Depuración de ASA IKEv2 para resolución de problemas de VPN de acceso remoto

Descripción del mensaje del servidor

Depuraciones

Descripción del mensaje del cliente

Fecha: 23/04/13
Hora: 16:24:55
Tipo: Información
Fuente: acvpnui

Descripción: Función: ClientIfcBase::connect
Archivo: .\ClientIfcBase.cpp
Línea: 964
El usuario ha solicitado una conexión VPN a Anu-IKEV2.

****************************************
Fecha: 23/04/13
Hora: 16:24:55
Tipo: Información
Fuente: acvpnui

Descripción: información de tipo de mensaje enviada al usuario:
Contactando con Anu-IKEV2.
****************************************
Fecha: 23/04/13
Hora: 16:24:55
Tipo: Información
Fuente: acvpnui

Descripción: Función: ApiCert::getCertList
Archivo: .\ApiCert.cpp
Línea: 259
Número de certificados encontrados: 0
****************************************
Fecha: 23/04/13
Hora: 16:25:00
Tipo: Información
Fuente: acvpnui

Descripción: Inicio de la conexión VPN al gateway seguro https://10.0.0.1/ASA-IKEV2
****************************************
Fecha: 23/04/13
Hora: 16:25:00
Tipo: Información
Fuente: acvpnagent

Descripción: Túnel iniciado por el cliente GUI.

****************************************

Fecha: 23/04/13
Hora: 16:25:02
Tipo: Información
Fuente: acvpnagent

Descripción: Función: CIPsecProtocol::connectTransport
Archivo: .\IPsecProtocol.cpp
Línea: 1629
socket IKE abierto desde 192.168.1.1:25170 hasta 10.0.0.1:500
****************************************

El ASA recibe el mensaje IKE_SA_INIT del cliente.

IKEv2-PLAT-4: RECV PKT [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=00000000

IKEv2-PROTO-3: Rx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] m_id: 0x0

El primer par de mensajes es el intercambio IKE_SA_INIT. Estos mensajes negocian algoritmos criptográficos, intercambian nonces y realizan un intercambio Diffie-Hellman (DH).

El mensaje IKE_SA_INIT recibido del cliente contiene estos campos:

1. Encabezado ISAKMP: SPI/version/flags.
2. SAi1: algoritmo criptográfico compatible con el iniciador IKE.
3. KEi - Valor de clave pública DH del iniciador.
4. N: Iniciador Nonce.

El ASA verifica y procesa la
mensaje IKE_INIT. El ASA:

1. Elige el conjunto criptográfico de
   los ofrecidos por el iniciador.
2. Calcula su propia clave secreta DH.
3. Calcula un valor SKEYID a partir de
   para el que se pueden derivar todas las claves
   este IKE_SA. Los encabezados de todos
   los mensajes subsiguientes son
   encriptado y autenticado.
   claves utilizadas para el cifrado y
   se derivan las protecciones de integridad
   de SKEYID y se conocen como:
   
   
   1. SK_e: cifrado.
   2. SK_a: autenticación.
   3. SK_d: derivado y utilizado
      para obtener más información
      material de claves para
      CHILD_SA.
   Los argumentos SK_e y SK_a son
   calculados para cada dirección.

Configuración relevante:

crypto ikev2 policy 10
 encryption aes-192 integrity 
 sha group 2  prf sha lifetime 
 seconds 86400
crypto ikev2 enable outside

El ASA construye el mensaje de respuesta para el intercambio IKE_SA_INIT.

Este paquete contiene:

1. Encabezado ISAKMP: SPI/version/flags.
2. SAr1: algoritmo criptográfico que elige el respondedor IKE.
3. KEr: valor de clave pública DH del respondedor.
4. N - Responder Nonce.

El cliente muestra el túnel IPSec como 'iniciando'.

Fecha: 23/04/13
Hora: 16:25:02
Tipo: Información
Fuente: acvpnagent

Descripción: Función: ikev2_log
Archivo: .\ikev2_anyconnect_osal.cpp
Línea: 2730
Solicitud recibida para establecer un túnel IPsec; selector de tráfico local = Intervalo de direcciones: 0.0.0.0-255.255.255.255 Protocolo: 0 Intervalo de puertos: 0-65535 ; selector de tráfico remoto = Intervalo de direcciones: 0.0.0.0-255.255.255.255 Protocolo: 0 Intervalo de puertos: 0-65535
****************************************
Fecha: 23/04/13
Hora: 16:25:02
Tipo: Información
Fuente: acvpnagent

Descripción: Función: CIPsecProtocol::connectTransport
Archivo: .\IPsecProtocol.cpp
Línea: 1629
socket IKE abierto desde 192.168.1.1:25171 hasta 10.0.0.1:4500
****************************************

La autenticación se realiza con EAP. En una conversación EAP sólo se permite un método de autenticación EAP. El ASA recibe el mensaje IKE_AUTH del cliente.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000001

IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x1

Cuando el cliente incluye una carga de IDi
pero no una carga de AUTH, esto indica
el cliente ha declarado una identidad pero ha
no lo probé. En los debugs, la AUTH
la carga útil no está presente en IKE_AUTH
paquete enviado por el cliente. El cliente
envía la carga útil de AUTH solo después de la
El intercambio de EAP se ha realizado correctamente. Si el ASA
está dispuesto a utilizar un
método de autenticación, coloca un EAP
carga en el mensaje 4 y aplazamiento del envío
SAr2, TSi y TSr hasta el iniciador
la autenticación se completa en un
intercambio IKE_AUTH subsiguiente.

El paquete del iniciador IKE_AUTH contiene:

1. Encabezado ISAKMP:
   SPI/versión/indicadores.
2. IDi: el nombre del grupo de túnel que
   el cliente desea conectarse a
   puede ser entregado por el IDi
   carga útil de tipo ID_KEY_ID en
   el mensaje inicial del
   Intercambio IKE_AUTH. Esto
   se produce cuando el perfil del cliente* es
   preconfigurado con un nombre de grupo
   o, después de un éxito anterior
   autenticación, el cliente tiene
   el nombre del grupo en su caché
   archivo de preferencias. El ASA
   intenta hacer coincidir un grupo de túnel
   nombre con el contenido de la IKE
   Carga útil de IDi. Después de la primera
   la VPN IPSec correcta es
   establecido, el cliente almacena en caché
   nombre de grupo (alias de grupo) al que
   el usuario autenticado. Este grupo
   el nombre se indica en la IDi
   carga útil de la siguiente conexión
   para indicar el número de
   grupo probable deseado por el
   usuario. Cuando la autenticación EAP es
   especificada o implícita por el cliente
   perfil y el perfil no
   contengan <IKEIdentity>
   , el cliente envía un
   ID_GROUP tipo IDi carga
   con la cadena fija
   *$AnyConnectClient$*.
   
3. CERTREQ: el cliente está
   solicitando ASA para un
   certificado preferido. Certificado
   solicitar que se incluyan cargas útiles
   en un intercambio cuando el remitente
   necesita obtener el certificado de la
   receptor. La solicitud de certificado
   carga útil es procesada por
   inspección de la 'codificación de certificados'
   para determinar el número de
   si el procesador tiene
   certificados de este tipo. Si es así, el
   El campo 'Entidad de certificación' está
   inspeccionado para determinar si
   el procesador tiene certificados
   que pueden validarse hasta uno de los siguientes
   la certificación especificada
   autoridades. Esto puede ser una cadena de
   certificados.
   
4. CFG - CFG_REQUEST/
   CFG_REPLY permite una IKE
   terminal para solicitar información
   de su par. Si un atributo en el
   CFG_REQUEST configuration
   la carga útil no es de longitud cero, es
   como una sugerencia para eso
   Atributo CFG_REPLY
   la carga útil de configuración puede devolver
   ese valor o uno nuevo. Puede que
   agregar también nuevos atributos y no
   incluir algunos solicitados.
   Los solicitantes ignoran los devueltos
   atributos que no tienen
   reconocer. En estas depuraciones, el
   el cliente solicita el túnel
   configuración en el
   CFG_REQUEST. El ASA
   responde a este mensaje y envía el túnel
   atributos de configuración sólo después de
   el intercambio EAP se ha realizado correctamente.
   
5. SAi2: SAi2 inicia la SA,
   similar a la fase 2
   transforme el intercambio de conjuntos en IKEv1.
   
6. TSi y TSr: el iniciador y
   selectores de tráfico de respuesta
   contengan, respectivamente, la fuente
   y la dirección de destino del
   iniciador y respondedor para
   enviar y recibir cifrados
   tráfico. El intervalo de direcciones
   especifica que todo el tráfico hacia y desde
   ese rango es tunelizado. Si
   propuesta es aceptable para el
   respondedor, envía TS idénticos
   carga útil de vuelta.

Los atributos que el cliente debe proporcionar para
autenticación de grupo se almacenan en un
Archivo de perfil de AnyConnect.

*Configuración de perfil relevante:

<ServerList>
<HostEntry>
  <HostName>Anu-IKEV2
  </HostName>
  <HostAddress>10.0.0.1
  </HostAddress>
  
         
         
           ASA-IKEV2 
          
 
         
<PrimaryProtocol>IPsec
</PrimaryProtocol>
</HostEntry>
</ServerList>

El ASA genera una respuesta al mensaje IKE_AUTH y se prepara para autenticarse ante el cliente.

Paquete descifrado:Data&colon; 540 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Deteniendo el temporizador para esperar el mensaje de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_NAT_T
IKEv2-PROTO-3: (6): Comprobar detección de NAT
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHG_NAT_T_PORT
IKEv2-PROTO-2: (6): NAT detectó un punto flotante en el puerto de inicialización 25171, resp puerto 4500
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_PROC_ID
IKEv2-PROTO-2: (6): se recibieron parámetros válidos en la ID de proceso
IKEv2-PLAT-3: (6) método de autenticación por pares establecido en: 0
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_IF_PEER_CERT_NEEDS_TO_BE_FETCHED_FOR_PROF_SEL
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_GET_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): obtener políticas configuradas
IKEv2-PLAT-3: nueva conexión de cliente AnyConnect detectada en función de la carga útil de ID
IKEv2-PLAT-3: my_auth_method = 1
IKEv2-PLAT-3: (6) método de autenticación por pares establecido en: 256
IKEv2-PLAT-3: supported_peers_auth_method = 16
IKEv2-PLAT-3: (6) tp_name establecido en: Anu-ikev2
IKEv2-PLAT-3: punto de confianza establecido en: Anu-ikev2
IKEv2-PLAT-3: P1 ID = 0
IKEv2-PLAT-3: conversión de IKE_ID_AUTO a = 9
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_SET_POLICY
IKEv2-PROTO-3: (6): Definición de políticas configuradas
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_VERIFY_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): verificar la política del par
IKEv2-PROTO-3: (6): Se ha encontrado un certificado coincidente
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_CONFIG_MODE
IKEv2-PROTO-3: (6): datos de modo de configuración válidos recibidos
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_SET_RECD_CONFIG_MODE
IKEv2-PLAT-3: (6) El nombre de host DHCP para DDNS está configurado en: winxp64template
IKEv2-PROTO-3: (6): Establecer los datos del modo de configuración recibido
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_AUTH4EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_CHK_EAP
IKEv2-PROTO-3: (6): Comprobar intercambio EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Evento: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Generar mis datos de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Evento: EV_CHK4_SIGN
IKEv2-PROTO-3: (6) Obtener mi método de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Evento: EV_SIGN
IKEv2-PROTO-3: (6): Firmar datos de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Evento: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_AUTHEN_REQ
IKEv2-PROTO-2: (6): Cómo solicitar al autenticador que envíe una solicitud EAP

Valor de config-auth del nombre de elemento creado
Se agregó vpn al valor de cliente del nombre de atributo al elemento config-auth
Valor de tipo de nombre de atributo agregado hello al elemento config-auth
Valor de versión de nombre de elemento creado 9.0(2)8
Se agregó el valor de versión del nombre de elemento 9.0(2)8 a element config-auth
Nombre de atributo agregado que valora sg en la versión del elemento
Mensaje XML generado a continuación
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="hello">
<version who="sg">9.0(2)8</version>
</config-auth>

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Acción: Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_CHK_REDIRECT
IKEv2-PROTO-3: (6): comprobación de redirección con plataforma para el equilibrado de carga
IKEv2-PLAT-3: comprobación de redirección en la plataforma
IKEv2-PLAT-3: ikev2_osal_redirect: Sesión aceptada por 10.0.0.1
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_SEND_EAP_AUTH_REQ
IKEv2-PROTO-2: (6): Enviando solicitud EAP
IKEv2-PROTO-5: construir carga específica del proveedor: CISCO-GRANITEIKEv2-PROTO-3: (6): crear

El ASA envía la carga útil de AUTH para solicitar las credenciales de usuario del cliente. El ASA envía el método AUTH como 'RSA', de modo que envía su propio certificado al cliente, de modo que el cliente pueda autenticar el servidor ASA.

Dado que ASA está dispuesto a utilizar un método de autenticación extensible, coloca una carga útil EAP en el mensaje 4 y aplaza el envío de SAr2, TSi y TSr hasta que la autenticación del iniciador se completa en un intercambio IKE_AUTH posterior. Por lo tanto, esas tres cargas útiles no están presentes en las depuraciones.

El paquete EAP contiene:

1. Código: request - Este código es enviado por el autenticador al par.
2. id: 1 - El id ayuda a hacer coincidir las respuestas EAP con las solicitudes. Aquí el valor es 1, que indica que es el primer paquete en el intercambio EAP. Esta solicitud EAP tiene el tipo 'config-auth' de 'hello;' y se envía desde el ASA al cliente para iniciar el intercambio EAP.
3. Longitud: 150 - La longitud del paquete EAP incluye el código, la ID, la longitud y los datos EAP.
4. Datos EAP.

La fragmentación puede producirse si los certificados son grandes o si se incluyen cadenas de certificados. Tanto las cargas útiles de KE del iniciador como del respondedor también pueden incluir claves grandes, que también pueden contribuir a la fragmentación.

****************************************
Fecha: 23/04/13
Hora: 16:25:02
Tipo: Información
Fuente: acvpnagent

Descripción: Función: ikev2_verify_X509_SIG_certs
Archivo: .\ikev2_anyconnect_osal.cpp
Línea: 2077
Solicitando la aceptación del certificado del usuario
****************************************
Fecha: 23/04/13
Hora: 16:25:02
Tipo: Error
Fuente: acvpnui

Descripción: Función: CapCertificate::verifyChainPolicy
Archivo: .\Certificates\CapiCertificate.cpp
Línea: 2032
Función invocada: CertVerifyCertificateChainPolicy
Código de retorno: -2146762487 (0x800B0109)
Descripción: cadena de certificados procesada, pero terminada en un certificado raíz que no es de confianza para el proveedor de confianza.
****************************************
Fecha: 23/04/13
Hora: 16:25:04
Tipo: Información
Fuente: acvpnagent

Descripción: Función: CEAPMgr::dataRequestCB
Archivo: .\EAPMgr.cpp
Línea: 400
EAP tipo propuesto: EAP-ANYCONNECT
****************************************

El cliente responde a la solicitud EAP con una respuesta.

El paquete EAP contiene:

1. Código: response - Este código es enviado por el peer al autenticador en respuesta a la solicitud EAP.
2. id: 1 - El id ayuda a hacer coincidir las respuestas EAP con las solicitudes. Aquí el valor es 1, que indica que esta es una respuesta a la solicitud enviada previamente por el ASA (autenticador). Esta respuesta EAP tiene el tipo 'config-auth' de 'init'; el cliente está inicializando el intercambio EAP y está esperando que el ASA genere la solicitud de autenticación.
3. Length: 252 - La longitud del paquete EAP incluye el código, la ID, la longitud y los datos EAP.
4. Datos EAP.

El ASA descifra esta respuesta, y el cliente dice que ha recibido la carga útil de AUTH en el paquete anterior (con el certificado) y ha recibido el primer paquete de solicitud EAP del ASA. Esto es lo que contiene el paquete de respuesta EAP 'init'.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Siguiente carga: ENCR, versión: 2.0
IKEv2-PROTO-4: Tipo de intercambio: IKE_AUTH, indicadores: INICIADOR
IKEv2-PROTO-4: ID del mensaje: 0x2, longitud: 332
IKEv2-PROTO-5: (6): la solicitud tiene el id. de desorden 2; se espera del 2 al 2
REAL Paquete descifrado:Datos: 256 bytes
 EAP Carga útil siguiente: NINGUNA, reservada: 0x0, longitud: 256
    Código: respuesta: id: 1, longitud: 252
    Tipo: Desconocido - 254
Datos EAP:247 bytes

Paquete descifrado:Data&colon; 332 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Deteniendo el temporizador para esperar el mensaje de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_EAP_RESP

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP Evento: EV_PROC_MSG
IKEv2-PROTO-2: (6): Procesando respuesta EAP

Mensaje XML recibido del cliente a continuación
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="init">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<group-select>ASA-IKEV2</group-select>
<group-access>ASA-IKEV2</group-access>
</config-auth>
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_PROC_EAP_RESP Evento: EV_RECV_EAP_AUTH

IKEv2-PROTO-5: (6): Acción: Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_BLD_EAP_REQ Evento: EV_RECV_EAP_REQ

Esta es la segunda solicitud enviada por el ASA al cliente.

El paquete EAP contiene:

1. Código: request - Este código es enviado por el autenticador al par.
2. id: 2 - El id ayuda a hacer coincidir las respuestas EAP con las solicitudes. Aquí el valor es 2, lo que indica que es el segundo paquete del intercambio. Esta solicitud tiene el tipo 'config-auth' de 'auth-request'; el ASA solicita que el cliente envíe las credenciales de autenticación de usuario.
3. Length: 457 - La longitud del paquete EAP incluye el código, la ID, la longitud y los datos EAP.
4. Datos EAP.

carga útil ENCR:

Esta carga se descifra y su contenido se analiza como carga adicional.

IKEv2-PROTO-2: (6): Enviando solicitud EAP

Mensaje XML generado a continuación
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-request">
<version who="sg">9.0(2)8</version>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash>
</opaque>
<csport>443</csport>
<auth id="main">
<form>
<input type="text" name="username" label="Username:"></input>
<input type="password" name="password" label="Password:"></input>
</form>
</auth>
</config-auth>
IKEv2-PROTO-3: (6): Creación de paquetes para cifrado; el contenido es:
 EAP Carga útil siguiente: NINGUNA, reservada: 0x0, longitud: 461
    Código: solicitud: id: 2, longitud: 457
    Tipo: Desconocido - 254
Datos EAP: 452 bytes

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Siguiente carga: ENCR, versión: 2.0
IKEv2-PROTO-4: Tipo de intercambio: IKE_AUTH, indicadores: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID del mensaje: 0x2, longitud: 524
 ENCR Siguiente carga útil: EAP, reservado: 0x0, longitud: 496
Datos y dos puntos cifrados; 492 bytes

IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000002
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_BLD_EAP_REQ Evento: EV_START_TMR
IKEv2-PROTO-3: (6): Temporizador de inicio para esperar el mensaje de autenticación del usuario (120 s)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000002 CurState: R_WAIT_EAP_RESP Evento: EV_NO_EVENT   

El cliente solicita la autenticación de usuario y la envía al ASA como una respuesta EAP en el siguiente paquete ('auth-reply').

El cliente envía otro mensaje del iniciador IKE_AUTH con la carga útil EAP.

El paquete EAP contiene:

1. Código: response - Este código es enviado por el peer al autenticador en respuesta a la solicitud EAP.
2. id: 2 - El id ayuda a hacer coincidir las respuestas EAP con las solicitudes. Aquí el valor es 2, lo que indica que esta es una respuesta a la solicitud enviada previamente por el ASA (autenticador).
3. Length: 420 - La longitud del paquete EAP incluye el código, la ID, la longitud y los datos EAP.
4. Datos EAP.

ASA procesa esta respuesta. El cliente ha solicitado que el usuario introduzca las credenciales. Esta respuesta EAP tiene el tipo 'config-auth' de 'auth-reply.' Este paquete contiene las credenciales introducidas por el usuario.

Paquete descifrado:Datos: 492 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Deteniendo el temporizador para esperar el mensaje de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Evento: EV_PROC_MSG
IKEv2-PROTO-2: (6): Procesando respuesta EAP

Mensaje XML recibido del cliente a continuación
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-reply">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<session-token></session-token>
<session-id></session-id>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash></opaque>
<auth>
<password>cisco123</password>
<username>Anu</username></auth>
</config-auth>
IKEv2-PLAT-1: EAP:Autenticación de usuario iniciada
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Evento: EV_NO_EVENT
IKEv2-PLAT-5: EAP:devolución de llamada AAA
Resumen de certificados de servidor recuperado: DACE1C274785F28BA11D64453096BAE294A3172E
IKEv2-PLAT-5: EAP:éxito en la devolución de llamada AAA
IKEv2-PROTO-3: Respuesta recibida del autenticador
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Evento: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Acción: Action_Null

El ASA crea una tercera solicitud EAP en el intercambio.

El paquete EAP contiene:

1. Código: request - Este código es enviado por el autenticador al par.
2. id: 3 - El id ayuda a hacer coincidir las respuestas EAP con las solicitudes. Aquí el valor es 3, lo que indica que es el tercer paquete del intercambio. Este paquete tiene el tipo 'config-auth' de 'complete'; ASA ha recibido una respuesta y el intercambio EAP ha finalizado.
3. Length: 4235 - La longitud del paquete EAP incluye el código, el id, la longitud y los datos EAP.
4. Datos EAP.

carga útil ENCR:

Esta carga se descifra y su contenido se analiza como carga adicional.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Evento: EV_RECV_EAP_REQ
IKEv2-PROTO-2: (6): Enviando solicitud EAP

Mensaje XML generado a continuación
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="complete">
<version who="sg">9.0(2)8</version>
<session-id>32768</session-id>
<session-token>18wA0TtGmDxPKPQCJywC7fB7EWLCEgz-ZtjYpAyXx2yJH0H3G3H8t5xpBOx3Ixag</session-token>
<auth id="success">
<message id="0" param1=" param2=""></message>
</auth>

IKEv2-PROTO-3: (6): Creación de paquetes para cifrado; el contenido es:
 EAP Carga siguiente: NINGUNA, reservada: 0x0, longitud: 4239
    Código: solicitud: id: 3, longitud: 4235
    Tipo: Desconocido - 254
Datos EAP: 4230 bytes

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x3
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Siguiente carga: ENCR, versión: 2.0
IKEv2-PROTO-4: Tipo de intercambio: IKE_AUTH, indicadores: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID del mensaje: 0x3, longitud: 4300
 ENCR Siguiente carga útil: EAP, reservado: 0x0, longitud: 4272
Datos cifrados&dos puntos;4268 bytes

IKEv2-PROTO-5: (6): Fragmentación de paquetes, Fragmento MTU: 544, Número de fragmentos: 9, ID de fragmento: 2
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000003
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Evento: EV_START_TMR
IKEv2-PROTO-3: (6): Temporizador de inicio para esperar el mensaje de autenticación del usuario (120 s)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Evento: EV_NO_EVENT

El cliente envía el paquete iniciador con la carga útil EAP.

El paquete EAP contiene:

1. Código: response - Este código es enviado por el peer al autenticador en respuesta a la solicitud EAP.
2. id: 3 - El id ayuda a hacer coincidir las respuestas EAP con las solicitudes. Aquí el valor es 3, lo que indica que esta es una respuesta a la solicitud enviada previamente por el ASA (autenticador). El ASA ahora recibe el paquete de respuesta del cliente, que tiene el tipo 'config-auth' de 'ack'; esta respuesta reconoce el mensaje 'completo' de EAP enviado previamente por el ASA .
3. Length: 173 - La longitud del paquete EAP incluye el código, la ID, la longitud y los datos EAP.
4. Datos EAP.

El ASA procesa este paquete.
El intercambio de EAP se ha realizado correctamente. El ASA
se prepara para enviar el grupo de túnel
configuración en el paquete siguiente, que
ha sido solicitado previamente por el cliente en
la carga útil IDi. El ASA recibe el
paquete de respuesta del cliente, que
tiene el tipo 'config-auth' de 'ack'. Esto
respuesta reconoce el EAP
mensaje 'completo' enviado por el
ASA anteriormente.

Configuración relevante:

tunnel-group ASA-IKEV2 
 type remote-access
tunnel-group ASA-IKEV2 
 general-attributes
 address-pool webvpn1
 authorization-server-group 
 LOCAL default-group-policy 
  ASA-IKEV2
tunnel-group ASA-IKEV2
 webvpn-attributes
 group-alias ASA-IKEV2 
 enable

El intercambio EAP se ha realizado correctamente.

El paquete EAP contiene:

1. Código: success - Este código es
   enviado por el autenticador al
   peer después de la finalización de un EAP
   método de autentificación. Esto
   indica que el par tiene
   autenticado correctamente en el
   autenticador.
2. id: 3 - El id ayuda a encontrar
   Respuestas EAP con las solicitudes.
   Aquí el valor es 3, que
   indica que es una respuesta a
   la solicitud enviada previamente por el
   ASA (autenticador). El tercer conjunto
   de paquetes en el intercambio fue
   y el intercambio de EAP
   se ha realizado correctamente.
3. Longitud: 4 - Longitud del EAP
   paquete incluye el código, id,
   longitud y datos EAP.
4. Datos EAP.

Paquete descifrado:Datos:252 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Deteniendo el temporizador para esperar el mensaje de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Evento: EV_PROC_MSG
IKEv2-PROTO-2: (6): Procesando respuesta EAP

Mensaje XML recibido del cliente a continuación
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="ack">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
</config-auth>

IKEv2-PLAT-3: (6) aggrAuthHdl establecido en 0x2000
IKEv2-PLAT-3: (6) tg_name establecido en: ASA-IKEV2
IKEv2-PLAT-3: (6) tunn grp type establecido en: RA
IKEv2-PLAT-1: EAP:autenticación correcta
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Evento: EV_RECV_EAP_SUCCESS
IKEv2-PROTO-2: (6): enviando mensaje de estado EAP
IKEv2-PROTO-3: (6): Creación de paquetes para cifrado; el contenido es:
 EAP carga siguiente: NINGUNA, reservada: 0x0, longitud: 8
    Código: éxito: id: 3, longitud: 4

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x4
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Siguiente carga: ENCR, versión: 2.0
IKEv2-PROTO-4: Tipo de intercambio: IKE_AUTH, indicadores: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID del mensaje: 0x4, longitud: 76
 ENCR Carga útil siguiente: EAP, reservado: 0x0, longitud: 48
Datos cifrados&dos puntos;44 bytes

IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000004

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Evento: EV_START_TMR
IKEv2-PROTO-3: (6): Temporizador de inicio para esperar el mensaje de autenticación (30 s)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_AUTH_VERIFY Evento: EV_NO_EVENT

Cuando se especifica la autenticación EAP o
implicado por el perfil del cliente y el
el perfil no contiene el
<IKEIdentity>, el cliente envía
una carga útil ID_GROUP type IDi con
la cadena fija *$AnyConnectClient$*.

ASA procesa este mensaje.

Configuración relevante:

crypto dynamic-map dynmap 1000 
 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 
 ipsec-isakmp dynamic dynmap
crypto map crymap interface 
 outside

Paquete descifrado:Datos: 92 bytes
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_WAIT_EAP_AUTH_VERIFY Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): Deteniendo el temporizador para esperar el mensaje de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_GET_EAP_KEY
IKEv2-PROTO-2: (6): Enviar AUTH, para verificar el peer después del intercambio EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_VERIFY_AUTH
IKEv2-PROTO-3: (6): Verificar datos de autenticación
IKEv2-PROTO-3: (6): Use la clave previamente compartida para id *$AnyConnectClient$*, key len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_GET_CONFIG_MODE
IKEv2-PLAT-3: respuesta de modo de configuración en cola
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_NO_EVENT
IKEv2-PLAT-3: PSH: client=AnyConnect client-version=3.0.1047 client-os=Windows client-os-version=
IKEv2-PLAT-3: respuesta de modo de configuración completada
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_OK_GET_CONFIG
IKEv2-PROTO-3: (6): tener datos de modo de configuración para enviar
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_CHK4_IC
IKEv2-PROTO-3: (6): procesando contacto inicial
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_CHK_REDIRECT
IKEv2-PROTO-5: (6): ya se ha realizado la comprobación de redirección para esta sesión, omitiéndola
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_PROC_SA_TS
IKEv2-PROTO-2: (6): procesando mensaje de autenticación
IKEv2-PLAT-1: Crypto Map: Map dynmap seq 1000. Selector ajustado mediante IP asignada
IKEv2-PLAT-3: Crypto Map: match on dynamic map dynmap seq 1000
IKEv2-PLAT-3: PFS deshabilitado para la conexión RA
IKEv2-PROTO-3: (6):
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_NO_EVENT
IKEv2-PLAT-2: devolución de llamada PFKEY SPI recibida para SPI 0x30B848A4, error FALSE
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_OK_RECD_IPSEC_RESP

IKEv2-PROTO-2: (6): procesando mensaje de autenticación

ASA genera el mensaje de respuesta IKE_AUTH con las cargas útiles SA, TSi y TSr.

El paquete del respondedor IKE_AUTH contiene:

1. Encabezado ISAKMP: SPI/version/flags.
2. AUTH payload: con el método de autenticación elegido.
3. CFG - CFG_REQUEST/ CFG_REPLY permite que un terminal IKE solicite información de su peer. Si un atributo de la carga útil de configuración CFG_REQUEST no es de longitud cero, se toma como sugerencia para ese atributo. La carga útil de configuración CFG_REPLY puede devolver ese valor o uno nuevo. También puede agregar nuevos atributos y no incluir algunos solicitados. Los solicitantes omiten los atributos devueltos que no reconocen. ASA responde al cliente con los atributos de configuración de túnel en el paquete CFG_REPLY.
4. SAr2: SAr2 inicia la SA, que es similar al intercambio de conjunto de transformación de fase 2 en IKEv1.
5. TSi y TSr: los selectores de tráfico de iniciador y de respondedor contienen, respectivamente, la dirección de origen y de destino del iniciador y del respondedor para reenviar y recibir tráfico cifrado. El rango de direcciones especifica que todo el tráfico hacia y desde ese rango se tuneliza. Si la propuesta es aceptable para el respondedor, devuelve cargas útiles de TS idénticas.

carga útil ENCR:

Esta carga se descifra y su contenido se analiza como carga adicional.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_MY_AUTH_METHOD
IKEv2-PROTO-3: (6): Obtener mi método de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_GET_PRESHR_KEY
IKEv2-PROTO-3: (6): Obtenga la clave previamente compartida del mismo nivel para *$AnyConnectClient$*
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Generar mis datos de autenticación
IKEv2-PROTO-3: (6): Use la clave previamente compartida para id hostname=ASA-IKEV2, key len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_CHK4_SIGN
IKEv2-PROTO-3: (6) Obtener mi método de autenticación
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_AUTH Evento: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_EAP_AUTH_VERIFY Evento: EV_GEN_AUTH
IKEv2-PROTO-3: (6): Generar mis datos de autenticación
IKEv2-PROTO-3: (6): Use la clave previamente compartida para id hostname=ASA-IKEV2, key len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_BLD_EAP_AUTH_VERIFY Evento: EV_SEND_AUTH
IKEv2-PROTO-2: (6): Enviar AUTH, para verificar el peer después del intercambio EAP
IKEv2-PROTO-3: Propuesta ESP: 1, tamaño SPI: 4 (negociación IPSec),
Número de transformaciones: 3
   AES-CBC SHA96   
IKEv2-PROTO-5: Construct Notify Payload: ESP_TFC_NO_SUPPORTIKEv2-PROTO-5: Construct Notify Payload: NON_FIRST_FRAGSIKEv2-PROTO-3: (6): Creación de paquetes para cifrado; los contenidos son:
 AUTH Siguiente carga: CFG, reservado: 0x0, longitud: 28
    Método de autenticación PSK, reservado: 0x0, reservado 0x0
Datos de autenticación&dos puntos; 20 bytes
 CFG Siguiente carga: SA, reservado: 0x0, longitud: 4196
    tipo cfg: CFG_REPLY, reservado: 0x0, reservado: 0x0

   tipo de atributo: dirección IP4 interna, longitud: 4

     01 01 01 01
   tipo de atributo: máscara de red IP4 interna, longitud: 4

     00 00 00 00
   tipo de atributo: vencimiento de la dirección interna, longitud: 4

     00 00 00 00
   tipo de atributo: versión de la aplicación, longitud: 16

     41 53 41 20 31 30 30 2e 37 28 36 29 31 31 36 00
   Tipo de atributo: Desconocido - 28704, longitud: 4

     00 00 00 00
   Tipo de atributo: Desconocido - 28705, longitud: 4

     00 00 07 08
   Tipo de atributo: Desconocido - 28706, longitud: 4

     00 00 07 08
   Tipo de atributo: Desconocido - 28707, longitud: 1

     01
   Tipo de atributo: Desconocido - 28709, longitud: 4

     00 00 00 1e
   Tipo de atributo: Desconocido - 28710, longitud: 4

     00 00 00 14
   Tipo de atributo: Desconocido - 28684, longitud: 1

     01
   Tipo de atributo: Desconocido - 28711, longitud: 2

     05 7 sexies
   Tipo de atributo: Desconocido - 28679, longitud: 1

     00
   Tipo de atributo: Desconocido - 28683, longitud: 4

     80 00 01
   Tipo de atributo: Desconocido - 28725, longitud: 1

     00
   Tipo de atributo: Desconocido - 28726, longitud: 1

     00
   Tipo de atributo: Desconocido - 28727, longitud: 4056

     3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 22 31
     2e 30 22 20 65 6e 63 6f 64 69 6e 67 3d 22 55 54
     46 2d 38 22 3f 3e 3c 63 6f 6e 66 69 67 2d 61 75
     74 68 20 63 6c 69 65 6e 74 3d 22 76 70 6e 22 20
     74 79 70 65 3d 22 63 6f 6d 70 6c 65 74 65 22 3e
     3c 76 65 72 73 69 6f 6e 20 77 68 6f 3d 22 73 67
     22 3e 31 30 30 2e 37 28 36 29 31 31 36 3c 2f 76
     65 72 73 69 6f 6e 3e 3c 73 65 73 73 69 6f 6e 2d
     69 64 3e 38 31 39 32 3c 2f 73 65 73 73 69 6f 6e
<snip>
     72 6f 66 69 6c 65 2d 6d 61 6e 69 66 65 73 74 3e
     3c 2f 63 6f 6e 66 69 67 3e 3c 2f 63 6f 6e 66 69
     67 2d 61 75 74 68 3e 00
   Tipo de atributo: Desconocido - 28729, longitud: 1

     00
 SA Siguiente carga útil: TSi, reservado: 0x0, longitud: 44
IKEv2-PROTO-4: última propuesta: 0x0, reservado: 0x0, longitud: 40
  Propuesta: 1, ID de protocolo: ESP, tamaño de SPI: 4, #trans: 3
IKEv2-PROTO-4: última transformación: 0x3, reservado: 0x0: longitud: 12
    tipo: 1, reservado: 0x0, id: AES-CBC
IKEv2-PROTO-4: última transformación: 0x3, reservado: 0x0: longitud: 8
    tipo: 3, reservado: 0x0, id: SHA96
IKEv2-PROTO-4: última transformación: 0x0, reservado: 0x0: longitud: 8
    tipo: 5, reservado: 0x0, id:

 TSi Siguiente carga útil: TSr, reservado: 0x0, longitud: 24
    Número de TS: 1, reservado 0x0, reservado 0x0
    Tipo de TS: TS_IPV4_ADDR_RANGE, id de proto: 0, longitud: 16
    puerto inicial: 0, puerto final: 65535
    dirección inicial: 10.2.2.1, dirección final: 10.2.2.1
 TSr Siguiente carga útil: NOTIFICAR, reservado: 0x0, longitud: 24
    Número de TS: 1, reservado 0x0, reservado 0x0
    Tipo de TS: TS_IPV4_ADDR_RANGE, id de proto: 0, longitud: 16
    puerto inicial: 0, puerto final: 65535
    dirección inicial: 0.0.0.0, dirección final: 255.255.255.255

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Siguiente carga: ENCR, versión: 2.0
IKEv2-PROTO-4: Tipo de intercambio: IKE_AUTH, indicadores: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID del mensaje: 0x5, longitud: 4396
 ENCR Siguiente carga útil: AUTH, reservado: 0x0, longitud: 4368
Datos y dos puntos cifrados; 4364 bytes

****************************************
Fecha: 23/04/13
Hora: 16:25:07
Tipo: Información
Fuente: acvpndownloader

Descripción: Función: ProfileMgr::loadProfiles
Archivo: ..\Api\ProfileMgr.cpp
Línea: 148
Perfiles cargados
C:\Documents and Settings\All Users\Application Data\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\anyconnect-ikev2.xml
****************************************
****************************************
Fecha: 23/04/13
Hora: 16:25:07
Tipo: Información
Fuente: acvpndownloader

Descripción: Configuración de preferencias actual:
ServiceDisable: false
CertificateStoreOverride: falso
Almacén de certificados: todos
ShowPreConnectMessage: false
AutoConnectOnStart: false
MinimizeOnConnect: true
LocalLanAccess: false
AutoReconnect: true
AutoReconnectBehavior: DisconnectOnSuspend
UseStartBeforeLogon: false
AutoUpdate: true
RSASecurIDIntegration: Automático
AplicaciónInicioSesiónWindows: InicioSesiónLocalÚnico
WindowsVPNEstablishment: LocalUsersOnly
Configuración de proxy: nativa
AllowLocalProxyConnections: true
ExclusiónPPE: Desactivar
PPExclusionServerIP:
AutomaticVPNPolicy: false
DirectivaDeRedDeConfianza: Desconectar
PolíticaDeRedNoConfiable: Conectar
DominiosDNSfiables:
ServidoresDNS de confianza:
AlwaysOn: false
ConnectFailurePolicy: Cerrada
AllowCaptivePortalRemediation: false
TiempoDeEsperaDeRemediaciónDePortalCautivo: 5
ApplyLastVPNLocalResourceRules: false
AllowVPNDisconnect: true
EnableScripting: false
TerminateScriptOnNextEvent: false
EnablePostSBLOnConnectScript: true
AutomaticCertSelection: true
RetainVpnOnLogoff: false
AplicaciónUsuario: SameUserOnly
EnableAutomaticServerSelection: false
AutoServerSelectionMejora: 20
AutoServerSelectionSuspendTime: 4
Límite de tiempo de autenticación: 12
SafeWordSofTokenIntegration: false
AllowIPsecOverSSL: false
ClearSmartcardPin: true
****************************************
Fecha: 23/04/13
Hora: 16:25:07
Tipo: Información
Fuente: acvpnui

Descripción: información de tipo de mensaje enviada al usuario:
Estableciendo VPN: examinando el sistema...
****************************************
Fecha: 23/04/13
Hora: 16:25:07
Tipo: Información
Fuente: acvpnui

Descripción: información de tipo de mensaje enviada al usuario:
Estableciendo VPN: activando el adaptador VPN...
****************************************
Fecha: 23/04/13
Hora: 16:25:07
Tipo: Información
Fuente: acvpnagent

Descripción: Función: CVirtualAdapter::DoRegistryRepair
Archivo: .\WindowsVirtualAdapter.cpp
Línea: 1869
Clave de control de VA encontrada: SYSTEM\CurrentControlSet\ENUM\ROOT\NET\0000\Control

****************************************
Fecha: 23/04/13
Hora: 16:25:07
Tipo: Información
Fuente: acvpnagent

Descripción: Se ha detectado una nueva interfaz de red.
****************************************
Fecha: 23/04/13
Hora: 16:25:07
Tipo: Información
Fuente: acvpnagent

Descripción: Función: CRouteMgr::logInterfaces
Archivo: .\RouteMgr.cpp
Línea: 2076
Función invocada: logInterfaces
Código de devolución: 0 (0x00000000)
Descripción: Lista de interfaz de direcciones IP:
10.2.2.1
192.168.1.1
****************************************
Fecha: 23/04/13
Hora: 16:25:08
Tipo: Información
Fuente: acvpnagent

Descripción: Configuración de host:
 Dirección pública: 192.168.1.1
 Máscara pública: 255.255.255.0
 Dirección privada: 10.2.2.1
 Máscara privada: 255.0.0.0
 Dirección IPv6 privada: N/D
 Máscara IPv6 privada: N/D
 Puntos remotos: 10.0.0.1 (puerto TCP 443, puerto UDP 500), 10.0.0.1 (puerto UDP 4500)
 Redes privadas: ninguna
 Redes públicas: ninguna
 Modo de túnel: sí
****************************************

La conexión se introduce en la base de datos de Security Association (SA) y el estado es REGISTERED (REGISTRADA). El ASA también realiza algunas comprobaciones como estadísticas de Common Access Card (CAC), presencia de SA duplicadas y establece valores como detección de puntos inactivos (DPD), etc.