туннели IPsec Ikev1 и Ikev2 на одном маршрутизаторе?
-
Столкнулись с проблемой, когда у нас есть профили ikev1 и ikev2 на 4431 с версией 17.06.03a. Когда я пытаюсь установить туннель с другого маршрутизатора ISR, на котором работает только ikev1, этот маршрутизатор выдает ошибку о несоответствии политики. Раньше все работало, но затем произошло обрыв оптоволоконного кабеля, в результате чего связь была прервана на 2–3 дня, и когда все было восстановлено, этот туннель устанавливался только в одном направлении (r1 > r2). Похоже, что r2 > r1 никогда не устанавливается. r1:
Feb 24 07:11:54.772 pst: ISAKMP-PAK: (21833):received packet from 2.2.2.2 dport 500 sport 500 Global (R) QM_IDLE
Feb 24 07:11:54.772 pst: ISAKMP: (21833):set new node 4110472185 to QM_IDLE
Feb 24 07:11:54.772 pst: ISAKMP: (21833):processing HASH payload. message ID = 4110472185
Feb 24 07:11:54.772 pst: ISAKMP: (21833):processing SA payload. message ID = 4110472185
Feb 24 07:11:54.772 pst: ISAKMP: (21833):Checking IPSec proposal 1
Feb 24 07:11:54.772 pst: ISAKMP: (21833):transform 1, ESP_AES
Feb 24 07:11:54.772 pst: ISAKMP: (21833): attributes in transform:
Feb 24 07:11:54.772 pst: ISAKMP: (21833): encaps is 1 (Tunnel)
Feb 24 07:11:54.772 pst: ISAKMP: (21833): SA life type in seconds
Feb 24 07:11:54.772 pst: ISAKMP: (21833): SA life duration (basic) of 3600
Feb 24 07:11:54.772 pst: ISAKMP: (21833): SA life type in kilobytes
Feb 24 07:11:54.772 pst: ISAKMP: SA life duration (VPI) of 0x0 0x46 0x50 0x0
Feb 24 07:11:54.772 pst: ISAKMP: (21833): authenticator is HMAC-SHA256
Feb 24 07:11:54.772 pst: ISAKMP: (21833): key length is 256
Feb 24 07:11:54.772 pst: ISAKMP: (21833):atts are acceptable.
Feb 24 07:11:54.772 pst: IPSEC(validate_proposal_request): proposal part #1
Feb 24 07:11:54.772 pst: IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) INBOUND local= 1.1.1.1:0, remote= 2.2.2.2:0, local_proxy= 0.0.0.0/0.0.0.0/256/0, remote_proxy= 0.0.0.0/0.0.0.0/256/0, protocol= ESP, transform= esp-aes 256 esp-sha256-hmac (Tunnel), esn= FALSE, lifedur= 0s and 0kb, spi= 0x0(0), conn_id= 0, keysize= 256, flags= 0x0
Feb 24 07:11:54.772 pst: map_db_check_isakmp_profile profile did not match,
ike passed profile : NULL,
map_ike_profile: v2-profile,
head_ike_profile: v2-profile
Feb 24 07:11:54.773 pst: Crypto mapdb : proxy_match src addr : 0.0.0.0 dst addr : 0.0.0.0 protocol : 0 src port : 0 dst port : 0
Feb 24 07:11:54.773 pst: map_db_check_isakmp_profile profile did not match,
ike passed profile : NULL,
map_ike_profile: v2-profile,
head_ike_profile: v2-profile
Feb 24 07:11:54.773 pst: Crypto mapdb : proxy_match src addr : 0.0.0.0 dst addr : 0.0.0.0 protocol : 0 src port : 0 dst port : 0
Feb 24 07:11:54.773 pst: map_db_check_isakmp_profile profile did not match, r1#show crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
1.1.1.1 2.2.2.2 QM_IDLE 21839 ACTIVE r2#show crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst src state conn-id status
1.1.1.1 2.2.2.2 QM_IDLE 1026 ACTIVE r2:
Feb 24 09:30:33.039 MST: ISAKMP:(1027):SA is doing pre-shared key authentication using id type ID_IPV4_ADDR
Feb 24 09:30:33.039 MST: ISAKMP (1027): ID payload next-payload : 8 type : 1 address : 2.2.2.2 protocol : 17 port : 500 length : 12
Feb 24 09:30:33.039 MST: ISAKMP:(1027):Total payload length: 12
Feb 24 09:30:33.039 MST: ISAKMP:(1027): sending packet to 1.1.1.1 my_port 500 peer_port 500 (I) MM_KEY_EXCH
Feb 24 09:30:33.039 MST: ISAKMP:(1027):Sending an IKE IPv4 Packet.
Feb 24 09:30:33.039 MST: ISAKMP:(1027):Input = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
Feb 24 09:30:33.039 MST: ISAKMP:(1027):Old State = IKE_I_MM4 New State = IKE_I_MM5 Feb 24 09:30:33.062 MST: ISAKMP (1027): received packet from 1.1.1.1 dport 500 sport 500 Global (I) MM_KEY_EXCH
Feb 24 09:30:33.063 MST: ISAKMP:(1027): processing ID payload. message ID = 0
Feb 24 09:30:33.063 MST: ISAKMP (1027): ID payload next-payload : 8 type : 1 address : 1.1.1.1 protocol : 17 port : 500 length : 12
Feb 24 09:30:33.063 MST: ISAKMP:(0):: peer matches none of the profiles
Feb 24 09:30:33.063 MST: ISAKMP:(1027): processing HASH payload. message ID = 0
Feb 24 09:30:33.063 MST: ISAKMP:(1027):SA authentication status: authenticated
Feb 24 09:30:33.063 MST: ISAKMP:(1027):SA has been authenticated with 1.1.1.1
Feb 24 09:30:33.063 MST: ISAKMP: Trying to insert a peer 2.2.2.2/1.1.1.1/500/, and inserted successfully 7FA35023C740.
Feb 24 09:30:33.063 MST: ISAKMP:(1027):Input = IKE_MESG_FROM_PEER, IKE_MM_EXCH
Feb 24 09:30:33.063 MST: ISAKMP:(1027):Old State = IKE_I_MM5 New State = IKE_I_MM6 Feb 24 09:30:33.063 MST: ISAKMP:(1027):Input = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE
Feb 24 09:30:33.063 MST: ISAKMP:(1027):Old State = IKE_I_MM6 New State = IKE_I_MM6 Feb 24 09:30:33.063 MST: ISAKMP:(1027):Input = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
Feb 24 09:30:33.063 MST: ISAKMP:(1027):Old State = IKE_I_MM6 New State = IKE_P1_COMPLETE Feb 24 09:30:33.063 MST: ISAKMP:(1027):IKE_DPD is enabled, initializing timers
Feb 24 09:30:33.063 MST: ISAKMP:(1027):beginning Quick Mode exchange, M-ID of 3774393995
Feb 24 09:30:33.063 MST: ISAKMP:(1027):QM Initiator gets spi
Feb 24 09:30:33.064 MST: ISAKMP:(1027): sending packet to 1.1.1.1 my_port 500 peer_port 500 (I) QM_IDLE
Feb 24 09:30:33.064 MST: ISAKMP:(1027):Sending an IKE IPv4 Packet.
Feb 24 09:30:33.064 MST: ISAKMP:(1027):Node 3774393995, Input = IKE_MESG_INTERNAL, IKE_INIT_QM
Feb 24 09:30:33.064 MST: ISAKMP:(1027):Old State = IKE_QM_READY New State = IKE_QM_I_QM1
Feb 24 09:30:33.064 MST: ISAKMP:(1027):Input = IKE_MESG_INTERNAL, IKE_PHASE1_COMPLETE
Feb 24 09:30:33.064 MST: ISAKMP:(1027):Old State = IKE_P1_COMPLETE New State = IKE_P1_COMPLETE Feb 24 09:30:33.087 MST: ISAKMP (1027): received packet from 1.1.1.1 dport 500 sport 500 Global (I) QM_IDLE
Feb 24 09:30:33.087 MST: ISAKMP: set new node 3609818105 to QM_IDLE
Feb 24 09:30:33.087 MST: ISAKMP:(1027): processing HASH payload. message ID = 3609818105
Feb 24 09:30:33.087 MST: ISAKMP:(1027): processing NOTIFY PROPOSAL_NOT_CHOSEN protocol 3 spi 2704825335, message ID = 3609818105, sa = 0x7FA3586E8E20
Feb 24 09:30:33.087 MST: ISAKMP:(1027): deleting spi 2704825335 message ID = 3774393995
Feb 24 09:30:33.087 MST: ISAKMP:(1027):deleting node 3774393995 error TRUE reason "Delete Larval"
Feb 24 09:30:33.087 MST: ISAKMP:(1027):deleting node 3609818105 error FALSE reason "Informational (in) state 1"
Feb 24 09:30:33.087 MST: ISAKMP:(1027):Input = IKE_MESG_FROM_PEER, IKE_INFO_NOTIFY
Feb 24 09:30:33.087 MST: ISAKMP:(1027):Old State = IKE_P1_COMPLETE New State = IKE_P1_COMPLETE -
Эта проблема устранена, она была связана с профилем ipsec и указанием в нем профиля ikev2: crypto ipsec profile strong set transform-set strong-set set ikev2-profile v2-profile <<<<<<<<<<<<<<<<<<<<< Я не знаю, почему я думал, что вышеуказанное можно использовать как для ikev1, так и для ikev2, но это невозможно: как только вы добавляете профиль ikev2 к профилю ipsec, он становится профилем ТОЛЬКО ikev2. Мне пришлось создать новый профиль без ikev2, чтобы туннель установился правильно: crypto ipsec profile strong-v1 set transform-set strong-set
-
@the-lebowski Журналы указывают на несоответствие в наборе преобразований. Как это произошло после сбоя связи, я понятия не имею. Если бы это было перезагрузкой питания, то это было бы более логично.
-
Да, я знаю, но почему, я не знаю. Ничего из этого не изменилось, но я могу сказать вам, что если я добавлю IP-адрес R2 в ключевой кольцо ikev2, это сообщение исчезнет, но туннель не будет установлен. R2 не имеет никакой конфигурации ikev2, а R1 имеет. Похоже, что r1 просто ищет ikev2 от этого хоста, когда он должен сопоставляться с ikev1, но я не знаю, почему. crypto ikev2 profile v2-profile match address local interface GigabitEthernet0/0/0 match identity remote address 0.0.0.0 authentication remote pre-share authentication local pre-share keyring local v2-keyring dpd 20 2 periodic crypto ikev2 keyring v2-keyring
peer-test-site
address 2.2.2.2 pre-shared-key xyz -
Некоторые настройки ikev1 с обоих маршрутизаторов: r1: crypto isakmp policy 1 encryption aes hash sha authentication pre-share group 2
!
crypto ipsec transform-set strong-set esp-aes 256 esp-sha256-hmac mode tunnel
!
crypto ipsec profile strong set transform-set strong-set set ikev2-profile v2-profile <<<<<<<<<<<<<<<<<<<<< r2: crypto isakmp policy 1 encr aes authentication pre-share group 2
!
crypto ipsec transform-set strong-set esp-aes 256 esp-sha256-hmac mode tunnel
!
crypto ipsec profile strong set transform-set strong-set -
На R1 есть другой параметр. хэш sha r1: crypto isakmp policy 1 encryption aes hash sha authentication pre-share group 2
!
crypto ipsec transform-set strong-set esp-aes 256 esp-sha256-hmac mode tunnel
!
crypto ipsec profile strong set transform-set strong-set set ikev2-profile v2-profile <<<<<<<<<<<<<<<<<<<<< r2: crypto isakmp policy 1 encr aes authentication pre-share group 2
!
crypto ipsec transform-set strong-set esp-aes 256 esp-sha256-hmac mode tunnel
!
crypto ipsec profile strong set transform-set strong-set -
@the-lebowski
Один из примеров, который я могу привести, почему VPN-туннель может не устанавливаться, — это если у инициатора не настроена PFS или у него меньшая группа DH, чем у респондера. Проверьте настройки PFS, предоставьте конфигурацию обоих маршрутизаторов для проверки. -
@Rob Ingram
Я опубликовал часть конфигурации выше, что еще вы хотите увидеть? Я не люблю публиковать полные конфигурации маршрутизаторов, потому что мне приходится их очищать, а это занимает уйму времени. Повторюсь, все совпадает, затем происходит сопоставление с криптографическим профилем, но оно заканчивается неудачей. Мне кажется, что он пытается сопоставить только профили ikev2, а затем в конечном итоге терпит неудачу: Feb 24 09:14:20.216 pst: ISAKMP-PAK: (21848):received packet from 2.2.2.2 dport 500 sport 500 Global (R) QM_IDLE
Feb 24 09:14:20.216 pst: ISAKMP: (21848):set new node 3965113645 to QM_IDLE
Feb 24 09:14:20.216 pst: ISAKMP: (21848):processing HASH payload. message ID = 3965113645
Feb 24 09:14:20.216 pst: ISAKMP: (21848):processing SA payload. message ID = 3965113645
Feb 24 09:14:20.216 pst: ISAKMP: (21848):Checking IPSec proposal 1
Feb 24 09:14:20.216 pst: ISAKMP: (21848):transform 1, ESP_AES
Feb 24 09:14:20.216 pst: ISAKMP: (21848): attributes in transform:
Feb 24 09:14:20.216 pst: ISAKMP: (21848): encaps is 1 (Tunnel)
Feb 24 09:14:20.216 pst: ISAKMP: (21848): SA life type in seconds
Feb 24 09:14:20.216 pst: ISAKMP: (21848): SA life duration (basic) of 3600
Feb 24 09:14:20.216 pst: ISAKMP: (21848): SA life type in kilobytes
Feb 24 09:14:20.216 pst: ISAKMP: SA life duration (VPI) of 0x0 0x46 0x50 0x0
Feb 24 09:14:20.216 pst: ISAKMP: (21848): authenticator is HMAC-SHA256
Feb 24 09:14:20.216 pst: ISAKMP: (21848): key length is 256
Feb 24 09:14:20.216 pst: ISAKMP: (21848):atts are acceptable.
Feb 24 09:14:20.216 pst: IPSEC(validate_proposal_request): proposal part #1
Feb 24 09:14:20.217 pst: IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) INBOUND local= 1.1.1.1:0, remote= 2.2.2.2:0, local_proxy= 0.0.0.0/0.0.0.0/256/0, remote_proxy= 0.0.0.0/0.0.0.0/256/0, protocol= ESP, transform= esp-aes 256 esp-sha256-hmac (Tunnel), esn= FALSE, lifedur= 0s and 0kb, spi= 0x0(0), conn_id= 0, keysize= 256, flags= 0x0 Feb 24 09:14:20.217 pst: map_db_check_isakmp_profile profile did not match,
ike passed profile : NULL,
map_ike_profile: v2-profile,
head_ike_profile: v2-profile
Feb 24 09:17:51.424 pst: map_db_find_best did not find matching map
Feb 24 09:17:51.424 pst: IPSEC(ipsec_process_proposal): peer address 2.2.2.2 not found
Feb 24 09:17:51.424 pst: ISAKMP-ERROR: (21848):IPSec policy invalidated proposal with error 64
Feb 24 09:17:51.425 pst: ISAKMP-ERROR: (21848):phase 2 SA policy not acceptable! (local 1.1.1.1 remote 2.2.2.2)
Feb 24 09:17:51.425 pst: ISAKMP: (21848):set new node 1908453102 to QM_IDLE
Feb 24 09:17:51.425 pst: ISAKMP: (21848):Sending NOTIFY PROPOSAL_NOT_CHOSEN protocol 3
!
!
crypto ikev2 profile v2-profile match address local interface GigabitEthernet0/0/0 match identity remote address 0.0.0.0 authentication remote pre-share authentication local pre-share keyring local v2-keyring dpd 20 2 periodic -
@Flavio Miranda
Я уже исправил это, но, похоже, на R2 это не сохраняется: crypto isakmp policy 1 encr aes authentication pre-share group 2 r2(config)#crypto isakmp policy 1
r2(config-isakmp)#hash sha
r2(config-isakmp)#do show run | s crypto
crypto isakmp policy 1 encr aes authentication pre-share group 2 -
Вы пробовали перезагрузить оба маршрутизатора?
-
@Flavio Miranda
Нет, поскольку между ними есть активный трафик, хотя и не в обоих направлениях, что и является проблемой, которую я пытаюсь решить.
Здравствуйте! Похоже, вам интересна эта беседа, но у вас пока нет учетной записи.
Вы устали просматривать одни и те же посты каждый раз, когда заходите на сайт? После регистрации, вам не придётся искать обсуждения в которых вы принимали участие, настройте уведомления о новых сообщениях так как вам это удобно (по электронной почте или уведомлением). У вас появится возможность сохранять закладки и ставить лайки постам, чтобы выразить свою благодарность другим участникам сообщества.
С вашими комментариями этот пост может стать ещё лучше 💗
Зарегистрироваться Войти