목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

표기 규칙

EzVPN 대 FlexVPN

EzVPN 모델 - 눈에 띄는 요소

터널 협상

FlexVPN Remote Access VPN 모델

FlexVPN 서버

IOS FlexVPN 클라이언트 인증 방법

터널 협상

초기 설정

토폴로지

초기 컨피그레이션

EzVPN에서 FlexVPN으로의 마이그레이션 접근 방식

마이그레이션된 토폴로지

구성

FlexVPN 작업 확인

FlexVPN 서버

FlexVPN 원격

관련 정보

소개

이 문서에서는 EzVPN(Internet Key Exchange v1(IKEv1) 설정에서 FlexVPN(IKEv2) 설정으로의 마이그레이션 프로세스에 대해 가능한 한 적은 수의 문제를 지원합니다. IKEv2 Remote Access는 마이그레이션이 다소 어려운 특정 방식으로 IKEv1 Remote Access와 다르기 때문에 이 문서에서는 EzVPN 모델에서 FlexVPN Remote Access 모델로 마이그레이션할 때 다양한 설계 방식을 선택할 수 있습니다.

이 문서는 IOS FlexVPN 클라이언트 또는 하드웨어 클라이언트를 다룹니다. 이 문서에서는 소프트웨어 클라이언트에 대해 다루지 않습니다. 소프트웨어 클라이언트에 대한 자세한 내용은 다음을 참조하십시오.

- FlexVPN: Windows 클라이언트 및 인증서 인증이 내장된 IKEv2

- FlexVPN 및 AnyConnect IKEv2 클라이언트 컨피그레이션 예

- FlexVPN 구축: EAP-MD5를 사용한 AnyConnect IKEv2 원격 액세스

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

- IKEv2

- Cisco FlexVPN

- Cisco AnyConnect Secure Mobility Client

- Cisco VPN 클라이언트

사용되는 구성 요소

이 문서는 특정 소프트웨어 및 하드웨어 버전으로 한정되지 않습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

표기 규칙

문서 규칙에 대한 자세한 내용은 Cisco 기술 팁 표기 규칙을 참고하십시오.

EzVPN 대 FlexVPN

EzVPN 모델 - 눈에 띄는 요소

이름에서 알 수 있듯이 EzVPN의 목적은 원격 클라이언트의 VPN 구성을 쉽게 만드는 것입니다. 이를 위해 클라이언트는 클라이언트 프로필이라고도 하는 올바른 EzVPN 서버에 연결하는 데 필요한 최소한의 세부 정보로 구성됩니다.

터널 협상

FlexVPN Remote Access VPN 모델

FlexVPN 서버

일반 FlexVPN과 FlexVPN Remote Access 설정 간의 중요한 차이점은 서버가 RSA-SIG(pre-shared key and certificates) 방법만 사용하여 FlexVPN 클라이언트에 자신을 인증해야 한다는 것입니다. FlexVPN을 사용하면 initiator와 responder가 서로 독립적으로 어떤 인증 방법을 사용할지 결정할 수 있습니다. 즉, 동일하거나 다를 수 있습니다. 그러나 FlexVPN Remote Access의 경우 서버에 선택 사항이 없습니다.

IOS FlexVPN 클라이언트 인증 방법

클라이언트는 다음 인증 방법을 지원합니다.

- RSA-SIG — 디지털 인증서 인증.

- 사전 공유 — 사전 공유 키(PSK) 인증.

- EAP(Extensible Authentication Protocol) - EAP 인증. IOS FlexVPN 클라이언트에 대한 EAP-Support가 15.2(3)T에 추가되었습니다.

IOS FlexVPN 클라이언트에서 지원되는 EAP 방법은 다음과 같습니다.

- 확장 가능 한 인증 프로토콜 메시지 다이제스트 5 (EAP-MD5),

- Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol 버전 2(EAP-MSCHAPv2) 및

- EAP-GTC(Extensible Authentication Protocol-Generic Token Card).

이 문서에서는 다음과 같은 이유로 RSA-SIG 인증 사용에 대해서만 설명합니다.

- 확장성 — 각 클라이언트에는 인증서가 부여되며, 서버에서 클라이언트 ID의 일반 부분이 인증됩니다.

- 보안 — 와일드카드 PSK보다 더 안전합니다(로컬 권한 부여의 경우). AAA(인증, 권한 부여 및 어카운팅) 권한 부여의 경우 잘못된 IKE ID를 기반으로 별도의 PSK를 작성하는 것이 더 쉽습니다.

이 문서에 나와 있는 FlexVPN 클라이언트 컨피그레이션은 EasyVPN 클라이언트에 비해 약간 완전한 것 같습니다. 이는 컨피그레이션에 스마트 기본값으로 인해 사용자가 구성할 필요가 없는 일부 컨피그레이션이 포함되어 있기 때문입니다. 스마트 기본값은 제안, 정책, IPSec 변형 집합 등의 다양한 항목에 대해 사전 구성되거나 기본 구성을 참조하는 데 사용되는 용어입니다. IKEv1 기본값과 달리 IKEv2 스마트 기본값은 강합니다. 예를 들어 제안서에서 Advanced Encryption Standard(AES-256), Secure Hash Algorithm(SHA-512), Group-5 등을 사용합니다.

터널 협상

IKEv2 교환을 위한 패킷 교환에 대한 자세한 내용은 IKEv2 패킷 교환 및 프로토콜 수준 디버깅을 참조하십시오.

초기 설정

토폴로지

초기 컨피그레이션

EzVPN 허브 - dVTI 기반

!! AAA Config for EzVPN clients. We are using Local AAA Server.

aaa new-model

aaa authentication login default local

aaa authorization network default local

!! ISAKMP Policy

crypto isakmp policy 1

encr 3des

authentication pre-share

group 2

!! ISAKMP On-Demand Keep-Alive

crypto isakmp keepalive 10 2

!! EzVPN Split ACL

access-list 101 permit ip 10.10.0.0 0.0.0.255 any

!! EzVPN Client Group Configuration. This is what holds all the config attributes

crypto isakmp client configuration group cisco

key cisco

dns 6.0.0.2

wins 7.0.0.1

domain cisco.com

acl 101

save-password

!! ISAKMP Profile. This ties Client IKE identity to AAA.

!! And since this is dVTI setup, ISAKMP Profile tells the IOS

!!   from which Virtual-Template (VT1) to clone the Virtual Access interfaces

crypto isakmp profile vi

match identity group cisco

client authentication list default

isakmp authorization list default

virtual-template 1

!! IPSec Transform Set.

crypto ipsec transform-set set esp-3des esp-sha-hmac

!! IPSec Profile. This ties Transform set and ISAKMP Profile together.

crypto ipsec profile vi

set transform-set set

set isakmp-profile vi

!! The loopback interface. And virtual-template borrows the address from here.

interface Loopback0

ip address 10.10.10.1 255.255.255.252

!! dVTI interface.

interface Virtual-Template1 type tunnel

ip unnumbered Loopback0

tunnel mode ipsec ipv4

tunnel protection ipsec profile vi

EzVPN 클라이언트 - 클래식(VTI 없음)

!! ISAKMP On-Demand Keep-Alive

crypto isakmp keepalive 10 2

!! EzVPN Client - Group Name and The key (as configured on the Server),

!!   Peer address and XAUTH config go here.

crypto ipsec client ezvpn ez

connect auto

group cisco key cisco

local-address Ethernet0/0

mode network-extension

peer 10.0.0.1

username cisco password cisco

xauth userid mode local

!! EzVPn outside interface - i.e. WAN interface

interface Ethernet0/0

ip address 10.1.1.2 255.255.255.0

crypto ipsec client ezvpn ez

!! EzVPN inside interface

!! Traffic sourced from this LAN is sent over established Tunnel

interface Ethernet0/1

ip address 10.10.1.1 255.255.255.0

crypto ipsec client ezvpn ez inside

EzVPN 클라이언트 - 고급(VTI 기반)

!! VTI -

interface Virtual-Template1 type tunnel

no ip address

tunnel mode ipsec ipv4

!! ISAKMP On-Demand Keep-Alive

crypto isakmp keepalive 10 2

!! EzVPN Client - Group Name and The key (as configured on the Server),

!!   Peer address and XAUTH config go here.

!! Also this config says which Virtual Template to use.

crypto ipsec client ezvpn ez

connect auto

group cisco key cisco

local-address Ethernet0/0

mode network-extension

peer 10.0.0.1

virtual-interface 1

username cisco password cisco

xauth userid mode local

!! EzVPn outside interface - WAN interface

interface Ethernet0/0

ip address 10.1.1.3 255.255.255.0

crypto ipsec client ezvpn ez

!! EzVPN inside interface -

!! Traffic sourced from this LAN is sent over established Tunnel

interface Ethernet0/1

ip address 10.10.2.1 255.255.255.0

crypto ipsec client ezvpn ez inside

EzVPN에서 FlexVPN으로의 마이그레이션 접근 방식

EzVPN 서버 역할을 하는 서버는 IKEv2 원격 액세스 컨피그레이션을 지원하는 한 FlexVPN 서버 역할을 할 수도 있습니다. 전체 IKEv2 컨피그레이션을 지원하려면 IOS v15.2(3)T를 초과하는 모든 것이 권장됩니다. 이 예에서는 15.2(4)M1이 사용되었습니다.

두 가지 방법이 있습니다.

1. EzVPN 서버를 FlexVPN 서버로 설정한 다음 EzVPN 클라이언트를 Flex 구성으로 마이그레이션합니다.

2. 다른 라우터를 FlexVPN 서버로 설정합니다. EzVPN 클라이언트 및 마이그레이션된 FlexVPN 클라이언트는 FlexVPN 서버와 EzVPN 서버 간의 연결을 생성하여 계속 통신합니다.

이 문서에서는 두 번째 접근 방식을 설명하고 새 스포크(예: Spoke3)를 FlexVPN 클라이언트로 사용합니다. 이 스포크는 나중에 다른 클라이언트를 마이그레이션하기 위해 참조로 사용할 수 있습니다.

마이그레이션 단계

EzVPN 스포크에서 FlexVPN 스포크로 마이그레이션할 때 EzVPN 스포크에서 FlexVPN 구성을 로드하도록 선택할 수 있습니다. 그러나 컷오버 과정에서 해당 장비에 대한 아웃오브밴드(non-VPN) 관리 액세스가 필요할 수 있습니다.

마이그레이션된 토폴로지

구성

FlexVPN 허브

!! AAA Authorization done Locally

aaa new-model

aaa authorization network Flex local

!! PKI TrustPoint to Sign and Validate Certificates.

!! Contains Identity Certificate and CA Certificate

crypto pki trustpoint FlexServer

enrollment terminal

revocation-check none

rsakeypair FlexServer

subject-name CN=flexserver.cisco.com,OU=FlexVPN

!! Access-list used in Config-Reply in order to push routes

access-list 1 permit 10.10.0.0 0.0.0.255

!! IKEv2 Authorization done locally. Used in Config-Set.

crypto ikev2 authorization policy FlexClient-Author

def-domain cisco.com

route set interface

route set access-list 1

!! IKEv2 Proposal. Optional Config. Smart-Default takes care of this.

crypto ikev2 proposal FlexClient-Proposal

encryption aes-cbc-128 aes-cbc-192 3des

integrity sha256 sha512 sha1

group 5 2

!! If IKEv2 Proposal was left out default, then IKEv2 Policy can be left out too.

!! Ties Proposal to Peer address/fvrf

crypto ikev2 policy FlexClient-Policy

match fvrf any

proposal FlexClient-Proposal

!! IKEv2 Profile. This is the main Part

!! Clients are configured to send their FQDN. And we match the domain 'cisco.com'

!! We are sending 'flexserver.cisco.com' as the fqdn identity.

!! Local and Remote authentication is RSA-SIG

!! Authorization (config-reply) is done locally with the user-name

!!   'FlexClient-Author'

!! This whole profile is tied to Virtual-Template 1

crypto ikev2 profile FlexClient-Profile

match identity remote fqdn domain cisco.com

identity local fqdn flexserver.cisco.com

authentication remote rsa-sig

authentication local rsa-sig

pki trustpoint FlexServer

aaa authorization group cert list Flex FlexClient-Author

virtual-template 1

!! IPSec Transform set. Optional Config, since Smart Default takes care of this.

crypto ipsec transform-set ESP-AES-SHA1 esp-aes esp-sha-hmac

!! IPSec Profile ties default/Configured transform set with the IKEv2 Profile

crypto ipsec profile FlexClient-IPSec

set transform-set ESP-AES-SHA1

set ikev2-profile FlexClient-Profile

!! Loopback interface lends ip address to Virtual-template and

!!   eventually to Virtual-Access interfaces spawned.

interface Loopback0

ip address 10.10.10.1 255.255.255.252

!! The IKEv2 enabled Virtual-Template

interface Virtual-Template1 type tunnel

ip unnumbered Loopback0

tunnel protection ipsec profile FlexClient-IPSec

!! WAN interface

interface Ethernet0/0

ip address 10.0.0.2 255.255.255.0

!! LAN interfaces

interface Ethernet0/1

ip address 10.10.0.1 255.255.255.0

서버 인증서 참고 사항

KU(Key Usage)는 공개 키의 용도 또는 용도를 정의합니다. EKU(Enhanced/Extended Key Usage)는 키 사용을 수정합니다. FlexVPN을 사용하려면 클라이언트에서 인증서를 승인하려면 서버 인증서에 디지털 서명 및 키 암호화의 KU 특성이 있는 서버 인증(OID = 1.3.6.1.5.5.7.3.1)의 EKU가 있어야 합니다.

FlexServer#show crypto pki certificates verbose

Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 09

Certificate Usage: General Purpose

Issuer:

l=lal-bagh

c=IN

o=Cisco

ou=TAC

cn=Praveen

Subject:

Name: flexserver.cisco.com

ou=FlexVPN

cn=flexserver.cisco.com

CRL Distribution Points:

http://10.48.67.33:80/Praveen/Praveen.crl

<snip>

Signature Algorithm: MD5 with RSA Encryption

Fingerprint MD5: F3646C9B 1CC26A81 C3CB2034 061302AA

Fingerprint SHA1: 7E9E99D4 B66C70E3 CBA8C4DB DD94629C 023EEBE7

X509v3 extensions:

X509v3 Key Usage: E0000000

Digital Signature

Non Repudiation

Key Encipherment

<snip>

Authority Info Access:

Extended Key Usage:

Client Auth

Server Auth

Associated Trustpoints: FlexServer

Storage: nvram:lal-bagh#9.cer

Key Label: FlexServer

Key storage device: private config

CA Certificate

<snip>

FlexVPN 클라이언트 컨피그레이션

!! AAA Authorization done Locally

aaa new-model

aaa authorization network Flex local

!! PKI TrustPoint to Sign and Validate Certificates.

!! Contains Identity Certificate and CA Certificate

crypto pki trustpoint Spoke3-Flex

enrollment terminal

revocation-check none

subject-name CN=spoke3.cisco.com,OU=FlexVPN

rsakeypair Spoke3-Flex

!! Access-list used in Config-Set in order to push routes

access-list 1 permit 10.10.3.0 0.0.0.255

!! IKEv2 Authorization done locally. Used in Config-Set.

crypto ikev2 authorization policy FlexClient-Author

route set interface

route set access-list 1

!! IKEv2 Proposal. Optional Config. Smart-Default takes care of this.

crypto ikev2 proposal FlexClient-Proposal

encryption aes-cbc-128 aes-cbc-192 3des

integrity sha256 sha512 sha1

group 5 2

!! If IKEv2 Proposal was left out default, then IKEv2 Policy can be left out too.

!! Ties Proposal to Peer address/fvrf

crypto ikev2 policy FlexClient-Policy

match fvrf any

proposal FlexClient-Proposal

!! IKEv2 Profile. This is the main Part

!! Server is configured to send its FQDN type IKE-ID,

!!    and we match the domain 'cisco.com'

!! (If the IKE-ID type is DN (extracted from the certificate),

!!    we will need a certificate map)

!! We are sending 'spoke3.cisco.com' as the IKE-identity of type fqdn.

!! Local and Remote authentication is RSA-SIG

!! Authorization (config-set) is done locally using the user-name filter

!!    'FlexClient-Author'

crypto ikev2 profile FlexClient-Profile

match identity remote fqdn flexserver.cisco.com

identity local fqdn spoke3.cisco.com

authentication remote rsa-sig

authentication local rsa-sig

pki trustpoint Spoke3-Flex

aaa authorization group cert list Flex FlexClient-Author

!! IPSec Transform set. Optional Config, since Smart Default takes care of this.

crypto ipsec transform-set ESP-AES-SHA1 esp-aes esp-sha-hmac

!! IPSec Profile ties the transform set with the IKEv2 Profile

crypto ipsec profile FlexClient-IPSec

set transform-set ESP-AES-SHA1

set ikev2-profile FlexClient-Profile

!! FlexVPN Client Tunnel interface.

!! If IP-Address of the tunnel is negotiated,

!!   FlexVPN server is capable of assigning an IP through Config-Set

interface Tunnel0

ip unnumbered Ethernet0/1

tunnel source Ethernet0/0

tunnel destination dynamic

tunnel protection ipsec profile FlexClient-IPSec

!! Final FlexVPN client Part.

!! Multiple backup Peer and/or Multiple Tunnel source interfaces can be configured

crypto ikev2 client flexvpn FlexClient

peer 1 10.0.0.2

client connect Tunnel0

!! WAN interface

interface Ethernet0/0

ip address 10.1.1.4 255.255.255.248

!! LAN Interface

interface Ethernet0/1

ip address 10.10.3.1 255.255.255.0

클라이언트 인증서 참고 사항

FlexVPN을 사용하려면 서버에서 인증서를 승인하려면 클라이언트 인증서에 디지털 서명 및 키 암호화의 KU 특성이 있는 클라이언트 인증(OID = 1.3.6.1.5.5.7.3.2)의 EKU가 있어야 합니다.

Spoke3#show crypto pki certificates verbose

Certificate

Status: Available

Version: 3

Certificate Serial Number (hex): 08

Certificate Usage: General Purpose

Issuer:

l=lal-bagh

c=IN

o=Cisco

ou=TAC

cn=Praveen

Subject:

Name: spoke3.cisco.com

ou=FlexVPN

cn=spoke3.cisco.com

<snip>

Subject Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (1024 bit)

Signature Algorithm: MD5 with RSA Encryption

Fingerprint MD5: 2381D319 906177E1 F45019BC 61059BD5

Fingerprint SHA1: D81FD705 653547F2 D0916710 E6B096A1 23F6C467

X509v3 extensions:

X509v3 Key Usage: E0000000

Digital Signature

Non Repudiation

Key Encipherment

<snip>

Extended Key Usage:

Client Auth

Server Auth

Associated Trustpoints: Spoke3-Flex

Storage: nvram:lal-bagh#8.cer

Key Label: Spoke3-Flex

Key storage device: private config

CA Certificate

<snip>

FlexVPN 작업 확인

FlexVPN 서버

FlexServer#show crypto ikev2 session

IPv4 Crypto IKEv2 Session

Session-id:5, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                 Remote                fvrf/ivrf            Status

1         10.0.0.2/500          10.1.1.4/500          none/none            READY

Encr: AES-CBC, keysize: 192, Hash: SHA512, DH Grp:5, Auth sign: RSA, Auth verify:

RSA

Life/Active Time: 86400/7199 sec

Child sa: local selector  10.0.0.2/0 - 10.0.0.2/65535

remote selector 10.1.1.4/0 - 10.1.1.4/65535

ESP spi in/out: 0xA9571C00/0x822DDAAD

FlexServer#show crypto ikev2 session detailed

IPv4 Crypto IKEv2 Session

Session-id:5, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                 Remote                fvrf/ivrf            Status

1         10.0.0.2/500          10.1.1.4/500          none/none            READY

Encr: AES-CBC, keysize: 192, Hash: SHA512, DH Grp:5, Auth sign: RSA, Auth verify:

RSA

Life/Active Time: 86400/7244 sec

CE id: 1016, Session-id: 5

Status Description: Negotiation done

Local spi: 648921093349609A       Remote spi: 1C2FFF727C8EA465

Local id: flexserver.cisco.com

Remote id: spoke3.cisco.com

Local req msg id:  2              Remote req msg id:  5

Local next msg id: 2              Remote next msg id: 5

Local req queued:  2              Remote req queued:  5

Local window:      5              Remote window:      5

DPD configured for 0 seconds, retry 0

NAT-T is not detected

Cisco Trust Security SGT is disabled

Initiator of SA : No

Remote subnets:

10.10.3.0 255.255.255.0

Child sa: local selector  10.0.0.2/0 - 10.0.0.2/65535

remote selector 10.1.1.4/0 - 10.1.1.4/65535

ESP spi in/out: 0xA9571C00/0x822DDAAD

AH spi in/out: 0x0/0x0

CPI in/out: 0x0/0x0

Encr: AES-CBC, keysize: 128, esp_hmac: SHA96

ah_hmac: None, comp: IPCOMP_NONE, mode transport

FlexServer#show ip route static

10.0.0.0/8 is variably subnetted, 9 subnets, 4 masks

S        10.10.3.0/30 is directly connected, Virtual-Access1

FlexServer#ping 10.10.3.1 repeat 100

Type escape sequence to abort.

Sending 100, 100-byte ICMP Echos to 10.10.3.1, timeout is 2 seconds:

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Success rate is 100 percent (100/100), round-trip min/avg/max = 1/5/13 ms

FlexServer#show crypto ipsec sa | I ident|caps|spi

local  ident (addr/mask/prot/port): (10.0.0.2/255.255.255.255/47/0)

remote ident (addr/mask/prot/port): (10.1.1.4/255.255.255.255/47/0)

#pkts encaps: 205, #pkts encrypt: 205, #pkts digest: 205

#pkts decaps: 200, #pkts decrypt: 200, #pkts verify: 200

current outbound spi: 0x822DDAAD(2184043181)

spi: 0xA9571C00(2841058304)

spi: 0x822DDAAD(2184043181)

FlexVPN 원격

Spoke3#show crypto ikev2 session

IPv4 Crypto IKEv2 Session

Session-id:4, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                 Remote                fvrf/ivrf            Status

1         10.1.1.4/500          10.0.0.2/500          none/none            READY

Encr: AES-CBC, keysize: 192, Hash: SHA512, DH Grp:5, Auth sign: RSA, Auth verify:

RSA

Life/Active Time: 86400/7621 sec

Child sa: local selector  10.1.1.4/0 - 10.1.1.4/65535

remote selector 10.0.0.2/0 - 10.0.0.2/65535

ESP spi in/out: 0x822DDAAD/0xA9571C00

Spoke3#show crypto ikev2 session detailed

IPv4 Crypto IKEv2 Session

Session-id:4, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                 Remote                fvrf/ivrf            Status

1         10.1.1.4/500          10.0.0.2/500          none/none            READY

Encr: AES-CBC, keysize: 192, Hash: SHA512, DH Grp:5, Auth sign: RSA, Auth verify:

RSA

Life/Active Time: 86400/7612 sec

CE id: 1016, Session-id: 4

Status Description: Negotiation done

Local spi: 1C2FFF727C8EA465       Remote spi: 648921093349609A

Local id: spoke3.cisco.com

Remote id: flexserver.cisco.com

Local req msg id:  5              Remote req msg id:  2

Local next msg id: 5              Remote next msg id: 2

Local req queued:  5              Remote req queued:  2

Local window:      5              Remote window:      5

DPD configured for 0 seconds, retry 0

NAT-T is not detected

Cisco Trust Security SGT is disabled

Initiator of SA : Yes

Default Domain: cisco.com

Remote subnets:

10.10.10.1 255.255.255.255

10.10.0.0 255.255.255.0

Child sa: local selector  10.1.1.4/0 - 10.1.1.4/65535

remote selector 10.0.0.2/0 - 10.0.0.2/65535

ESP spi in/out: 0x822DDAAD/0xA9571C00

AH spi in/out: 0x0/0x0

CPI in/out: 0x0/0x0

Encr: AES-CBC, keysize: 128, esp_hmac: SHA96

ah_hmac: None, comp: IPCOMP_NONE, mode transport

Spoke3#ping 10.10.0.1 repeat 100

Type escape sequence to abort.

Sending 100, 100-byte ICMP Echos to 10.10.0.1, timeout is 2 seconds:

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Success rate is 100 percent (100/100), round-trip min/avg/max = 1/5/12 ms

Spoke3#show crypto ipsec sa | I ident|caps|spi

local  ident (addr/mask/prot/port): (10.1.1.4/255.255.255.255/47/0)

remote ident (addr/mask/prot/port): (10.0.0.2/255.255.255.255/47/0)

#pkts encaps: 300, #pkts encrypt: 300, #pkts digest: 300

#pkts decaps: 309, #pkts decrypt: 309, #pkts verify: 309

current outbound spi: 0xA9571C00(2841058304)

spi: 0x822DDAAD(2184043181)

spi: 0xA9571C00(2841058304)

관련 정보

- FlexVPN: IKEv2 with Built-in Windows Client and Certificate Authentication TechNote

- FlexVPN 및 AnyConnect IKEv2 클라이언트 컨피그레이션 예 TechNote

- FlexVPN 구축: EAP-MD5 TechNote를 사용한 AnyConnect IKEv2 원격 액세스

- IKEv2 패킷 교환 및 프로토콜 수준 디버깅 기술 참고

- Cisco FlexVPN

- IPSec 협상/IKE 프로토콜

- Cisco AnyConnect Secure Mobility Client

- Cisco VPN 클라이언트

- 기술 지원 및 문서 − Cisco Systems