:14:55.207:       使用寿命4608000千字节
* 3月11日02:14:55.207:       出站SA从10.9.200.37到10.9.200.47(f / i)0/0
       (将192.168.177.0代理为192.168.99.0)
* 3月11日02:14:55.207:        has spi  0xFD71F9A9和conn_id 0
* 3月11日02:14:55.207:       寿命3600秒
* 3月11日02:14:55.207:       使用寿命4608000千字节
* 3月11日02:14:55.207:ISAKMP:(1001):将数据包发送到10.9.200.47 my_port 500 peer_port 500(I)QM_IDLE     
* 3月11日02:14:55.207:ISAKMP:(1001):Sending an IKE IPv4 Packet.
* 3月11日02:14:55.207:ISAKMP:(1001):正在删除节点1780039293错误FALSE原因“无错误”
* 3月11日02:14:55.207:ISAKMP:(1001):节点1780039293,输入= IKE_MESG_FROM_PEER,IKE_QM_EXCH
R1(配置)#
* 3月11日02:14:55.207:ISAKMP:(1001):旧状态= IKE_QM_I_QM1 新状态= IKE_QM_PHASE2_COMPLETE

3.下一步是根据我之前的文章中的步骤从Verisign试用网站安装认证:

@ R1和@ R2

crypto isakmp策略5
 group 2

4.最后一步是进行测试:

清除加密sa

16th-Markham#show crypto isakmp sa 
IPv4加密ISAKMP SA
dst            src             state          conn-id status
10.9.200.37     10.9.200.47      QM_IDLE           9031 ACTIVE


16th-Markham#show crypto isakmp sa detail
代码:C – IKE配置模式,D –失效对等检测
       K – Keepalive,N –遍历NAT
       T – cTCP封装,X – IKE扩展身份验证
       psk –预共享密钥,rsig – RSA签名
       renc – RSA加密
IPv4加密ISAKMP SA

编号 Local           Remote          I-VRF  Status Encr Hash  Auth DH生命周期上限。

10.9.200.37     10.9.200.47             ACTIVE des  sha    rsig 2  23:56:03     
       Engine-id:Conn-id =  SW:31

5.注意事项:

一种。我们应该注意,ISAKMP第一阶段政策是全局定义的。这意味着,如果我们有五个不同的远程站点并配置了五个不同的ISAKMP第一阶段策略(每个远程路由器一个),则当我们的路由器尝试与每个站点协商VPN隧道时,它将发送所有五个策略并使用第一个匹配项被两端接受。

b。如果您的路由器没有Internet访问权限以获取CRL列表,则必须将以下命令放入信任点:
吊销检查无

C。调试命令

  • 显示加密会话
  • 清除加密sa
  • 显示加密的PKI证书

通过 约翰

发表评论