Debug di ASA IKEv2 per la risoluzione dei problemi della VPN di accesso remoto

Descrizione messaggio server

Debug

Descrizione messaggio client

Data : 23/04/2013
Ora : 16.24.55
Tipo: informazioni
Fonte: acvpnui

Descrizione : Funzione: ClientIfcBase::connect
File: .\ClientIfcBase.cpp
Linea: 964
È stata richiesta una connessione VPN ad Anu-IKEV2.

**********************************
Data : 23/04/2013
Ora : 16.24.55
Tipo: informazioni
Fonte: acvpnui

Descrizione : Informazioni sul tipo di messaggio inviate all'utente:
Contattare Anu-IKEV2.
**********************************
Data : 23/04/2013
Ora : 16.24.55
Tipo: informazioni
Fonte: acvpnui

Descrizione : Funzione: ApiCert::getCertList
File: .\ApiCert.cpp
Linea: 259
Numero di certificati trovati: 0
**********************************
Data : 23/04/2013
Ora : 16.25.00
Tipo: informazioni
Fonte: acvpnui

Descrizione: avvio della connessione VPN al gateway sicuro https://10.0.0.1/ASA-IKEV2
**********************************
Data : 23/04/2013
Ora : 16.25.00
Tipo: informazioni
Origine : acvpnagent

Descrizione : Tunnel avviato dal client GUI.

**********************************

Data : 23/04/2013
Ora: 16.25.02
Tipo: informazioni
Origine : acvpnagent

Descrizione : Funzione: CIPsecProtocol::connectTransport
File: .\IPsecProtocol.cpp
Linea: 1629
Socket IKE aperto da 192.168.1.1:25170 a 10.0.0.1:500
**********************************

L'appliance ASA riceve il messaggio IKE_SA_INIT dal client.

IKEv2-PLAT-4: RECV PKT [IKE_SA_INIT] [192.168.1.1]:25170->[10.0.0.1]:500 InitSPI=0x58aff71141ba436b RespSPI=0x0000000000000000 MID=000 00000

IKEv2-PROTO-3: Rx [L 10.0.0.1:500/R 192.168.1.1:25170/VRF i0:f0] m_id: 0x0

La prima coppia di messaggi è lo scambio IKE_SA_INIT. Questi messaggi negoziano algoritmi di crittografia, scambiano nonce ed eseguono uno scambio Diffie-Hellman (DH).

Il messaggio IKE_SA_INIT ricevuto dal client contiene i seguenti campi:

1. Intestazione ISAKMP - SPI/versione/flag.
2. SAi1 - Algoritmo di crittografia supportato dall'iniziatore IKE.
3. KEi - Valore della chiave pubblica DH dell'iniziatore.
4. N - Iniziatore Nonce.

L'ASA verifica ed elabora
Messaggio IKE_INIT. L'appliance ASA:

1. Seleziona la suite di crittografia da
   quelli offerti dal promotore.
2. Calcola la propria chiave segreta DH.
3. Calcola un valore SKEYID da
   per cui è possibile derivare tutte le chiavi
   questo IKE_SA. Le intestazioni di tutti
   i messaggi successivi sono
   crittografati e autenticati. OSPF (Open Shortest Path First)
   chiavi utilizzate per la crittografia e
   protezione dell'integrità derivata
   da SKEYID e sono noti come:
   
   
   1. SK_e - Crittografia.
   2. SK_a - Autenticazione.
   3. SK_d - Derivato e utilizzato
      per derivare ulteriori
      materiale per le chiavi
      SA_FIGLIO.
   SK_e e SK_a separati sono
   per ogni direzione.

Configurazione pertinente:

crypto ikev2 policy 10
 encryption aes-192 integrity 
 sha group 2  prf sha lifetime 
 seconds 86400
crypto ikev2 enable outside

L'ASA costruisce il messaggio di risposta per lo scambio IKE_SA_INIT.

Il pacchetto contiene:

1. Intestazione ISAKMP - SPI/versione/flag.
2. SAr1 - Algoritmo di crittografia scelto dal risponditore IKE.
3. KEr - Valore della chiave pubblica DH del risponditore.
4. N - Risposta Nonce.

Nel client il tunnel IPSec viene indicato come 'inizializzazione in corso'.

Data : 23/04/2013
Ora: 16.25.02
Tipo: informazioni
Origine : acvpnagent

Descrizione : Funzione: ikev2_log
File: .\ikev2_anyconnect_osal.cpp
Linea: 2730
Ricevuta richiesta di stabilire un tunnel IPsec; selettore traffico locale = Intervallo indirizzi: 0.0.0-255.255.255.255 Protocollo: 0 Intervallo porte: 0-65535 ; selettore traffico remoto = Intervallo indirizzi: 0.0.0-255.255.255.255 Protocollo: 0 Intervallo porte: 0-65535
**********************************
Data : 23/04/2013
Ora: 16.25.02
Tipo: informazioni
Origine : acvpnagent

Descrizione : Funzione: CIPsecProtocol::connectTransport
File: .\IPsecProtocol.cpp
Linea: 1629
Socket IKE aperto da 192.168.1.1:25171 a 10.0.0.1:4500
**********************************

L'autenticazione viene eseguita con EAP. In una conversazione EAP è consentito un solo metodo di autenticazione EAP. L'appliance ASA riceve il messaggio IKE_AUTH dal client.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000000000000 0001

IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x1

Quando il client include un payload IDi
ma non un payload AUTH, indica
il client ha dichiarato un'identità ma
non provarlo. Nei debug, l'opzione AUTH
payload non presente in IKE_AUTH
pacchetto inviato dal client. Il cliente
invia il payload AUTH solo dopo
Scambio EAP riuscito. Se l'appliance
è disposto a utilizzare un'estensione
metodo di autenticazione, inserisce un EAP
payload nel messaggio 4 e rinvia l'invio
SAr2, TSi e TSr fino all'iniziatore
autenticazione completata in un
successivo scambio IKE_AUTH.

Il pacchetto dell'iniziatore IKE_AUTH contiene:

1. Intestazione ISAKMP -
   SPI/versione/flag.
2. IDi - Nome del gruppo di tunnel che
   il client desidera connettersi a
   può essere recapitato dall'IDi
   payload di tipo ID_KEY_ID in
   il messaggio iniziale del
   Scambio IKE_AUTH. Questo
   si verifica quando il profilo client* è
   preconfigurato con un nome di gruppo
   o, dopo un precedente esito positivo
   l'autenticazione, il client
   il nome del gruppo è stato memorizzato nella cache
   Preferences. L'appliance ASA
   cerca di trovare una corrispondenza con un gruppo di tunnel
   nome con il contenuto di IKE
   Payload IDi. Dopo la prima
   la VPN IPSec riuscita è
   stabilito, il client memorizza nella cache
   nome gruppo (alias gruppo) a cui
   l'utente è autenticato. Questo gruppo
   viene recapitato nell'IDi
   payload della connessione successiva
   tentare di indicare la
   gruppo probabile desiderato dal
   utente. Quando l'autenticazione EAP è
   specificato o implicito dal client
   profilo e il profilo non
   contengono la <IKEIdentity>
   , il client invia un
   Payload ID_GROUP di tipo IDi
   con la stringa fissa
   *$AnyConnectClient$*.
   
3. CERTREQ - Il client
   richiesta di un'appliance ASA
   certificato preferito. Certificato
   è possibile includere i payload della richiesta
   in uno scambio quando il mittente
   è necessario ottenere il certificato del
   ricevitore. La richiesta di certificato
   payload elaborato da
   ispezione della 'Codifica certificato'
   per determinare
   se il processore dispone
   certificati di questo tipo. In caso affermativo, la
   Campo 'Autorità di certificazione' è
   ispezionati per determinare se
   il processore dispone di certificati
   che possono essere convalidati fino a uno dei
   la certificazione specificata
   autorità competenti. Può trattarsi di una catena
   certificati.
   
4. CFG - RICHIESTA_CFG/
   CFG_REPLY consente un IKE
   endpoint per richiedere informazioni
   dall'altro. Se un attributo in
   Configurazione CFG_REQUEST
   payload non di lunghezza zero, è
   considerato un suggerimento al riguardo
   attributo.CFG_REPLY
   il payload di configurazione può restituire
   o un nuovo valore. Può essere
   aggiungi anche nuovi attributi e non
   includerne alcuni richiesti.
   Richiedenti che ignorano i risultati restituiti
   attributi che non sono
   riconoscere. In questi debug, il
   il client richiede il tunnel
   configurazione in
   RICHIESTA_CFG. L'appliance ASA
   risponde e invia il tunnel
   solo dopo
   lo scambio EAP è riuscito.
   
5. SAi2 - SAi2 avvia l'associazione di protezione,
   simile alla fase 2
   scambio set di trasformazioni in IKEv1.
   
6. TSi e TSr - Iniziatore e
   risponditore, selettori traffico
   contengono, rispettivamente, l'origine
   e indirizzo di destinazione del
   iniziatore e risponditore per
   inoltro e ricezione crittografati
   traffico. Intervallo di indirizzi
   specifica che tutto il traffico da e verso
   l'intervallo è tunneling. Se il
   proposta è accettabile per la
   risponditore, invia un TS identico
   di ritorno.

Attributi che il client deve fornire per
l'autenticazione di gruppo è archiviata in un
File del profilo AnyConnect.

*Configurazione del profilo pertinente:

<ServerList>
<HostEntry>
  <HostName>Anu-IKEV2
  </HostName>
  <HostAddress>10.0.0.1
  </HostAddress>
  
         
         
           ASA-IKEV2 
          
 
         
<PrimaryProtocol>IPsec
</PrimaryProtocol>
</HostEntry>
</ServerList>

L'appliance ASA genera una risposta al messaggio IKE_AUTH e si prepara ad autenticarsi sul client.

Pacchetto decriptato:dati&colon; 540 byte
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_WAIT_AUTH Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): arresto del timer in attesa del messaggio di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_WAIT_AUTH Evento: EV_CHK_NAT_T
IKEv2-PROTO-3: (6): verificare il rilevamento NAT
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000001 CurState: R_WAIT_AUTH Evento: EV_CHG_NAT_T_PORT
IKEv2-PROTO-2: (6): rilevato da NAT alla porta iniziale 25171, porta Resp 4500
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_WAIT_AUTH Evento: EV_PROC_ID
IKEv2-PROTO-2: (6): ricevuti parametri validi nell'ID processo
IKEv2-PLAT-3: (6) metodo di autenticazione peer impostato su: 0
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000001 CurState: R_WAIT_AUTH Evento: EV_CHK_IF_PEER_CERT_NEEDS_TO_BE_FETCHED_FOR_PROF_SEL
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_WAIT_AUTH Evento: EV_GET_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): Recupero dei criteri configurati
IKEv2-PLAT-3: nuova connessione client AnyConnect rilevata in base al payload ID
IKEv2-PLAT-3: metodo_auth = 1
IKEv2-PLAT-3: (6) metodo di autenticazione peer impostato su: 256
IKEv2-PLAT-3: supported_peers_auth_method = 16
IKEv2-PLAT-3: (6) nome_tp impostato su: Anu-ikev2
IKEv2-PLAT-3: trust point impostato su: Anu-ikev2
IKEv2-PLAT-3: ID P1 = 0
IKEv2-PLAT-3: conversione da IKE_ID_AUTO a = 9
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_WAIT_AUTH Evento: EV_SET_POLICY
IKEv2-PROTO-3: (6): impostazione dei criteri configurati
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000001 CurState: R_WAIT_AUTH Evento: EV_VERIFY_POLICY_BY_PEERID
IKEv2-PROTO-3: (6): verifica del criterio del peer
IKEv2-PROTO-3: (6): trovato certificato corrispondente
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_WAIT_AUTH Evento: EV_CHK_CONFIG_MODE
IKEv2-PROTO-3: (6): ricevuti dati validi in modalità di configurazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_WAIT_AUTH Evento: EV_SET_RECD_CONFIG_MODE
IKEv2-PLAT-3: (6) Il nome host DHCP per DNS è impostato su: winxp64template
IKEv2-PROTO-3: (6): impostazione dati modalità di configurazione ricevuti
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_WAIT_AUTH Evento: EV_CHK_AUTH4EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_WAIT_AUTH Evento: EV_CHK_EAP
IKEv2-PROTO-3: (6): verifica dello scambio EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_BLD_AUTH Evento: EV_GEN_AUTH
IKEv2-PROTO-3: (6): generazione dati di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_AUTH Evento: EV_CHK4_SIGN
IKEv2-PROTO-3: (6): Ottieni il metodo di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000001 CurState: R_BLD_AUTH Evento: EV_SIGN
IKEv2-PROTO-3: (6): firma dati di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 Stato corrente: R_BLD_AUTH Evento: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_AUTHEN_REQ
IKEv2-PROTO-2: (6): richiesta all'autenticatore di inviare la richiesta EAP

Valore config-auth nome elemento creato
VPN valore client nome attributo aggiunto all'elemento config-auth
È stato aggiunto il valore hello del nome attributo all'elemento config-auth
Nome elemento creato valore versione 9.0(2)8
Aggiunto il valore della versione del nome dell'elemento 9.0(2)8 all'elemento config-auth
Aggiunto nome attributo who value sg a versione elemento
Messaggio XML generato di seguito
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="hello">
<version who="sg">9.0(2)8</version>
</config-auth>

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Azione: Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_CHK_REDIRECT
IKEv2-PROTO-3: (6): controllo di reindirizzamento con la piattaforma per il bilanciamento del carico
IKEv2-PLAT-3: controllo reindirizzamento sulla piattaforma
IKEv2-PLAT-3: ikev2_osal_redirect: sessione accettata da 10.0.0.1
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000001 CurState: R_BLD_EAP_AUTH_REQ Evento: EV_SEND_EAP_AUTH_REQ
IKEv2-PROTO-2: (6): invio richiesta EAP
IKEv2-PROTO-5: creazione payload specifico del fornitore: CISCO-GRANITEIKEv2-PROTO-3: (6): creazione

L'ASA invia il payload AUTH per richiedere le credenziali utente al client. L'ASA invia il metodo AUTH come 'RSA', quindi invia il proprio certificato al client, in modo che possa autenticare il server ASA.

Poiché l'ASA è disposta a utilizzare un metodo di autenticazione estensibile, inserisce un payload EAP nel messaggio 4 e rinvia l'invio di SAr2, TSi e TSr fino al completamento dell'autenticazione dell'iniziatore in un successivo scambio IKE_AUTH. Pertanto, questi tre payload non sono presenti nei debug.

Il pacchetto EAP contiene:

1. Codice: richiesta - Questo codice viene inviato dall'autenticatore al peer.
2. ID: 1 - L'ID consente di far corrispondere le risposte EAP alle richieste. Qui il valore è 1, che indica che si tratta del primo pacchetto nello scambio EAP. Questa richiesta EAP è di tipo 'config-auth' e viene inviata dall'ASA al client per avviare lo scambio EAP.
3. Lunghezza: 150 - La lunghezza del pacchetto EAP include i dati relativi a codice, ID, lunghezza e EAP.
4. dati EAP.

La frammentazione può verificarsi se i certificati sono di grandi dimensioni o se sono incluse catene di certificati. I payload KE dell'iniziatore e del risponditore possono includere anche chiavi grandi, che possono contribuire alla frammentazione.

**********************************
Data : 23/04/2013
Ora: 16.25.02
Tipo: informazioni
Origine : acvpnagent

Descrizione: Function: ikev2_verify_X509_SIG_certs
File: .\ikev2_anyconnect_osal.cpp
Linea: 2077
Richiesta di accettazione del certificato da parte dell'utente
**********************************
Data : 23/04/2013
Ora: 16.25.02
Tipo: errore
Fonte: acvpnui

Descrizione : Funzione: CCapiCertificate::verifyChainPolicy
File: .\Certificates\CapiCertificate.cpp
Riga: 2032
Funzione richiamata: CertVerifyCertificateChainPolicy
Codice restituito: -2146762487 (0x800B0109)
Descrizione: catena di certificati elaborata, ma terminata in un certificato radice non considerato attendibile dal provider di attendibilità.
**********************************
Data : 23/04/2013
Ora : 16.25.04
Tipo: informazioni
Origine : acvpnagent

Descrizione : Funzione: CEAPMgr::dataRequestCB
File: .\EAPMgr.cpp
Linea: 400
Tipo proposto da EAP: EAP-ANYCONNECT
**********************************

Il client risponde alla richiesta EAP con una risposta.

Il pacchetto EAP contiene:

1. Codice: risposta - Questo codice viene inviato dal peer all'autenticatore in risposta alla richiesta EAP.
2. ID: 1 - L'ID consente di far corrispondere le risposte EAP alle richieste. Il valore è 1, ossia la risposta alla richiesta inviata in precedenza dall'ASA (autenticatore). La risposta EAP è di tipo 'config-auth' 'init'. Il client sta inizializzando lo scambio EAP ed è in attesa che l'ASA generi la richiesta di autenticazione.
3. Lunghezza: 252 - La lunghezza del pacchetto EAP include i dati relativi a codice, ID, lunghezza e EAP.
4. dati EAP.

L'ASA decrittografa questa risposta e il client segnala di aver ricevuto il payload AUTH nel pacchetto precedente (con il certificato) e di aver ricevuto il primo pacchetto di richiesta EAP dall'ASA. Contenuto del pacchetto di risposta EAP 'init'.

IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.1.1]:25171->[10.0.0.1]:4500 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=0000 002
IKEv2-PROTO-3: Rx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload successivo: ENCR, versione: 2.0
IKEv2-PROTO-4: tipo di scambio: IKE_AUTH, flag: INITIATOR
IKEv2-PROTO-4: ID messaggio: 0x2, lunghezza: 332
IKEv2-PROTO-5: (6): la richiesta ha valore mess_id 2; sono previsti da 2 a 2
Pacchetto decriptato REAL:Dati: 256 byte
 EAP Payload successivo: NONE, riservato: 0x0, lunghezza: 256
    Codice: risposta: ID: 1, lunghezza: 252
    Tipo: sconosciuto - 254
Dati EAP:247 byte

Pacchetto decriptato:dati&colon; 332 byte
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000002 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): arresto del timer in attesa del messaggio di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000002 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_EAP_RESP

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000002 CurState: R_PROC_EAP_RESP Evento: EV_PROC_MSG
IKEv2-PROTO-2: (6): elaborazione della risposta EAP

Messaggio XML ricevuto dal client
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="init">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<group-select>ASA-IKEV2</group-select>
<group-access>ASA-IKEV2</group-access>
</config-auth>
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000002 CurState: R_PROC_EAP_RESP Evento: EV_RECV_EAP_AUTH

IKEv2-PROTO-5: (6): Azione: Action_Null
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000002 CurState: R_BLD_EAP_REQ Evento: EV_RECV_EAP_REQ

Questa è la seconda richiesta inviata dall'ASA al client.

Il pacchetto EAP contiene:

1. Codice: richiesta - Questo codice viene inviato dall'autenticatore al peer.
2. ID: 2 - L'ID consente di far corrispondere le risposte EAP alle richieste. Qui il valore è 2, che indica che si tratta del secondo pacchetto nello scambio. Il tipo 'config-auth' di questa richiesta è 'auth-request'; l'ASA richiede che il client invii le credenziali di autenticazione dell'utente.
3. Lunghezza: 457 - La lunghezza del pacchetto EAP include i dati relativi a codice, ID, lunghezza e EAP.
4. dati EAP.

Payload ENCR:

Il payload viene decrittografato e il relativo contenuto viene analizzato come payload aggiuntivi.

IKEv2-PROTO-2: (6): invio richiesta EAP

Messaggio XML generato di seguito
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-request">
<version who="sg">9.0(2)8</version>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash>
</opaco>
<csport>443</csport>
<auth id="main">
<modulo>
<input type="text" name="username" label="Username:"></input>
<input type="password" name="password" label="Password:"></input>
</form>
</auth>
</config-auth>
IKEv2-PROTO-3: (6): creazione del pacchetto per la crittografia. Contenuti:
 EAP Payload successivo: NONE, riservato: 0x0, lunghezza: 461
    Codice: richiesta: id: 2, lunghezza: 457
    Tipo: sconosciuto - 254
Dati EAP: 452 byte

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x2
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload successivo: ENCR, versione: 2.0
IKEv2-PROTO-4: tipo di scambio: IKE_AUTH, flag: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID messaggio: 0x2, lunghezza: 524
 ENCR Payload successivo: EAP, riservato: 0x0, lunghezza: 496
&Dati crittografati: due punti; 492 byte

IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000 02
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000002 CurState: R_BLD_EAP_REQ Evento: EV_START_TMR.
IKEv2-PROTO-3: (6): avvio del timer in attesa del messaggio di autenticazione utente (120 sec)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000002 CurState: R_WAIT_EAP_RESP Evento: EV_NO_EVENT   

Il client richiede l'autenticazione dell'utente e la invia all'ASA come risposta EAP nel pacchetto successivo ('auth-reply').

Il client invia un altro messaggio dell'iniziatore IKE_AUTH con il payload EAP.

Il pacchetto EAP contiene:

1. Codice: risposta - Questo codice viene inviato dal peer all'autenticatore in risposta alla richiesta EAP.
2. ID: 2 - L'ID consente di far corrispondere le risposte EAP alle richieste. Il valore è 2, ossia la risposta alla richiesta inviata in precedenza dall'ASA (autenticatore).
3. Lunghezza: 420 - La lunghezza del pacchetto EAP include i dati relativi a codice, ID, lunghezza e EAP.
4. dati EAP.

L'appliance ASA elabora questa risposta. L'utente ha richiesto l'immissione delle credenziali. Il tipo 'config-auth' di questa risposta EAP è 'auth-reply'. Il pacchetto contiene le credenziali immesse dall'utente.

Pacchetto decrittografato:dati: 492 byte
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000003 Stato corrente: R_WAIT_EAP_RESP Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): arresto del timer in attesa del messaggio di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000003 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 Stato corrente: R_PROC_EAP_RESP Evento: EV_PROC_MSG
IKEv2-PROTO-2: (6): elaborazione della risposta EAP

Messaggio XML ricevuto dal client
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-reply">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
<session-token></session-token>
<id-sessione></id-sessione>
<opaque is-for="sg">
<tunnel-group>ASA-IKEV2</tunnel-group>
<config-hash>1367268141499</config-hash></opaque>
<auth>
<password>cisco123</password>
<username>Anu</username></auth>
</config-auth>
IKEv2-PLAT-1: EAP: autenticazione utente avviata
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_PROC_EAP_RESP Evento: EV_NO_EVENT
IKEv2-PLAT-5: EAP:In callback AAA
Digest certificato server recuperato: DACE1C274785F28BA11D64453096BAE294A3172E
IKEv2-PLAT-5: EAP: operazione riuscita nel callback AAA
IKEv2-PROTO-3: ricevuta risposta dall'autenticatore
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 Stato corrente: R_PROC_EAP_RESP Evento: EV_RECV_EAP_AUTH
IKEv2-PROTO-5: (6): Azione: Action_Null

L'ASA crea una terza richiesta EAP nello scambio.

Il pacchetto EAP contiene:

1. Codice: richiesta - Questo codice viene inviato dall'autenticatore al peer.
2. ID: 3 - L'ID consente di far corrispondere le risposte EAP alle richieste. Qui il valore è 3, che indica che si tratta del terzo pacchetto in scambio. Il tipo 'config-auth' di questo pacchetto è 'complete'; l'ASA ha ricevuto una risposta e lo scambio EAP è completo.
3. Lunghezza: 4235 - La lunghezza del pacchetto EAP include i dati relativi a codice, ID, lunghezza e EAP.
4. dati EAP.

Payload ENCR:

Il payload viene decrittografato e il relativo contenuto viene analizzato come payload aggiuntivi.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_BLD_EAP_REQ Evento: EV_RECV_EAP_REQ
IKEv2-PROTO-2: (6): invio richiesta EAP

Messaggio XML generato di seguito
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="complete">
<version who="sg">9.0(2)8</version>
<session-id>32768</session-id>
<session-token>18wA0TtGmDxPKPQCJywC7fB7EWLCEgz-ZtjYpAyXx2yJH0H3G3H8t5xpBOx3Ixag</session-token>
<auth id="success">
<message id="0" param1="" param2=""></message>
</auth>

IKEv2-PROTO-3: (6): creazione del pacchetto per la crittografia. Contenuti:
 EAP Payload successivo: NONE, riservato: 0x0, lunghezza: 4239
    Codice: richiesta: id: 3, lunghezza: 4235
    Tipo: sconosciuto - 254
Dati EAP: 4230 byte

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x3
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload successivo: ENCR, versione: 2.0
IKEv2-PROTO-4: tipo di scambio: IKE_AUTH, flag: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID messaggio: 0x3, lunghezza: 4300
 ENCR Payload successivo: EAP, riservato: 0x0, lunghezza: 4272
Dati crittografati &due punti;4268 byte

IKEv2-PROTO-5: (6): frammentazione del pacchetto, MTU della frammentazione: 544, numero di frammenti: 9, ID frammento: 2
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000003
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=000003
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000003 CurState: R_BLD_EAP_REQ Evento: EV_START_TMR.
IKEv2-PROTO-3: (6): avvio del timer in attesa del messaggio di autenticazione utente (120 sec)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000003 CurState: R_WAIT_EAP_RESP Evento: EV_NO_EVENT

Il client invia il pacchetto iniziatore con il payload EAP.

Il pacchetto EAP contiene:

1. Codice: risposta - Questo codice viene inviato dal peer all'autenticatore in risposta alla richiesta EAP.
2. ID: 3 - L'ID consente di far corrispondere le risposte EAP alle richieste. Il valore è 3, ossia la risposta alla richiesta inviata in precedenza dall'ASA (autenticatore). L'ASA riceve ora il pacchetto di risposta dal client, di tipo 'config-auth' su 'ack'. Questa risposta riconosce il messaggio EAP 'complete' inviato in precedenza dall'ASA.
3. Lunghezza: 173 - La lunghezza del pacchetto EAP include i dati relativi a codice, ID, lunghezza e EAP.
4. dati EAP.

L'appliance ASA elabora il pacchetto. OSPF (Open Shortest Path First)
Scambio EAP riuscito. L'appliance ASA
si prepara a inviare il gruppo di tunnel
nel pacchetto successivo, che
è stato richiesto in precedenza dal client in
il payload IDi. L'appliance ASA riceve la
pacchetto di risposta dal client, che
ha il tipo 'config-auth' di 'ack'. Questo
la risposta riconosce il punto di accesso
messaggio 'complete' inviato dal
in precedenza, l'appliance ASA.

Configurazione pertinente:

tunnel-group ASA-IKEV2 
 type remote-access
tunnel-group ASA-IKEV2 
 general-attributes
 address-pool webvpn1
 authorization-server-group 
 LOCAL default-group-policy 
  ASA-IKEV2
tunnel-group ASA-IKEV2
 webvpn-attributes
 group-alias ASA-IKEV2 
 enable

Lo scambio EAP è ora riuscito.

Il pacchetto EAP contiene:

1. Codice: operazione riuscita - Questo codice è
   inviato dall'autenticatore al
   peer dopo il completamento di un EAP
   metodo di autenticazione. Questo
   indica che il peer ha
   autenticato correttamente in
   autenticatore.
2. id: 3 - L'id corrisponde al
   Risposte EAP con le richieste.
   Il valore è 3, che
   indica che si tratta di una risposta a
   la richiesta precedentemente inviata
   ASA (autenticazione). La terza serie
   di pacchetti nello scambio è stato
   e lo scambio EAP
   ha esito positivo.
3. Lunghezza: 4 - Lunghezza EAP
   il pacchetto include il codice, l'id,
   lunghezza e dati EAP.
4. dati EAP.

Pacchetto decrittografato:dati:252 byte
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000004 Stato corrente: R_WAIT_EAP_RESP Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): arresto del timer in attesa del messaggio di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000004 CurState: R_WAIT_EAP_RESP Evento: EV_RECV_EAP_RESP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000004 CurState: R_PROC_EAP_RESP Evento: EV_PROC_MSG
IKEv2-PROTO-2: (6): elaborazione della risposta EAP

Messaggio XML ricevuto dal client
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="ack">
<device-id>win</device-id>
<version who="vpn">3.0.1047</version>
</config-auth>

IKEv2-PLAT-3: (6) agrAuthHdl impostato su 0x2000
IKEv2-PLAT-3: (6) tg_name impostato su: ASA-IKEV2
IKEv2-PLAT-3: (6) tunn grp type impostato su: RA
IKEv2-PLAT-1: autenticazione EAP riuscita
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_PROC_EAP_RESP Evento: EV_RECV_EAP_SUCCESS
IKEv2-PROTO-2: (6): invio messaggio di stato EAP
IKEv2-PROTO-3: (6): creazione del pacchetto per la crittografia. Contenuti:
 EAP Payload successivo: NONE, riservato: 0x0, lunghezza: 8
    Codice: operazione riuscita: id: 3, lunghezza: 4

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x4
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload successivo: ENCR, versione: 2.0
IKEv2-PROTO-4: tipo di scambio: IKE_AUTH, flag: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID messaggio: 0x4, lunghezza: 76
 Payload successivo ENCR: EAP, riservato: 0x0, lunghezza: 48
Dati crittografati &due punti;44 byte

IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [10.0.0.1]:4500->[192.168.1.1]:25171 InitSPI=0x58aff71141ba436b RespSPI=0xfc696330e6b94d7f MID=00000 04

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000004 CurState: R_PROC_EAP_RESP Evento: EV_START_TMR.
IKEv2-PROTO-3: (6): avvio del timer in attesa del messaggio di autenticazione (30 sec)
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000004 CurState: R_WAIT_EAP_AUTH_VERIFY Evento: EV_NO_EVENT

Quando è specificata l'autenticazione EAP o
implicito nel profilo del client e nel
il profilo non contiene
elemento <IKEIdentity>, il client invia
un payload ID_GROUP di tipo IDi con
la stringa fissa *$AnyConnectClient$*.

L'appliance ASA elabora il messaggio.

Configurazione pertinente:

crypto dynamic-map dynmap 1000 
 set ikev2 ipsec-proposal 3des
crypto map crymap 10000 
 ipsec-isakmp dynamic dynmap
crypto map crymap interface 
 outside

Pacchetto decrittografato:dati: 92 byte
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_WAIT_EAP_AUTH_VERIFY Evento: EV_RECV_AUTH
IKEv2-PROTO-3: (6): arresto del timer in attesa del messaggio di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_VERIFY_AUTH Evento: EV_GET_EAP_KEY
IKEv2-PROTO-2: (6): inviare il messaggio AUTH per verificare il peer dopo lo scambio EAP
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_VERIFY_AUTH Evento: EV_VERIFY_AUTH
IKEv2-PROTO-3: (6): verifica dei dati di autenticazione
IKEv2-PROTO-3: (6): utilizzare una chiave già condivisa per id *$AnyConnectClient$*, chiave len 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_VERIFY_AUTH Evento: EV_GET_CONFIG_MODE
IKEv2-PLAT-3: risposta modalità configurazione in coda
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_NO_EVENT
IKEv2-PLAT-3: PSH: client=AnyConnect client-version=3.0.1047 client-os=Windows client-os-version=
IKEv2-PLAT-3: risposta modalità configurazione completata
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_VERIFY_AUTH Evento: EV_OK_GET_CONFIG
IKEv2-PROTO-3: (6): dati della modalità di configurazione da inviare
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_VERIFY_AUTH Evento: EV_CHK4_IC
IKEv2-PROTO-3: (6): Elaborazione del contatto iniziale
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_VERIFY_AUTH Evento: EV_CHK_REDIRECT
IKEv2-PROTO-5: (6): il controllo del reindirizzamento è già stato eseguito per questa sessione, ignorandolo
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_VERIFY_AUTH Evento: EV_PROC_SA_TS
IKEv2-PROTO-2: (6): elaborazione del messaggio di autenticazione
IKEv2-PLAT-1: mappa crittografica: mappa dynmap seq 1000. Selettore regolato con IP assegnato
IKEv2-PLAT-3: mappa crittografica: corrispondenza nella mappa dinamica dynmap seq 1000
IKEv2-PLAT-3: PFS disabilitato per la connessione RA
IKEv2-PROTO-3: (6):
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 CurState: R_VERIFY_AUTH Evento: EV_NO_EVENT
IKEv2-PLAT-2: ricevuto callback PFKEY SPI per SPI 0x30B848A4, errore FALSE
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_VERIFY_AUTH Evento: EV_OK_RECD_IPSEC_RESP

IKEv2-PROTO-2: (6): elaborazione del messaggio di autenticazione

L'ASA crea il messaggio di risposta IKE_AUTH con i payload SA, TSi e TSr.

Il pacchetto del risponditore IKE_AUTH contiene:

1. Intestazione ISAKMP - SPI/versione/flag.
2. Payload AUTH - Con il metodo di autenticazione scelto.
3. CFG - CFG_REQUEST/ CFG_REPLY consente a un endpoint IKE di richiedere informazioni dal peer. Se un attributo nel payload di configurazione CFG_REQUEST non è di lunghezza zero, viene preso come suggerimento per tale attributo. Il payload di configurazione CFG_REPLY può restituire tale valore o uno nuovo. È inoltre possibile che vengano aggiunti nuovi attributi senza includere alcuni di quelli richiesti. I richiedenti ignorano gli attributi restituiti non riconosciuti. L'ASA risponde al client con gli attributi di configurazione del tunnel nel pacchetto CFG_REPLY.
4. SAr2 - SAr2 avvia l'associazione di protezione, simile allo scambio di set di trasformazioni di fase 2 in IKEv1.
5. TSi e TSr - I selettori del traffico dell'iniziatore e del risponditore contengono, rispettivamente, l'indirizzo di origine e l'indirizzo di destinazione dell'iniziatore e del risponditore per inoltrare e ricevere traffico crittografato. L'intervallo di indirizzi specifica che tutto il traffico da e verso l'intervallo è tunneling. Se la proposta è accettabile per il risponditore, verranno restituiti payload di Servizi terminal identici.

Payload ENCR:

Il payload viene decrittografato e il relativo contenuto viene analizzato come payload aggiuntivi.

IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_BLD_AUTH Evento: EV_MY_AUTH_METHOD
IKEv2-PROTO-3: (6): Ottieni metodo di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_BLD_AUTH Evento: EV_GET_PRESHR_KEY
IKEv2-PROTO-3: (6): recupero della chiave già condivisa del peer per *$AnyConnectClient$*
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000005 Stato corrente: R_BLD_AUTH Evento: EV_GEN_AUTH
IKEv2-PROTO-3: (6): generazione dati di autenticazione
IKEv2-PROTO-3: (6): utilizzare una chiave già condivisa per id nomehost=ASA-IKEV2, len chiave 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000005 CurState: R_BLD_AUTH Evento: EV_CHK4_SIGN
IKEv2-PROTO-3: (6): Ottieni il metodo di autenticazione
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_BLD_AUTH Evento: EV_OK_AUTH_GEN
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 00000005 Stato corrente: R_BLD_EAP_AUTH_VERIFY Evento: EV_GEN_AUTH
IKEv2-PROTO-3: (6): generazione dati di autenticazione
IKEv2-PROTO-3: (6): utilizzare la chiave già condivisa per id nomehost=ASA-IKEV2, len chiave 20
IKEv2-PROTO-5: (6): SM Trace-> SA: I_SPI=58AFF71141BA436B R_SPI=FC696330E6B94D7F (R) MsgID = 0000005 CurState: R_BLD_EAP_AUTH_VERIFY Evento: EV_SEND_AUTH
IKEv2-PROTO-2: (6): invio dell'autenticazione per verificare il peer dopo lo scambio EAP
IKEv2-PROTO-3: proposta ESP: 1, dimensioni SPI: 4 (negoziazione IPSec),
Numero trasformazioni: 3
   AES-CBC SHA96   
IKEv2-PROTO-5: Payload notifica costruzione: ESP_TFC_NO_SUPPORTIKEv2-PROTO-5: Payload notifica costruzione: NON_FIRST_FRAGSIKEv2-PROTO-3: (6): creazione pacchetto per crittografia; contenuti:
 AUTH Payload successivo: CFG, riservato: 0x0, lunghezza: 28
    Metodo di autenticazione PSK, riservato: 0x0, riservato 0x0
Auth&data colon; 20 byte
 CFG Payload successivo: SA, riservato: 0x0, lunghezza: 4196
    tipo cfg: CFG_REPLY, riservato: 0x0, riservato: 0x0

   tipo di attributo: indirizzo IP4 interno, lunghezza: 4

     01 01 01 01
   tipo attrib: maschera di rete IP4 interna, lunghezza: 4

     00 00 00 00
   tipo di attributo: scadenza indirizzo interno, lunghezza: 4

     00 00 00 00
   tipo attrib: versione applicazione, lunghezza: 16

     41 53 41 20 31 30 30 2e 37 28 36 29 31 31 36 00
   tipo di attributo: sconosciuto - 28704, lunghezza: 4

     00 00 00 00
   tipo di attributo: sconosciuto - 28705, lunghezza: 4

     00 00 07 08
   tipo di attributo: sconosciuto - 28706, lunghezza: 4

     00 00 07 08
   tipo di attributo: sconosciuto - 28707, lunghezza: 1

     01
   tipo di attributo: sconosciuto - 28709, lunghezza: 4

     00 00 00 1e
   tipo di attributo: sconosciuto - 28710, lunghezza: 4

     00 00 00 14
   tipo di attributo: sconosciuto - 28684, lunghezza: 1

     01
   tipo di attributo: sconosciuto - 28711, lunghezza: 2

     05 7e
   tipo di attributo: sconosciuto - 28679, lunghezza: 1

     00
   tipo di attributo: sconosciuto - 28683, lunghezza: 4

     80 0b 00 01
   tipo di attributo: sconosciuto - 28725, lunghezza: 1

     00
   tipo di attributo: sconosciuto - 28726, lunghezza: 1

     00
   tipo di attributo: sconosciuto - 28727, lunghezza: 4056

     3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 22 31
     2e 30 22 20 65 6e 63 6f 64 69 6e 67 3d 22 55 54
     46 2d 38 22 3f 3e 3c 63 6f 6e 66 69 67 2d 61 75
     74 68 20 63 6c 69 65 6e 74 3d 22 76 70 6e 22 20
     74 79 70 65 3d 22 63 6f 6d 70 6c 65 74 65 22 3e
     3c 76 65 72 73 69 6f 6e 20 77 68 6f 3d 22 73 67
     22 3e 31 30 30 2e 37 28 36 29 31 31 36 3c 2f 76
     65 72 73 69 6f 6e 3e 3c 73 65 73 73 69 6f 6e 2d
     69 64 3e 38 31 39 32 3c 2f 73 65 73 73 69 6f 6e
<cattura>
     72 6f 66 69 6c 65 2d 6d 61 6e 69 66 65 73 74 3e
     3c 2f 63 6f 6e 66 69 67 3e 3c 2f 63 6f 6e 66 69
     67 2d 61 75 74 68 3e 00
   tipo di attributo: sconosciuto - 28729, lunghezza: 1

     00
 SA Payload successivo: TSi, riservato: 0x0, lunghezza: 44
IKEv2-PROTO-4: ultima proposta: 0x0, riservata: 0x0, lunghezza: 40
  Proposta: 1, ID protocollo: ESP, dimensione SPI: 4, #trans: 3
IKEv2-PROTO-4: ultima trasformazione: 0x3, riservata: 0x0: lunghezza: 12
    tipo: 1, riservato: 0x0, id: AES-CBC
IKEv2-PROTO-4: ultima trasformazione: 0x3, riservata: 0x0: lunghezza: 8
    tipo: 3, riservato: 0x0, id: SHA96
IKEv2-PROTO-4: ultima trasformazione: 0x0, riservata: 0x0: lunghezza: 8
    tipo: 5, riservato: 0x0, id:

 TSi Payload successivo: TSr, riservato: 0x0, lunghezza: 24
    Numero di TS: 1, riservato 0x0, riservato 0x0
    Tipo TS: TS_IPV4_ADDR_RANGE, ID porta: 0, lunghezza: 16
    porta iniziale: 0, porta finale: 65535
    start addr: 10.2.2.1, end addr: 10.2.2.1
 TSr Payload successivo: NOTIFY, riservato: 0x0, lunghezza: 24
    Numero di TS: 1, riservato 0x0, riservato 0x0
    Tipo TS: TS_IPV4_ADDR_RANGE, ID porta: 0, lunghezza: 16
    porta iniziale: 0, porta finale: 65535
    start addr: 0.0.0.0, end addr: 255.255.255.255

IKEv2-PROTO-3: Tx [L 10.0.0.1:4500/R 192.168.1.1:25171/VRF i0:f0] m_id: 0x5
IKEv2-PROTO-3: HDR[i:58AFF71141BA436B - r: FC696330E6B94D7F]
IKEv2-PROTO-4: IKEV2 HDR ispi: 58AFF71141BA436B - rspi: FC696330E6B94D7F
IKEv2-PROTO-4: Payload successivo: ENCR, versione: 2.0
IKEv2-PROTO-4: tipo di Exchange: IKE_AUTH, flag: RESPONDER MSG-RESPONSE
IKEv2-PROTO-4: ID messaggio: 0x5, lunghezza: 4396
 ENCR Payload successivo: AUTH, riservato: 0x0, lunghezza: 4368
&Dati crittografati: due punti; 4364 byte

**********************************
Data : 23/04/2013
Ora: 16.25.07
Tipo: informazioni
Origine : acvpndownloader

Descrizione : Funzione: ProfileMgr::loadProfiles
File: ..\Api\ProfileMgr.cpp
Linea: 148
Profili caricati:
C:\Documents and Settings\All Utenti\Dati applicazioni\Cisco\Cisco AnyConnect Secure Mobility Client\Profilo\anyconnect-ikev2.xml
**********************************
**********************************
Data : 23/04/2013
Ora: 16.25.07
Tipo: informazioni
Origine : acvpndownloader

Descrizione : Impostazioni preferenze correnti:
ServiceDisable: false
CertificateStoreOverride: false
Archivio certificati: tutto
ShowPreConnectMessage: false
AutoConnectOnStart: false
MinimizeOnConnect: true
LocalLanAccess: false
Riconnessione automatica: true
Comportamento riconnessione automatica: DisconnectOnSuspend
UseStartBeforeLogon: false
AutoUpdate: true
RSASecurIDIntegrazione: automatica
ImposizioneAccessoWindows: SingleLocalLogon
WindowsVPNEstablishment: LocalUsersOnly
Impostazioni proxy: native
AllowLocalProxyConnections: true
Esclusione PPPE: Disattiva
IPserverEsclusionePPE:
AutomaticVPNPolicy: false
TrustedNetworkPolicy: disconnessione
UntrustedNetworkPolicy: connessione
Domini DNS attendibili:
Server DNS attendibili:
AlwaysOn: false
ConnectFailurePolicy: chiuso
AllowCaptivePortalRemediation: false
Timeout di CaptivePortalRemediation: 5
ApplyLastVPNLocalResourceRules: false
AllowVPNDisconnect: true
EnableScripting: false
TerminateScriptOnNextEvent: false
EnablePostSBLOnConnectScript: true
AutomaticCertSelection: true
RetainVpnOnLogoff: false
ApplicazioneUtente: SameUserOnly
EnableAutomaticServerSelection: false
Miglioramento selezione server automatico: 20
TempoSospensioneSelezioneServerAutomatico: 4
Timeout autenticazione: 12
SafeWordSofTokenIntegration: falso
AllowIPsecOverSSL: false
ClearSmartcardPin: true
**********************************
Data : 23/04/2013
Ora: 16.25.07
Tipo: informazioni
Fonte: acvpnui

Descrizione : Informazioni sul tipo di messaggio inviate all'utente:
Definizione VPN - Analisi del sistema in corso...
**********************************
Data : 23/04/2013
Ora: 16.25.07
Tipo: informazioni
Fonte: acvpnui

Descrizione : Informazioni sul tipo di messaggio inviate all'utente:
Definizione della VPN - Attivazione della scheda VPN in corso...
**********************************
Data : 23/04/2013
Ora: 16.25.07
Tipo: informazioni
Origine : acvpnagent

Descrizione : Funzione: CVirtualAdapter::DoRegistryRepair
File: .\WindowsVirtualAdapter.cpp
Linea: 1869
Trovato tasto di controllo VA: SYSTEM\CurrentControlSet\ENUM\ROOT\NET\0000\Control

**********************************
Data : 23/04/2013
Ora: 16.25.07
Tipo: informazioni
Origine : acvpnagent

Descrizione : rilevata una nuova interfaccia di rete.
**********************************
Data : 23/04/2013
Ora: 16.25.07
Tipo: informazioni
Origine : acvpnagent

Descrizione : Funzione: CRouteMgr::logInterfaces
File: .\RouteMgr.cpp
Linea: 2076
Funzione richiamata: logInterfaces
Codice restituito: 0 (0x00000000)
Descrizione: Elenco interfacce indirizzo IP:
10.2.2.1
192.168.1.1
**********************************
Data : 23/04/2013
Ora: 16.25.08
Tipo: informazioni
Origine : acvpnagent

Descrizione : Configurazione host:
 Indirizzo pubblico: 192.168.1.1
 Public mask: 255.255.255.0
 Indirizzo privato: 10.2.2.1
 Maschera privata: 25.0.0.0
 Indirizzo IPv6 privato: N/D
 Maschera IPv6 privata: N/D
 Remote Peer: 10.0.0.1 (porta TCP 443, porta UDP 500), 10.0.0.1 (porta UDP 4500)
 Reti private: nessuna
 Reti pubbliche: nessuna
 Modalità tunnel: sì
**********************************

La connessione viene immessa nel database dell'associazione di protezione (SA, Security Association) e lo stato viene REGISTRATO. L'appliance ASA esegue anche alcuni controlli, ad esempio le statistiche CAC (Common Access Card), la presenza di associazioni di protezione duplicate e imposta valori come DPD (Dead Peer Detection) e così via.