IPsec-Fehlerbehebung: Verwenden von Debugbefehlen
Inhalt
Einführung
Voraussetzungen Anforderungen
Verwendete Komponenten Konventionen
Cisco IOS Software-Debugger show crypto isakmp sa
show crypto ipsec sa
show crypto engine connection active debuggen crypto isakmp
debuggen crypto ipsec Beispielfehlermeldungen
Wiederholungsprüfung fehlgeschlagen QM-FSM-Fehler
Ungültige lokale Adresse
IKE-Nachricht von X.X.X.X hat die Integritätsprüfung nicht bestanden oder ist fehlerhaft Verarbeitung des Hauptmodus fehlgeschlagen mit Peer
Proxy-Identitäten nicht unterstützt Angebot umwandeln nicht unterstützt
Keine Zertifizierung und keine Schlüssel mit Remote-Peer Peer-Adresse X.X.X.X wurde nicht gefunden.
IPsec-Paket hat ungültiges SPI
IPSEC(initialize_sas): Ungültige Proxy-IDs Nicht Null für Payload 5 reserviert
Der angebotene Hash-Algorithmus stimmt nicht mit der Richtlinie überein.
HMAC-Verifizierung fehlgeschlagen Remote-Peer reagiert nicht
Alle IPSec SA-Angebote wurden als nicht akzeptabel eingestuft.
Paketverschlüsselungs-/Entschlüsselungsfehler
Pakete erhalten Fehler aufgrund eines ESP-Sequenzfehlers.
Fehler beim Herstellen des VPN-Tunnels auf dem Router der Serie 7600 PIX-Debugger
show crypto isakmp sa show crypto ipsec sa debuggen crypto isakmp debuggen crypto ipsec
Häufige Probleme beim Router-to-VPN-Client
Zugriff auf Subnetze außerhalb des VPN-Tunnels nicht möglich: Split Tunneling Häufige Probleme mit dem PIX-zu-VPN-Client
Der Datenverkehr fließt nicht, nachdem der Tunnel eingerichtet wurde: Ping im Netzwerk hinter PIX nicht möglich
Nach dem Tunnel kann der Benutzer nicht mehr im Internet surfen: Split Tunneling
Nach dem Tunnel funktionieren bestimmte Anwendungen nicht mehr: MTU-Anpassung auf Client Sysopt-Befehl verpasst
Überprüfen von Zugriffskontrolllisten (ACLs) Zugehörige Informationen
Einführung
In diesem Dokument werden allgemeine Debug-Befehle beschrieben, die zur Behebung von IPsec-Problemen in Cisco IOS verwendet werden? Software und PIX/ASA. In diesem Dokument wird davon ausgegangen, dass Sie IPsec konfiguriert haben. Weitere Informationen finden Sie unter Häufige IPsec-Fehlermeldungen und häufige IPsec-Probleme.
Informationen zu den häufigsten Lösungen für IPsec-VPN-Probleme finden Sie unter Häufigste L2L- und Remote Access IPsec-VPN-Problemlösungslösungen. Sie enthält eine Checkliste gängiger Verfahren, die Sie möglicherweise ausprobieren, bevor Sie mit der Fehlerbehebung für eine Verbindung beginnen und den technischen Support von Cisco anrufen.
Voraussetzungen
Anforderungen
Für dieses Dokument bestehen keine speziellen Anforderungen.
Verwendete Komponenten
Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:
Cisco IOS-SoftwareIPsec-Feature-Set.56i: Zeigt die Funktion des einzelnen
Datenverschlüsselungsstandards (DES) (ab Cisco IOS Software Release 11.2) an.k2: gibt die Triple DES-Funktion an (ab Cisco IOS Software Release 12.0). Triple DES ist ab der Cisco Serie 2600 erhältlich.
●
PIX - V5.0 und höher, für die Aktivierung eines DES-Lizenzschlüssels erforderlich ist (ein oder drei DES-Lizenzschlüssel).
●
Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten
Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.
Konventionen
Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).
Cisco IOS Software-Debugger
In den Themen in diesem Abschnitt werden die Debugbefehle für die Cisco IOS-Software
beschrieben. Weitere Informationen finden Sie unter Häufige IPsec-Fehlermeldungen und häufige IPsec-Probleme.
show crypto isakmp sa
Dieser Befehl zeigt die Sicherheitszuordnungen (Security Association Management Protocol, ISAKMP) zwischen Peers.
dst src state conn-id slot 12.1.1.2 12.1.1.1 QM_IDLE 1 0
show crypto ipsec sa
Dieser Befehl zeigt die zwischen Peers erstellten IPsec-SAs. Der verschlüsselte Tunnel wird zwischen 12.1.1.1 und 12.1.1.2 für Datenverkehr zwischen den Netzwerken 20.1.1.0 und 10.1.1.0 erstellt. Sie sehen die beiden integrierten ESP-SAs (Encapsulating Security Payload) für ein- und ausgehende Anrufe. Der Authentifizierungs-Header (AH) wird nicht verwendet, da keine AH-SAs vorhanden sind.
Diese Ausgabe zeigt ein Beispiel für den Befehl show crypto ipsec sa.
interface: FastEthernet0
Crypto map tag: test, local addr. 12.1.1.1
local ident (addr/mask/prot/port): (20.1.1.0/255.255.255.0/0/0) remote ident (addr/mask/prot/port): (10.1.1.0/255.255.255.0/0/0) current_peer: 12.1.1.2
PERMIT, flags={origin_is_acl,}
#pkts encaps: 7767918, #pkts encrypt: 7767918, #pkts digest 7767918 #pkts decaps: 7760382, #pkts decrypt: 7760382, #pkts verify 7760382 #pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0,
#pkts decompress failed: 0, #send errors 1, #recv errors 0 local crypto endpt.: 12.1.1.1, remote crypto endpt.: 12.1.1.2 path mtu 1500, media mtu 1500
current outbound spi: 3D3 inbound esp sas:
spi: 0x136A010F(325714191)
transform: esp-3des esp-md5-hmac , in use settings ={Tunnel, }
slot: 0, conn id: 3442, flow_id: 1443, crypto map: test sa timing: remaining key lifetime (k/sec): (4608000/52) IV size: 8 bytes
replay detection support: Y inbound ah sas:
inbound pcp sas:
inbound pcp sas:
outbound esp sas:
spi: 0x3D3(979)
transform: esp-3des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 3443, flow_id: 1444, crypto map: test sa timing: remaining key lifetime (k/sec): (4608000/52) IV size: 8 bytes
replay detection support: Y outbound ah sas:
outbound pcp sas:
show crypto engine connection active
Dieser Befehl zeigt jede erstellte Phase-2-SA sowie die Menge des gesendeten Datenverkehrs an. Da die SAs der Phase 2 (Sicherheitszuordnungen) unidirektional sind, zeigt jeder SA den Datenverkehr in nur eine Richtung an (Verschlüsselungen werden ausgehend und
Entschlüsselungen eingehend).
debuggen crypto isakmp
Diese Ausgabe zeigt ein Beispiel für den Befehl debug crypto isakmp.
processing SA payload. message ID = 0
Checking ISAKMP transform against priority 1 policy encryption DES-CBC
hash SHA default group 2 auth pre-share life type in seconds
life duration (basic) of 240
atts are acceptable. Next payload is 0 processing KE payload. message ID = 0 processing NONCE payload. message ID = 0 processing ID payload. message ID = 0 SKEYID state generated
processing HASH payload. message ID = 0 SA has been authenticated
processing SA payload. message ID = 800032287
debuggen crypto ipsec
Dieser Befehl zeigt die Quelle und das Ziel von IPsec-Tunnelendpunkten an. Src_proxy und dest_proxy sind die Client-Subnetze. Es werden zwei "als erstellt" Nachrichten mit einer in jede Richtung angezeigt. (Wenn Sie ESP und AH ausführen, werden vier Meldungen angezeigt.) Diese Ausgabe zeigt ein Beispiel für den Befehl debug crypto ipsec.
Checking IPSec proposal 1transform 1, ESP_DES attributes in transform:
encaps is 1
SA life type in seconds
SA life duration (basic) of 3600 SA life type in kilobytes
SA life duration (VPI) of 0x0 0x46 0x50 0x0 HMAC algorithm is SHA
atts are acceptable.
Invalid attribute combinations between peers will show up as "atts not acceptable".
IPSEC(validate_proposal_request): proposal part #2, (key eng. msg.) dest= 12.1.1.2, SRC= 12.1.1.1,
dest_proxy= 10.1.1.0/0.0.0.0/0/0, src_proxy= 20.1.1.0/0.0.0.16/0/0,
protocol= ESP, transform= esp-des esp-sha-hmac lifedur= 0s and 0kb,
spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4 IPSEC(key_engine): got a queue event...
IPSEC(spi_response): getting spi 203563166 for SA from 12.1.1.2 to 12.1.1.1 for prot 2
IPSEC(spi_response): getting spi 194838793 for SA from 12.1.1.2 to 12.1.1.1 for prot 3
IPSEC(key_engine): got a queue event...
IPSEC(initialize_sas): ,
(key eng. msg.) dest= 12.1.1.2, SRC= 12.1.1.1, dest_proxy= 10.1.1.0/255.255.255.0/0/0, src_proxy= 20.1.1.0/255.255.255.0/0/0,
protocol= ESP, transform= esp-des esp-sha-hmac lifedur= 3600s and 4608000kb,
spi= 0xC22209E(203563166), conn_id= 3, keysize=0, flags= 0x4
IPSEC(initialize_sas): ,
(key eng. msg.) SRC= 12.1.1.2, dest= 12.1.1.1, src_proxy= 10.1.1.0/255.255.255.0/0/0, dest_proxy= 20.1.1.0/255.255.255.0/0/0,
protocol= ESP, transform= esp-des esp-sha-hmac lifedur= 3600s and 4608000kb,
spi= 0xDED0AB4(233638580), conn_id= 6, keysize= 0, flags= 0x4
IPSEC(create_sa): sa created,
(sa) sa_dest= 12.1.1.2, sa_prot= 50, sa_spi= 0xB9D0109(194838793),
sa_trans= esp-des esp-sha-hmac , sa_conn_id= 5 IPSEC(create_sa): sa created,
(sa) sa_dest= 12.1.1.2, sa_prot= 50, sa_spi= 0xDED0AB4(233638580),
sa_trans= esp-des esp-sha-hmac , sa_conn_id= 6
Beispielfehlermeldungen
Diese Beispielfehlermeldungen wurden aus den hier aufgeführten Debugbefehlen generiert:
debuggen crypto ipsec
●
debuggen crypto isakmp
●
Debug-Verschlüsselungs-Engine
●
Wiederholungsprüfung fehlgeschlagen
Diese Ausgabe zeigt ein Beispiel für den Fehler "Wiederholungsprüfung fehlgeschlagen":
%CRYPTO-4-PKT_REPLAY_ERR: decrypt: replay check failed connection id=#.
Dieser Fehler resultiert aus der Neuordnung im Übertragungsmedium (insbesondere wenn
parallele Pfade vorhanden sind) oder aus ungleichen Pfaden der Paketverarbeitung innerhalb von Cisco IOS für große und kleine Pakete plus unter Last. Ändern Sie den Transformationssatz entsprechend. Die Antwortprüfung wird nur angezeigt, wenn der Transformationssatz esp-md5-hmac
aktiviert ist. Um diese Fehlermeldung zu überschreiben, deaktivieren Sie esp-md5-hmac und führen Sie die Verschlüsselung nur durch. Weitere Informationen finden Sie unter Cisco Bug ID
CSCdp19680 (nur registrierte Kunden).
Informationen zum Konfigurieren des IPsec Anti-Replay-Fensters finden Sie unter Konfigurieren des IPsec Anti-Replay-Fensters: Erweitern und Deaktivieren.
QM-FSM-Fehler
Der IPsec L2L VPN-Tunnel wird auf der PIX-Firewall oder der ASA nicht angezeigt, und die QM- FSM-Fehlermeldung wird angezeigt.
Ein möglicher Grund ist, dass die Proxy-Identitäten, wie z. B. interessanter Datenverkehr,
Zugriffskontrollliste (ACL) oder Krypto-ACL, an beiden Enden nicht übereinstimmen. Überprüfen Sie die Konfiguration auf beiden Geräten, und stellen Sie sicher, dass die Krypto-ACLs
übereinstimmen.
Ein weiterer möglicher Grund ist die falsche Abstimmung der Transformationsparameter.
Vergewissern Sie sich, dass die VPN-Gateways an beiden Enden denselben Transformationssatz mit exakt denselben Parametern verwenden.
Ungültige lokale Adresse
Diese Ausgabe zeigt ein Beispiel für die Fehlermeldung:
IPSEC(validate_proposal): invalid local address 12.2.6.2 ISAKMP (0:3): atts not acceptable. Next payload is 0 ISAKMP (0:3): SA not acceptable!
Diese Fehlermeldung ist auf eines der beiden häufigsten Probleme zurückzuführen:
Der Befehl crypto map map-name local-address interface-id veranlasst den Router, eine falsche Adresse als Identität zu verwenden, da er den Router zur Verwendung einer angegebenen Adresse zwingt.
●
Crypto Map wird auf die falsche Schnittstelle angewendet oder überhaupt nicht angewendet.
Überprüfen Sie die Konfiguration, um sicherzustellen, dass die Crypto Map auf die richtige Schnittstelle angewendet wird.
●
IKE-Nachricht von X.X.X.X hat die Integritätsprüfung nicht bestanden oder ist fehlerhaft
Dieser Debugfehler wird angezeigt, wenn die vorinstallierten Schlüssel auf den Peers nicht
übereinstimmen. Um dieses Problem zu beheben, überprüfen Sie die vorinstallierten Schlüssel auf beiden Seiten.
1d00H:%CRPTO-4-IKMP_BAD_MESSAGE: IKE message from 150.150.150.1 failed its sanity check or is malformed
Verarbeitung des Hauptmodus fehlgeschlagen mit Peer
Dies ist ein Beispiel für die Fehlermeldung Hauptmodus. Das Scheitern des Hauptmodus legt nahe, dass die Politik der Phase 1 auf beiden Seiten nicht übereinstimmt.
1d00h: ISAKMP (0:1): atts are not acceptable. Next payload is 0
1d00h: ISAKMP (0:1); no offers accepted!
1d00h: ISAKMP (0:1): SA not acceptable!
1d00h: %CRYPTO-6-IKMP_MODE_FAILURE: Processing of Main Mode failed with peer at 150.150.150.1
Der Befehl show crypto isakmp sa zeigt an, dass sich die ISAKMP SA in MM_NO_STATE befindet. Dies bedeutet auch, dass der Hauptmodus fehlgeschlagen ist.
dst src state conn-id slot 10.1.1.2 10.1.1.1 MM_NO_STATE 1 0
Überprüfen Sie, ob die Richtlinie für Phase 1 auf beiden Peers ausgeführt wird, und stellen Sie sicher, dass alle Attribute übereinstimmen.
Encryption DES or 3DES Hash MD5 or SHA
Diffie-Hellman Group 1 or 2
Authentication {rsa-sig | rsa-encr | pre-share
Proxy-Identitäten nicht unterstützt
Diese Meldung wird in Debuggen angezeigt, wenn die Zugriffsliste für IPsec-Datenverkehr nicht übereinstimmt.
1d00h: IPSec(validate_transform_proposal): proxy identities not supported 1d00h: ISAKMP: IPSec policy invalidated proposal
1d00h: ISAKMP (0:2): SA not acceptable!
Die Zugriffslisten auf den einzelnen Peers müssen einander spiegeln (alle Einträge müssen reversibel sein). Dieses Beispiel veranschaulicht diesen Punkt.
Peer A
access-list 150 permit ip 172.21.113.0 0.0.0.255 172.21.114.0 0.0.0.255 access-list 150 permit ip host 15.15.15.1 host 172.21.114.123
Peer B
access-list 150 permit ip 172.21.114.0 0.0.0.255 172.21.113.0 0.0.0.255 access-list 150 permit ip host 172.21.114.123 host 15.15.15.1
Angebot umwandeln nicht unterstützt
Diese Meldung wird angezeigt, wenn Phase 2 (IPsec) nicht auf beiden Seiten übereinstimmt. Dies tritt am häufigsten auf, wenn der Transformationssatz eine Diskrepanz oder Inkompatibilität
aufweist.
1d00h: IPSec (validate_proposal): transform proposal (port 3, trans 2, hmac_alg 2) not supported
1d00h: ISAKMP (0:2) : atts not acceptable. Next payload is 0 1d00h: ISAKMP (0:2) SA not acceptable
Überprüfen Sie, ob der Transformationssatz auf beiden Seiten übereinstimmt:
crypto ipsec transform-set transform-set-name transform1 [transform2 [transform3]]
? ah-md5-hmac
? ah-sha-hmac
? esp-des
? esp-des and esp-md5-hmac
? esp-des and esp-sha-hmac
? esp-3des and esp-md5-hmac
? esp-3des and esp-sha-hmac
? comp-lzs
Keine Zertifizierung und keine Schlüssel mit Remote-Peer
Diese Meldung weist darauf hin, dass die auf dem Router konfigurierte Peer-Adresse falsch ist oder geändert wurde. Überprüfen Sie, ob die Peer-Adresse korrekt ist und die Adresse erreicht werden kann.
1d00h: ISAKMP: No cert, and no keys (public or pre-shared) with remote peer 150.150.150.2
Peer-Adresse X.X.X.X wurde nicht gefunden.
Diese Fehlermeldung wird normal mit der entsprechenden VPN 3000 Concentrator-
Fehlermeldung angezeigt: Kein gewähltes Angebot(14). Dies ist darauf zurückzuführen, dass die Verbindungen Host-zu-Host sind. Die Router-Konfiguration enthält die IPsec-Angebote in einer Reihenfolge, in der das für den Router ausgewählte Angebot mit der Zugriffsliste übereinstimmt, jedoch nicht mit dem Peer. Die Zugriffsliste verfügt über ein größeres Netzwerk, das den Host enthält, der den Datenverkehr überschneidet. Um dies zu korrigieren, schlagen Sie zunächst den Router für diese Verbindung zwischen Konzentrator und Router vor. Dadurch kann es zunächst dem jeweiligen Host entsprechen.
20:44:44: IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) dest= 194.70.240.150, src= 198.174.236.6, dest_proxy= 10.0.0.76/255.255.255.255/0/0 (type=1), src_proxy= 198.174.238.203/255.255.255.255/0/0 (type=1), protocol= ESP, transform= esp-3des esp-md5-hmac ,
lifedur= 0s and 0kb,
spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4 20:44:44: IPSEC(validate_transform_proposal):
peer address 198.174.236.6 not found
IPsec-Paket hat ungültiges SPI
Diese Ausgabe ist ein Beispiel für die Fehlermeldung:
%PIX|ASA-4-402101: decaps: recd IPSEC packet has
invalid spi for destaddr=dest_address, prot=protocol, spi=number
Das empfangene IPsec-Paket gibt einen Security Parameters Index (SPI) an, der nicht in der SADB (Security Associations Database; Sicherheitszuordnungsdatenbank) vorhanden ist. Dies kann eine vorübergehende Bedingung sein, die sich aus folgenden Gründen ergibt:
Geringe Unterschiede bei der Alterung der Sicherheitszuordnungen (SAs) zwischen den IPsec-Peers
●
Die lokalen SAs wurden bereinigt
●
Falsche Pakete, die vom IPsec-Peer gesendet wurden
●
Dies kann auch ein Angriff sein.
Empfohlene Aktion: Der Peer bestätigt möglicherweise nicht, dass die lokalen SAs gelöscht
wurden. Wenn vom lokalen Router eine neue Verbindung hergestellt wird, können die beiden Peers dann erfolgreich wiederhergestellt werden. Wenn das Problem andernfalls länger als einen kurzen Zeitraum auftritt, versuchen Sie entweder, eine neue Verbindung herzustellen, oder
wenden Sie sich an den Administrator des Peers.
IPSEC(initialize_sas): Ungültige Proxy-IDs
Der Fehler 21:57:57: IPSEC(initialize_sas): ungültige Proxy-IDs geben an, dass die empfangene Proxy-Identität nicht mit der konfigurierten Proxy-Identität gemäß Zugriffsliste übereinstimmt. Um sicherzustellen, dass beide übereinstimmen, überprüfen Sie die Ausgabe des Befehls debug.
In der debug-Befehlsausgabe der Angebotsanforderung stimmt die entsprechende Zugriffsliste 103 permit ip 10.1.1.0 0.0.0.255 20.1.1.0 0.0.255 nicht überein. Die Zugriffsliste ist
netzwerkspezifisch an einem Ende und hostspezifisch am anderen.
21:57:57: IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) dest= 192.1.1.1, src= 192.1.1.2,
dest_proxy= 10.1.1.1/255.255.255.0/0/0 (type=4), src_proxy= 20.1.1.1/255.255.255.0/0/0 (type=4)
Nicht Null für Payload 5 reserviert
Das bedeutet, dass die ISAKMP-Schlüssel nicht übereinstimmen. Um die Genauigkeit sicherzustellen, müssen Sie die Taste erneut drücken/zurücksetzen.
Der angebotene Hash-Algorithmus stimmt nicht mit der Richtlinie überein.
Wenn die konfigurierten ISAKMP-Richtlinien nicht mit der vom Remote-Peer vorgeschlagenen Richtlinie übereinstimmen, versucht der Router die Standardrichtlinie 65535. Wenn dies auch nicht der Fall ist, schlägt die ISAKMP-Aushandlung fehl. Ein Benutzer erhält entweder den angebotenen Hash-Algorithmus, der nicht mit der Richtlinie übereinstimmt! oder der angebotene
Verschlüsselungsalgorithmus stimmt nicht mit der Richtlinie überein! Fehlermeldung auf den Routern.
=RouterA=
3d01h: ISAKMP (0:1): processing SA payload. message ID = 0
3d01h: ISAKMP (0:1): found peer pre-shared key matching 209.165.200.227 ISAKMP (0:1): Checking ISAKMP transform 1 against priority 1 policy ISAKMP: encryption 3DES-CBC
ISAKMP: hash MD5
ISAKMP: default group 1 ISAKMP: auth pre-share ISAKMP: life type in seconds
ISAKMP: life duration (VPI) of 0x0 0x1 0x51 0x80 ISAKMP (0:1): Hash algorithm offered does not match policy!
ISAKMP (0:1): atts are not acceptable. Next payload is 0
=RouterB=
ISAKMP (0:1): Checking ISAKMP transform 1 against priority 65535 policy ISAKMP: encryption 3DES-CBC
ISAKMP: hash MD5
ISAKMP: default group 1 ISAKMP: auth pre-share ISAKMP: life type in seconds
ISAKMP: life duration (VPI) of 0x0 0x1 0x51 0x80
ISAKMP (0:1): Encryption algorithm offered does not match policy!
ISAKMP (0:1): atts are not acceptable. Next payload is 0 ISAKMP (0:1): no offers accepted!
ISAKMP (0:1): phase 1 SA not acceptable!
HMAC-Verifizierung fehlgeschlagen
Diese Fehlermeldung wird angezeigt, wenn bei der Überprüfung des Hash Message
Authentication Code (HMAC) für das IPsec-Paket ein Fehler auftritt. Dies geschieht in der Regel, wenn das Paket auf irgendeine Weise beschädigt wird.
Sep 22 11:02:39 131.203.252.166 2435:
Sep 22 11:02:39: %MOTCR-1-ERROR:motcr_crypto_callback() motcr return failure Sep 22 11:02:39 131.203.252.166 2436:
Sep 22 11:02:39: %MOTCR-1-PKTENGRET_ERROR: MOTCR PktEng Return Value = 0x20000, PktEngReturn_MACMiscompare
Wenn diese Fehlermeldung gelegentlich auftritt, können Sie sie ignorieren. Wenn dies jedoch häufiger geschieht, müssen Sie untersuchen, was das Paket tatsächlich beschädigt. Dies kann auf einen Fehler im Krypto-Beschleuniger zurückzuführen sein.
Remote-Peer reagiert nicht
Diese Fehlermeldung wird angezeigt, wenn ein Transformationssatz nicht übereinstimmt. Stellen Sie sicher, dass auf beiden Peers übereinstimmende Transformationssätze konfiguriert sind.
Alle IPSec SA-Angebote wurden als nicht akzeptabel eingestuft.
Diese Fehlermeldung wird angezeigt, wenn die IPSec-Parameter für Phase 2 zwischen den lokalen und den Remote-Standorten nicht übereinstimmen. Um dieses Problem zu beheben, legen Sie im Transformationssatz dieselben Parameter fest, sodass diese übereinstimmen und ein erfolgreiches VPN hergestellt wird.
Paketverschlüsselungs-/Entschlüsselungsfehler
Diese Ausgabe ist ein Beispiel für die Fehlermeldung:
HW_VPN-1-HPRXERR: Virtual Private Network (VPN) Module0/2: Packet Encryption/Decryption error, status=4615
Diese Fehlermeldung kann aus folgenden Gründen angezeigt werden:
Fragmentierung - Fragmentierte Kryptopakete werden verarbeitet, wodurch das Senden der Fast-Switched-Pakete an die VPN-Karte vor den prozessgesteuerten Paketen erzwungen wird. Wenn vor den prozessgesteuerten Paketen genügend schnelle Switched-Pakete verarbeitet werden, verfällt die ESP- oder AH-Sequenznummer für das prozessgesteuerte Paket. Wenn das Paket bei der VPN-Karte ankommt, befindet sich die Sequenznummer außerhalb des Replay-Fensters. Dies verursacht entweder AH- oder ESP-Sequenzfehler (4615 bzw. 4612), abhängig von der von Ihnen verwendeten Kapselung.
●
Veraltete Cache-Einträge - Eine weitere Instanz, in der dies möglicherweise passieren könnte, ist, wenn ein schneller Switch-Cache-Eintrag veraltet wird und das erste Paket mit einem
●
Cache-Fehler den Prozess-Switching erhält.
Workarounds
Deaktivieren Sie alle Authentifizierungstypen auf dem 3DES-Transformationssatz und verwenden Sie ESP-DES/3DES. Dadurch wird die Authentifizierung/der Anti-Replay-Schutz effektiv deaktiviert, der wiederum Paketverluste im Zusammenhang mit ungeordnetem (gemischten) IPsec-Datenverkehr verhindert %HW_VPN-1-HPRXERR: Hardware-VPN0/2:
Paketverschlüsselungs-/Entschlüsselungsfehler, status=4615.
1.
Eine Lösung, die sich wirklich auf den unter Nummer 1 genannten Grund bezieht, besteht darin, die MTU-Größe (Maximum Transmission Unit) für eingehende Datenströme auf weniger als 1.400 Byte festzulegen. Geben Sie diesen Befehl ein, um die MTU-Größe (Maximum Transmission Unit) für eingehende Streams auf weniger als 1.400 Byte festzulegen:
ip tcp adjust-mss 1300
2.
Deaktivieren Sie die AIM-Karte.
3.
Schalten Sie das schnelle/CEF-Switching an den Routerschnittstellen aus. Um Fast Switching zu entfernen, können Sie diese Befehle im Schnittstellenkonfigurationsmodus verwenden:
no ip route-cache
4.
Pakete erhalten Fehler aufgrund eines ESP-Sequenzfehlers.
Hier ein Beispiel für die Fehlermeldung:
%C1700_EM-1-ERROR: packet-rx error: ESP sequence fail
Diese Fehlermeldung weist in der Regel auf eine der folgenden Bedingungen hin:
Die IPsec-verschlüsselten Pakete werden vom verschlüsselnden Router aufgrund eines falsch konfigurierten QoS-Mechanismus in der falschen Reihenfolge weitergeleitet.
●
Die vom Entschlüsselungsrouter empfangenen IPsec-Pakete sind aufgrund der Paketumordnung an einem zwischengeschalteten Gerät außer Betrieb.
●
Das empfangene IPsec-Paket ist fragmentiert und muss vor der Authentifizierungsprüfung und -entschlüsselung neu assembliert werden.
●
Problemumgehung
Deaktivieren Sie QoS für den IPsec-Datenverkehr auf den verschlüsselnden oder zwischengeschalteten Routern.
1.
Aktivieren Sie die IPsec-Vorfragmentierung auf dem verschlüsselnden Router.
Router(config-if)#crypto ipsec fragmentation before-encryption
2.
Legen Sie den MTU-Wert auf eine Größe fest, die nicht fragmentiert werden muss.
Router(config)#interface type [slot_#/]port_#
Router(config-if)#ip mtu MTU_size_in_bytes
3.
Aktualisieren Sie das IOS-Image auf das neueste verfügbare stabile Image in diesem Zug.
4.
Hinweis: Wenn Sie die MTU-Größe für eine beliebige Router-Schnittstelle ändern, werden alle auf dieser Schnittstelle terminierten Tunnel beendet. Sie müssen planen, diese Problemumgehung
während einer geplanten Ausfallzeit abzuschließen.
Fehler beim Herstellen des VPN-Tunnels auf dem Router der Serie 7600
Dieser Fehler tritt auf, wenn Sie versuchen, einen VPN-Tunnel auf Routern der Serie 7600 einzurichten:
crypto_engine_select_crypto_engine: can't handle any more
Dieser Fehler tritt auf, weil die Softwareverschlüsselung auf Routern der Serie 7600 nicht unterstützt wird. Router der Serie 7600 unterstützen ohne IPsec-SPA-Hardware keine IPsec- Tunnelterminierung. VPN wird nur mit einer IPSEC-SPA-Karte in 7600-Routern unterstützt.
PIX-Debugger
show crypto isakmp sa
Dieser Befehl zeigt die zwischen Peers erstellte ISAKMP SA.
dst src state conn-id slot 12.1.1.2 12.1.1.1 QM_IDLE 1 0
In der Ausgabe show crypto isakmp sa sollte der Status immer QM_IDLE lauten. Wenn der Status
MM_KEY_EXCH lautet, bedeutet dies, dass entweder der konfigurierte vorinstallierte Schlüssel nicht korrekt ist oder die Peer-IP-Adressen unterschiedlich sind.
PIX(config)#show crypto isakmp sa Total : 2
Embryonic : 1
dst src state pending created 192.168.254.250 10.177.243.187 MM_KEY_EXCH 0 0
Sie können dies korrigieren, wenn Sie die richtige IP-Adresse oder einen vorinstallierten Schlüssel konfigurieren.
show crypto ipsec sa
Dieser Befehl zeigt die zwischen Peers erstellten IPsec-SAs. Für den Datenverkehr zwischen den Netzwerken 20.1.1.0 und 10.1.1.0 wird zwischen 12.1.1.1.1 und 12.1.1.2 ein verschlüsselter
Tunnel erstellt. Sie sehen die beiden integrierten ESP-SAs (Inbound und Outbound). AH wird nicht verwendet, da es keine AH SAs gibt.
In dieser Ausgabe wird ein Beispiel für den Befehl show crypto ipsec sa angezeigt.
interface: outside
Crypto map tag: vpn, local addr. 12.1.1.1
local ident (addr/mask/prot/port): (20.1.1.0/255.255.255.0/0/0) remote ident (addr/mask/prot/port): (12.1.1.2/255.255.255.255/0/0) current_peer: 10.2.1.1
dynamic allocated peer ip: 12.1.1.2 PERMIT, flags={}
#pkts encaps: 345, #pkts encrypt: 345, #pkts digest 0 #pkts decaps: 366, #pkts decrypt: 366, #pkts verify 0 #pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0,
#pkts decompress failed: 0, #send errors 0, #recv errors 0 local crypto endpt.: 12.1.1.1, remote crypto endpt.: 12.1.1.2 path mtu 1500, ipsec overhead 56, media mtu 1500
current outbound spi: 9a46ecae inbound esp sas:
spi: 0x50b98b5(84646069)
transform: esp-3des esp-md5-hmac , in use settings ={Tunnel, }
slot: 0, conn id: 1, crypto map: vpn
sa timing: remaining key lifetime (k/sec): (460800/21) IV size: 8 bytes
replay detection support: Y inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0x9a46ecae(2588339374)
transform: esp-3des esp-md5-hmac , in use settings ={Tunnel, }
slot: 0, conn id: 2, crypto map: vpn
sa timing: remaining key lifetime (k/sec): (460800/21) IV size: 8 bytes
replay detection support: Y outbound ah sas:
debuggen crypto isakmp
Dieser Befehl zeigt Debuginformationen über IPsec-Verbindungen an und zeigt die erste Gruppe von Attributen an, die aufgrund von Inkompatibilitäten an beiden Enden abgelehnt werden. Der zweite Versuch, eine Übereinstimmung zu erzielen (3DES anstelle von DES und Secure Hash Algorithm [SHA] zu testen) ist akzeptabel, und die ISAKMP SA wird erstellt. Dieser Debugger stammt auch von einem DFÜ-Client, der eine IP-Adresse (10.32.8.1) aus einem lokalen Pool akzeptiert. Sobald die ISAKMP SAs erstellt wurden, werden die IPsec-Attribute ausgehandelt und für akzeptabel befunden. Der PIX richtet dann die IPsec-SAs ein, wie hier gezeigt.
Diese Ausgabe zeigt ein Beispiel für den Befehl debug crypto isakmp.
crypto_isakmp_process_block: src 12.1.1.1, dest 12.1.1.2 OAK_AG exchange
ISAKMP (0): processing SA payload. message ID = 0
ISAKMP (0): Checking ISAKMP transform 1 against priority 1 policy ISAKMP: encryption DES-CBC
ISAKMP: hash MD5
ISAKMP: default group 1 ISAKMP: auth pre-share
ISAKMP (0): atts are not acceptable. Next payload is 3
ISAKMP (0): Checking ISAKMP transform 3 against priority 1 policy ISAKMP: encryption 3DES-CBC
ISAKMP: hash SHA
ISAKMP: default group 1 ISAKMP: auth pre-share
ISAKMP (0): atts are acceptable. Next payload is 3 ISAKMP (0): processing KE payload. message ID = 0 ISAKMP: Created a peer node for 12.1.1.2
OAK_QM exchange
ISAKMP (0:0): Need config/address
ISAKMP (0:0): initiating peer config to 12.1.1.2. ID = 2607270170 (0x9b67c91a) return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 12.1.1.2, dest 12.1.1.1 ISAKMP_TRANSACTION exchange
ISAKMP (0:0): processing transaction payload from 12.1.1.2.
message ID = 2156506360 ISAKMP: Config payload CFG_ACK
ISAKMP (0:0): peer accepted the address!
ISAKMP (0:0): processing saved QM.
oakley_process_quick_mode:
OAK_QM_IDLE
ISAKMP (0): processing SA payload. message ID = 818324052 ISAKMP : Checking IPSec proposal 1
ISAKMP: transform 1, ESP_DES ISAKMP: attributes in transform:
ISAKMP: authenticator is HMAC-MD5 ISAKMP: encaps is 1
IPSEC(validate_proposal): transform proposal (prot 3, trans 2, hmac_alg 1) not supported ISAKMP (0): atts not acceptable. Next payload is 0 ISAKMP : Checking IPSec proposal 2
ISAKMP: transform 1, ESP_3DES ISAKMP: attributes in transform:
ISAKMP: authenticator is HMAC-MD5 ISAKMP: encaps is 1
ISAKMP (0): atts are acceptable.
ISAKMP (0): processing NONCE payload. message ID = 818324052 ISAKMP (0): processing ID payload. message ID = 81
ISAKMP (0): ID_IPV4_ADDR src 10.32.8.1 prot 0 port 0 ISAKMP (0): processing ID payload. message ID = 81 ISAKMP (0): ID_IPV4_ADDR dst 12.1.1.1 prot 0 port 0 INITIAL_CONTACTIPSEC(key_engine): got a queue event...
debuggen crypto ipsec
Dieser Befehl zeigt Debuginformationen über IPsec-Verbindungen an.
IPSEC(key_engine): got a queue event...
IPSEC(spi_response): getting spi 0xd532efbd(3576885181) for SA from 12.1.1.2 to 12.1.1.1 for prot 3
return status is IKMP_NO_ERROR
crypto_isakmp_process_block: src 12.1.1.2, dest 12.1.1.1 OAK_QM exchange
oakley_process_quick_mode:
OAK_QM_AUTH_AWAIT
ISAKMP (0): Creating IPSec SAs
inbound SA from 12.1.1.2 to 12.1.1.1 (proxy 10.32.8.1 to 12.1.1.1.)
has spi 3576885181 and conn_id 2 and flags 4 outbound SA from 12.1.1.1 to 12.1.1.2 (proxy 12.1.1.1 to 10.32.8.1)
has spi 2749108168 and conn_id 1 and flags 4IPSEC(key_engine):
got a queue event...
IPSEC(initialize_sas): ,
(key eng. msg.) dest= 12.1.1.1, src= 12.1.1.2, dest_proxy= 12.1.1.1/0.0.0.0/0/0 (type=1), src_proxy= 10.32.8.1/0.0.0.0/0/0 (type=1),
protocol= ESP, transform= esp-3des esp-md5-hmac , lifedur= 0s and 0kb,
spi= 0xd532efbd(3576885181), conn_id= 2, keysize= 0, flags= 0x4 IPSEC(initialize_sas): ,
(key eng. msg.) src= 12.1.1.1, dest= 12.1.1.2, src_proxy= 12.1.1.1/0.0.0.0/0/0 (type=1), dest_proxy= 10.32.8.1/0.0.0.0/0/0 (type=1), protocol= ESP, transform= esp-3des esp-md5-hmac , lifedur= 0s and 0kb,
spi= 0xa3dc0fc8(2749108168), conn_id= 1, keysize= 0, flags= 0x4 return status is IKMP_NO_ERROR
Häufige Probleme beim Router-to-VPN-Client
Zugriff auf Subnetze außerhalb des VPN-Tunnels nicht möglich: Split Tunneling
Diese Beispiel-Router-Konfigurationsausgabe zeigt, wie Split-Tunneling für die VPN-Verbindungen aktiviert wird. Der Befehl access list 150 ist der Gruppe zugeordnet, wie in der Crypto isakmp Client-Konfigurationsgruppe hw-client-groupname konfiguriert. Auf diese Weise kann der Cisco VPN Client den Router verwenden, um auf ein zusätzliches Subnetz zuzugreifen, das nicht zum VPN-Tunnel gehört. Dies geschieht, ohne die Sicherheit der IPsec-Verbindung zu gefährden. Der Tunnel wird im Netzwerk 172.168.0.128 gebildet. Der Datenverkehr fließt unverschlüsselt zu Geräten, die nicht im Befehl Zugriffsliste 150 definiert sind, z. B. das Internet.
!
crypto isakmp client configuration group hw-client-groupname key hw-client-password
dns 172.168.0.250 172.168.0.251 wins 172.168.0.252 172.168.0.253 domain cisco.com
pool dynpool acl 150
!
!
access-list 150 permit ip 172.168.0.128 0.0.0.127 any
!
Häufige Probleme mit dem PIX-zu-VPN-Client
Die Themen in diesem Abschnitt behandeln häufige Probleme, die bei der Konfiguration von PIX zu IPsec mithilfe von VPN Client 3.x auftreten. Die Beispielkonfigurationen für das PIX basieren auf Version 6.x.
Der Datenverkehr fließt nicht, nachdem der Tunnel eingerichtet wurde: Ping im Netzwerk hinter PIX nicht möglich
Dies ist ein häufiges Problem beim Routing. Stellen Sie sicher, dass das PIX eine Route für Netzwerke aufweist, die sich innerhalb des Netzwerks befinden und nicht direkt mit demselben Subnetz verbunden sind. Darüber hinaus muss das interne Netzwerk eine Route zurück zum PIX für die Adressen im Client-Adresspool haben.
Diese Ausgabe zeigt ein Beispiel.
!--- Address of PIX inside interface. ip address inside 10.1.1.1 255.255.255.240 !--- Route to the networks that are on the inside segment. !--- The next hop is the router on the inside.
route inside 172.16.0.0 255.255.0.0 10.1.1.2 1 !--- Pool of addresses defined on PIX from which it assigns !--- addresses to the VPN Client for the IPsec session. ip local pool mypool
10.1.2.1-10.1.2.254 !--- On the internal router, if the default gateway is not !--- the PIX inside interface, then the router needs to have route !--- for 10.1.2.0/24 network with next hop as the PIX inside interface !--- (as in Cisco IOS routers). ip route 10.1.2.0 255.255.255.0 10.1.1.1
Nach dem Tunnel kann der Benutzer nicht mehr im Internet surfen: Split Tunneling
Der häufigste Grund für dieses Problem ist, dass der gesamte Datenverkehr mit dem IPsec- Tunnel vom VPN-Client zu PIX über den Tunnel an die PIX-Firewall gesendet wird. Die PIX- Funktion ermöglicht nicht, dass Datenverkehr an die Schnittstelle zurückgesendet wird, an der er empfangen wurde. Daher funktioniert der für das Internet bestimmte Datenverkehr nicht. Um dieses Problem zu beheben, verwenden Sie den Befehl split tunneling. Die Grundidee hinter dieser Korrektur ist, dass nur ein bestimmter Datenverkehr durch den Tunnel gesendet wird und der restliche Datenverkehr direkt ins Internet fließt, nicht durch den Tunnel.
vpngroup vpn3000 split-tunnel 90
access-list 90 permit ip 10.1.1.0 255.255.255.0 10.1.2.0 255.255.255.0 access-list 90 permit ip 172.16.0.0 255.255.0.0 10.1.2.0 255.255.255.0
Hinweis: Der Befehl vpngroup vpn3000 split-tunnel 90 aktiviert das Split-Tunneling mit der Zugriffslistennummer 90. Der Befehl access-list 90 definiert, welcher Datenverkehr durch den Tunnel fließt, der Rest wird am Ende der Zugriffsliste abgelehnt. Die Zugriffsliste muss identisch sein, um Network Address Translation (NAT) auf PIX zu verweigern.
Nach dem Tunnel funktionieren bestimmte Anwendungen nicht mehr: MTU- Anpassung auf Client
Manchmal können Sie nach der Tunnelherstellung die Computer im Netzwerk hinter der PIX- Firewall pingen, aber Sie können bestimmte Anwendungen wie Microsoft Outlook nicht
verwenden. Ein häufiges Problem ist die MTU-Größe (Maximum Transfer Unit) der Pakete. Der IPsec-Header kann bis zu 50 bis 60 Byte umfassen, die dem ursprünglichen Paket hinzugefügt werden. Wenn die Größe des Pakets mehr als 1500 beträgt (der Standardwert für das Internet), müssen die Geräte es fragmentieren. Nachdem der IPsec-Header hinzugefügt wurde, liegt die Größe immer noch unter 1496, also der Maximalwert für IPsec.
Der Befehl show interface zeigt die MTU der jeweiligen Schnittstelle auf den Routern an, auf die zugegriffen werden kann, oder auf den Routern in Ihrem eigenen Gebäude. Um die MTU des gesamten Pfads von der Quelle bis zum Ziel zu bestimmen, werden die Datagramme
verschiedener Größen mit dem DF-Bit-Satz (Don't Fragment) gesendet, sodass, wenn das
gesendete Datagramm mehr als die MTU ist, diese Fehlermeldung an die Quelle zurückgesendet wird:
frag. needed and DF set
Diese Ausgabe zeigt ein Beispiel dafür, wie die MTU des Pfads zwischen den Hosts mit den IP- Adressen 10.1.1.2 und 172.16.1.56 ermittelt wird.
Router#debug ip icmp
ICMP packet debugging is on
!--- Perform an extended ping. Router#ping Protocol [ip]:
Target IP address: 172.16.1.56
Repeat count [5]:
Datagram size [100]: 1550 Timeout in seconds [2]:
!--- Make sure you enter y for extended commands. Extended commands [n]: y Source address or interface: 10.1.1.2
Type of service [0]:
!--- Set the DF bit as shown. Set DF bit in IP header? [no]: y Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 1550-byte ICMP Echos to 172.16.1.56, timeout is 2 seconds:
2w5d: ICMP: dst (172.16.1.56): frag. needed and DF set.
2w5d: ICMP: dst (172.16.1.56): frag. needed and DF set.
2w5d: ICMP: dst (172.16.1.56): frag. needed and DF set.
2w5d: ICMP: dst (172.16.1.56): frag. needed and DF set.
2w5d: ICMP: dst (172.16.1.56): frag. needed and DF set.
Success rate is 0 percent (0/5)
!--- Reduce the datagram size further and perform extended ping again. Router#ping Protocol [ip]:
Target IP address: 172.16.1.56 Repeat count [5]:
Datagram size [100]: 1500 Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface: 10.1.1.2 Type of service [0]:
Set DF bit in IP header? [no]: y Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 1500-byte ICMP Echos to 172.16.1.56, timeout is 2 seconds:
!!!!!
2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2 2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2 2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2 2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2 2w5d: ICMP: echo reply rcvd, src 172.16.1.56, dst 10.1.1.2
Success rate is 100 percent (5/5), round-trip min/avg/max = 380/383/384 ms
Hinweis: Der VPN-Client wird mit einem MTU-Anpassungsprogramm ausgeliefert, mit dem der Benutzer die MTU für den Cisco VPN-Client anpassen kann. Bei PPP over Ethernet (PPPoE)- Client-Benutzern müssen Sie die MTU für den PPPoE-Adapter anpassen.
Hinweis: Führen Sie diese Schritte aus, um das MTU-Dienstprogramm für den VPN-Client anzupassen.
Wählen Sie Start > Programme > Cisco System VPN Client > MTU festlegen aus.
1.
Wählen Sie LAN-Verbindung, und klicken Sie dann auf das Optionsfeld 1400.
2.
Klicken Sie auf 3.
OK.
Wiederholen Sie Schritt 1, und wählen Sie DFÜ-Netzwerke aus.
4.
Klicken Sie auf das Optionsfeld 576 und anschließend auf
OK.
5.
Sysopt-Befehl verpasst
Verwenden Sie den Befehl sysopt connection permit-ipsec in IPsec-Konfigurationen auf dem PIX, um das Durchlaufen des IPsec-Datenverkehrs durch die PIX-Firewall ohne Prüfung der
Befehlsanweisungen für Kabelrohre oder Zugriffslisten zu ermöglichen. Standardmäßig muss jede eingehende Sitzung explizit durch eine Kabelkanal- oder Zugriffslisten-Befehlsanweisung
zugelassen werden. Bei IPsec-geschütztem Datenverkehr kann die sekundäre
Zugriffslistenprüfung redundant sein. Um zu ermöglichen, dass eingehende IPsec-Sitzungen mit IPsec-Authentifizierung/Verschlüsselung immer zugelassen werden, verwenden Sie den Befehl sysopt connection permit-ipsec.
Überprüfen von Zugriffskontrolllisten (ACLs)
In einer typischen IPsec-VPN-Konfiguration werden zwei Zugriffslisten verwendet. Eine
Zugriffsliste dient dazu, den für den VPN-Tunnel bestimmten Datenverkehr vom NAT-Prozess auszunehmen. Die andere Zugriffsliste definiert den zu verschlüsselnden Datenverkehr. Dazu gehört eine Krypto-ACL in einer LAN-zu-LAN-Konfiguration oder eine Split-Tunneling-ACL in einer Remote-Zugriffskonfiguration. Wenn diese ACLs falsch konfiguriert sind oder fehlen, fließt der Datenverkehr möglicherweise nur in eine Richtung durch den VPN-Tunnel oder gar nicht über den Tunnel.
Stellen Sie sicher, dass Sie alle Zugriffslisten konfiguriert haben, die für den Abschluss der IPsec- VPN-Konfiguration erforderlich sind, und dass diese Zugriffslisten den richtigen Datenverkehr definieren. Diese Liste enthält Elemente, die überprüft werden müssen, wenn Sie vermuten, dass eine ACL die Ursache von Problemen mit Ihrem IPsec-VPN ist.
Stellen Sie sicher, dass in der NAT-Ausnahme und in den Krypto-ACLs der richtige Datenverkehr angegeben ist.
●
Wenn Sie über mehrere VPN-Tunnel und mehrere Krypto-ACLs verfügen, stellen Sie sicher, dass sich diese ACLs nicht überschneiden.
●
Verwenden Sie keine Zugriffskontrolllisten zweimal. Auch wenn Ihre NAT-Freistellungs-ACL und die Krypto-ACL denselben Datenverkehr angeben, verwenden Sie zwei verschiedene Zugriffslisten.
●
Stellen Sie sicher, dass Ihr Gerät für die Verwendung der NAT-Freistellungs-ACL konfiguriert ist. Verwenden Sie also den Befehl route-map auf dem Router. Verwenden Sie den Befehl nat (0) auf dem PIX oder ASA. Für Konfigurationen mit LAN-zu-LAN- und Remote-Zugriff ist eine NAT-Freistellungs-ACL erforderlich.
●
Weitere Informationen zum Überprüfen der ACL-Anweisungen finden Sie im Abschnitt Überprüfen, ob die ACLs korrekt sind in den gängigsten L2L- und IPsec-VPN-Problembehebungslösungen für Remote-Zugriff.
Zugehörige Informationen
Support-Seite für IPsec-Aushandlung/IKE-Protokoll
●
Einführung in die IP-Sicherheit (IPsec)-Verschlüsselung
●
PIX-Support-Seite
●
PIX-Befehlsreferenz
●
Anforderungen für Kommentare (RFCs)
●
Technischer Support und Dokumentation - Cisco Systems
●
