[index] CentreCOM AR560S コマンドリファレンス 2.9
- 基本設定
- ISAKMP/IKEによるIPsec VPN
- 手動鍵によるIPsec VPN
- 詳細設定
- IPsec/ISAKMPモジュールの有効化
- IPsecポリシー（SPD）
- SA情報の設定
- SAスペック
- バンドルスペック
- 鍵管理の設定
- ISAKMP/IKEによる自動鍵管理
- 手動鍵管理
- その他
- UDPトンネリング（ESP over UDP）
- IPsec NAT-Traversal（NAT-T）
- IPsecとファイアウォールの併用
- Unnumbered IPインターフェース使用時の注意
- IPsec DPD
- Responder Rekey Extension
- 動作・設定の確認
- 基本的な情報
- デバッグオプション
- 統計カウンター
IPsec（IP security）は、IPに暗号化や認証などのセキュリティー機能を付加する一連のプロトコル群です。
本製品は暗号処理チップをオンボード搭載しており、IPsecを使用した安全性の高いVPN（Virtual Private Network）を構築できます。
IPsecを使用すると、次のようなことが可能になります。
Note - IPsecを使用するには、通信データの暗号化と復号化を行うすべてのルーターが同じ暗号化方式に対応している必要があります。
| 基本設定 |
| ISAKMP/IKEによるIPsec VPN |
CREATE ENCO KEY=1 TYPE=GENERAL VALUE="jogefoge" ↓
CREATE ISAKMP POLICY=i PEER=2.2.2.2 KEY=1 SENDN=TRUE ↓
CREATE ISAKMP POLICY=i PEER=ANY KEY=1 SENDN=TRUE REMOTEID="RouterB" MODE=AGGRESSIVE ↓
CREATE ISAKMP POLICY=i PEER=1.1.1.1 KEY=1 SENDN=TRUE LOCALID="RouterB" MODE=AGGRESSIVE ↓
Note - 両方のルーターのアドレスが不定な場合は、IPsec VPNを実用的に使用することはできません。通常の運用では、少なくとも片側のアドレスが固定になっている必要があります。
CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROT=ESP ENCALG=DES HASHALG=SHA ↓
CREATE IPSEC BUNDLE=1 KEYMAN=ISAKMP STRING="1" ↓
CREATE IPSEC POLICY=isa INT=ppp0 ACTION=PERMIT LPORT=500 RPORT=500 TRANSPORT=UDP ↓
CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=2.2.2.2 ↓
SET IPSEC POLICY=vpn LAD=192.168.10.0 LMA=255.255.255.0 RAD=192.168.20.0 RMA=255.255.255.0 ↓
CREATE IPSEC POLICY=inet INT=ppp0 ACTION=PERMIT ↓
Note - この構成ではLAN側のコンピューターにプライベートアドレスが設定されているため、実際にLANからインターネットへアクセスするにはNATの設定が必要です。詳しくは「IPsecとファイアウォールの併用」をご覧ください。
ENABLE IPSEC ↓
ENABLE ISAKMP ↓
ADD USER=secoff PASS=PasswordS PRIVILEGE=SECURITYOFFICER ↓
LOGIN secoff ↓
CREATE CONFIG=ipsecvpn.cfg ↓
SET CONFIG=ipsecvpn.cfg ↓
ENABLE SYSTEM SECURITY_MODE ↓
Note - Security Officerレベルのユーザーが登録されていないと、セキュリティーモードに移行できません。
| 手動鍵によるIPsec VPN |
Note - 手動鍵を使う場合は、両方のルーターのアドレスが固定されていなくてはなりません。片側のアドレスが不定な場合は、ISAKMP/IKEによる自動鍵管理をご使用ください。
CREATE ENCO KEY=1 TYPE=DES RANDOM DESCRIPTION="IPsec DES key" ↓
CREATE ENCO KEY=2 TYPE=GENERAL LENGTH=20 RANDOM DESCRIPTION="IPsec SHA-1 key" ↓
SecOff > show enco key=1 j7amxbbrhun48a 0x4F40CB84313D1BAF IP Address: - SecOff > show enco key=2 0xca59ba48cd4e1c8d5ed3ad62ce786758cb01dcf3 IP Address: - |
CREATE ENCO KEY=1 TYPE=DES VALUE=0xF888CAC6C66ECF52 DESCRIPTION="IPsec DES key" ↓
CREATE ENCO KEY=2 TYPE=GENERAL VALUE=0x431d62cd3cb76fb8101dacaf43aa4dbfb919e957 DESCRITION="IPsec SHA-1 key" ↓
CREATE IPSEC SASPEC=1 KEYMAN=MANUAL PROT=ESP ENCALG=DES ENCKEY=1 HASHALG=SHA HASHKEY=2 INSPI=1000 OUTSPI=1001 ↓
CREATE IPSEC BUNDLE=1 KEYMAN=MANUAL STRING="1" ↓
CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=MANUAL BUNDLE=1 PEER=2.2.2.2 ↓
SET IPSEC POLICY=vpn LAD=192.168.10.0 LMA=255.255.255.0 RAD=192.168.20.0 RMA=255.255.255.0 ↓
CREATE IPSEC POLICY=inet INT=ppp0 ACTION=PERMIT ↓
Note - この構成ではLAN側のコンピューターにプライベートアドレスが設定されているため、実際にLANからインターネットへアクセスするにはNATの設定が必要です。詳しくは「IPsecとファイアウォールの併用」をご覧ください。
ENABLE IPSEC ↓
ADD USER=secoff PASS=PasswordS PRIVILEGE=SECURITYOFFICER ↓
LOGIN secoff ↓
CREATE CONFIG=ipsecvpn.cfg ↓
SET CONFIG=ipsecvpn.cfg ↓
ENABLE SYSTEM SECURITY_MODE ↓
Note - Security Officerレベルのユーザーが登録されていないと、セキュリティーモードに移行できません。
| 詳細設定 |
| IPsec/ISAKMPモジュールの有効化 |
ENABLE IPSEC ↓
ENABLE ISAKMP ↓
SHOW IPSEC ↓
SHOW ISAKMP ↓
| IPsecポリシー（SPD） |
CREATE IPSEC POLICY=name INTERFACE=interface ACTION={DENY|IPSEC|PERMIT} selectors... ipsec_params... ↓
| POLICY | ポリシー名。任意です |
| INTERFACE | 適用インターフェース。IPsecポリシーはインターフェースごとに設定します。ポリシーの検索は、パケットが指定インターフェースから送信されるとき、および、指定インターフェースで受信したときに行われます。通常はWAN側のインターフェースを指定します |
| ACTION | パケットに対する処理（アクション）。IPsec適用、通過、拒否の3種類があります（別表参照）。ポリシーの順番に気を付けてください |
| selectors... | パケットの条件指定パラメーター。始点・終点アドレス、プロトコル、ポートなど、パケットを分類するための条件を指定します（別表参照） |
| ipsec_params... | IPsec処理に関するパラメーター。アクションとして「IPsec適用」を選択したときだけ指定します（別表参照） |
| LADDRESS | ローカル側IPアドレス |
| LMASK | LADDRESSに対するネットマスク |
| LNAME | ローカル側システム名（フェーズ2 ID） |
| LPORT | ローカル側ポート番号（プロトコルがTCPかUDPのときのみ） |
| RADDRESS | リモート側IPアドレス |
| RMASK | RADDRESSに対するネットマスク |
| RNAME | リモート側システム名（フェーズ2 ID） |
| RPORT | リモート側ポート番号（プロトコルがTCPかUDPのときのみ） |
| TRANSPORTPROTOCOL | IPプロトコルタイプ（TCP、UDPなど） |
| PERMIT | パケットを通過させる（IPsecを適用しない） |
| IPSEC | パケットにIPsec処理を適用する（BUNDLESPECIFICATIONパラメーターで指定したSAバンドルの処理を適用する） |
| DENY | パケットを破棄する |
| BUNDLESPECIFICATION | SAバンドルスペック。IPsec処理（SAスペックで記述）の組み合わせを記述したSAバンドルスペックの番号を指定します |
| KEYMANAGEMENT | 鍵管理方式。鍵を自動（ISAKMP）で管理するか手動（MANUAL）で管理するかを指定します |
| PEERADDRESS | 対向IPsec機器のアドレス。トンネルモードSAの場合は、カプセル化したパケットの送り先（トンネルの終端）を指定します。また、トランスポートモードSAの場合は、対象パケットの最終的な送信先を指定します |
CREATE IPSEC POLICY=isa INT=ppp0 ACTION=PERMIT LPORT=500 RPORT=500 TRANSPORT=UDP ↓
CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=2.2.2.2 ↓
SET IPSEC POLICY=vpn LAD=192.168.10.0 LMA=255.255.255.0 RAD=192.168.20.0 RMA=255.255.255.0 ↓
Note - 手動鍵の場合は、KEYMANAGEMENTパラメーターにMANUALを指定してください。
CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=vpn LAD=192.168.10.0 LMA=255.255.255.0 RAD=192.168.20.0 RMA=255.255.255.0 ↓
CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=1.1.1.1 ↓
SET IPSEC POLICY=vpn LAD=192.168.20.0 LMA=255.255.255.0 RAD=192.168.10.0 RMA=255.255.255.0 ↓
Note - 片側のアドレスが不定なときはISAKMP/IKE（AggressiveモードまたはXAUTH）を使ってください。アドレスが不定なときは手動鍵は使えません。
CREATE IPSEC POLICY=vpncli INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=1.2.3.4 ↓
SET IPSEC POLICY=vpncli LAD=192.168.10.0 LMA=255.255.255.0 RAD=1.2.3.4 ↓
CREATE IPSEC POLICY=vpncli INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=vpncli LAD=192.168.10.0 LMA=255.255.255.0 RNAME=clientname ↓
CREATE IPSEC POLICY=vpncli INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=1.1.1.1 ↓
SET IPSEC POLICY=vpncli LNAME=clientname RAD=192.168.10.0 RMA=255.255.255.0 ↓
Note - 片側のアドレスが不定なときはISAKMP/IKE（AggressiveモードまたはXAUTH）を使ってください。アドレスが不定なときは手動鍵は使えません。
CREATE IPSEC POLICY=v1 INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=v1 LAD=192.168.10.0 LMA=255.255.255.0 RNAME=client1 ↓
CREATE IPSEC POLICY=v2 INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=v2 LAD=192.168.10.0 LMA=255.255.255.0 RNAME=client2 ↓
CREATE IPSEC POLICY=v3 INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=v3 LAD=192.168.10.0 LMA=255.255.255.0 RNAME=client3 ↓
CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=2 PEER=1.2.3.4 ↓
SET IPSEC POLICY=vpn LAD=1.1.1.1 RAD=1.2.3.4 ↓
Note - SAスペック、バンドルスペックの設定については「SA情報の設定」をご覧ください。
CREATE IPSEC POLICY=inet INT=ppp0 ACTION=PERMIT ↓
SHOW IPSEC POLICY ↓
SHOW IPSEC POLICY=vpn ↓
| SA情報の設定 |
CREATE IPSEC SASPECIFICATION=spec-id KEYMANAGEMENT={ISAKMP|MANUAL} PROTOCOL={AH|ESP} [MODE={TRANSPORT|TUNNEL}] algorithms... keys... spis... ↓
CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROTO=ESP ENCALG=DES HASHALG=SHA ↓
CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROTO=ESP ENCALG=DES HASHALG=NULL ↓
CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROTO=ESP ENCALG=NULL HASHALG=SHA ↓
Note - ENCALGとHASHALGの両方にNULLを指定することはできません。
CREATE IPSEC SASPEC=1 KEYMAN=MANUAL PROTO=ESP ENCALG=DES HASHALG=SHA ENCKEY=1 HASHKEY=2 INSPI=1000 OUTSPI=1001 ↓
CREATE IPSEC SASPEC=2 KEYMAN=ISAKMP PROTO=AH HASHALG=SHA ↓
CREATE IPSEC SASPEC=2 KEYMAN=MANUAL PROTO=AH HASHALG=SHA HASHKEY=2 INSPI=2000 OUTSPI=2001 ↓
SHOW IPSEC SASPECIFICATION ↓
SHOW IPSEC SASPECIFICATION=1 ↓
SHOW IPSEC SA ↓
SHOW IPSEC SA=1 ↓
CREATE IPSEC BUNDLESPECIFICATION=bspec-id KEYMANAGEMENT={ISAKMP|MANUAL} ↓
STRING="bundle-string" sa_lifetime... ↓
| 1 | ESP | DES | SHA1 | − |
| 2 | ESP | DES | MD5 | − |
| 3 | AH | − | SHA1 | − |
| 4 | AH | − | MD5 | − |
"1" ↓
"1 and 3" ↓
"1 and 3 or 4" ↓
"1 and 3, 1 and 4, 1" ↓
CREATE IPSEC BUNDLE=1 KEYMAN=ISAKMP STR="1" ↓
CREATE IPSEC BUNDLE=2 KEYMAN=MANUAL STR="2 and 4" ↓
CREATE IPSEC BUNDLE=3 KEYMAN=ISAKMP STR="1 and 3, 1" ↓
SHOW IPSEC BUNDLESPECIFICATION ↓
SHOW IPSEC BUNDLESPECIFICATION=1 ↓
SHOW IPSEC POLICY SABUNDLE ↓
SHOW IPSEC POLICY=v1 SABUNDLE ↓
| 鍵管理の設定 |
Note - RSAデジタル署名方式ではPKIモジュールを使用するため、別売のPKIフィーチャーライセンス（AT-FL-06-B）が必要です。ISAKMPポリシーはCREATE ISAKMP POLICYコマンドで作成します。事前共有鍵方式で相手認証を行う場合、最低限必要なパラメーターは次のとおりです。ポリシー名、相手機器のアドレス、事前共有鍵の番号を指定してください。「SENDNOTIFY=TRUE」は相互接続性のためのパラメーターです。
CREATE ISAKMP POLICY=name PEER={ipadd|ANY} [KEY=0..65535] SENDNOTIFY=TRUE ↓
CREATE ENCO KEY=1 TYPE=GENERAL VALUE="pobaetrpnjkakdf" ↓
CREATE ISAKMP POLICY=i PEER=2.2.2.2 KEY=1 SENDN=TRUE ↓
CREATE ISAKMP POLICY=i PEER=ANY KEY=1 REMOTEID=client MODE=AGGRESSIVE SENDN=TRUE ↓
CREATE ISAKMP POLICY=i PEER=1.1.1.1 KEY=1 LOCALID=client MODE=AGGRESSIVE SENDN=TRUE ↓
Note - LOCALIDを指定しなかった場合、IDペイロードには自分のIPアドレスがセットされます。
CREATE ISAKMP POLICY=two PEER=2.2.2.2 KEY=1 SENDN=TRUE ↓
CREATE ISAKMP POLICY=three PEER=3.3.3.3 KEY=2 SENDN=TRUE ↓
CREATE ISAKMP POLICY=c1 PEER=ANY KEY=1 REMOTEID=peer1 MODE=AGGRESSIVE SENDN=TRUE ↓
CREATE ISAKMP POLICY=c2 PEER=ANY KEY=2 REMOTEID=peer2 MODE=AGGRESSIVE SENDN=TRUE ↓
CREATE ISAKMP POLICY=i PEER=ANY KEY=1 SENDN=TRUE XAUTH=SERVER ↓
ADD USER=client1 PASSWORD=passclie1 LOGIN=NO ↓
ADD USER=client2 PASSWORD=passclie2 LOGIN=NO ↓
... ↓
CREATE ISAKMP POLICY=i PEER=1.1.1.1 KEY=1 SENDN=TRUE XAUTH=CLIENT ↓
SET ISAKMP POLICY=i XAUTHNAME=client1 XAUTHPASS=passclie1 ↓
CREATE ISAKMP POLICY=i PEER=2.2.2.2 AUTHTYPE=RSASIG LOCALRSAKEY=2 SENDN=TRUE ↓
CREATE ISAKMP POLICY=i PEER=2.2.2.2 KEY=1 SENDN=TRUE GROUP=2 ↓
SHOW ISAKMP POLICY ↓
SHOW ISAKMP POLICY=i ↓
| その他 |
Note - ただし、NATによってIPヘッダーが変更されるため、セキュリティープロトコルとしてAHを使うことはできません。これは、AHのデータ認証範囲が外側IPヘッダー（の一部）を含むためです。
Note - ESP over UDPを使う場合は、該当するISAKMPポリシーでNAT-Traversal（NAT-T）を無効に設定してください（デフォルトは無効）。NAT-Tの有効・無効は、CREATE ISAKMP POLICYコマンド、SET ISAKMP POLICYコマンドのNATTRAVERSALパラメーターで指定します。
SET IPSEC POLICY=vpn UDPTUNNEL=TRUE ↓
SET IPSEC POLICY=vpn UDPHEARTBEAT=TRUE ↓
CREATE IPSEC POLICY=udp INT=ppp0 ACTION=PERMIT LPORT=2746 TRANSPORT=UDP ↓
SET IPSEC UDPPORT=3456 ↓
SET IPSEC POLICY=vpn UDPPORT=3456 ↓
Note - UDPポートを変更したときは、トンネリングパケットを通過させるIPsecポリシーの条件も忘れずに変更してください。
Note - NAT機器を経由する場合はIPヘッダーが変更されるため、セキュリティープロトコルとしてAHを使うことはできません。これは、AHのデータ認証範囲が外側IPヘッダー（の一部）を含むためです。
Note - ESP over UDPを使う場合は、該当するISAKMPポリシーでNAT-Traversal（NAT-T）を無効に設定してください（デフォルトは無効）。NAT-Tの有効・無効は、CREATE ISAKMP POLICYコマンド、SET ISAKMP POLICYコマンドのNATTRAVERSALパラメーターで指定します。
SET ISAKMP POLICY=i NATTRAVERSAL=TRUE ↓
CREATE IPSEC POLICY=natt INT=ppp0 ACTION=PERMIT LPORT=4500 TRANSPORT=UDP ↓
ENABLE FIREWALL CREATE FIREWALL POLICY=net ENABLE FIREWALL POLICY=net ICMP_F=ALL DISABLE FIREWALL POLICY=net IDENTPROXY ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp0 |
ADD FIREWALL POLICY=net RULE=1 ACTION=ALLOW INT=ppp0 PROT=UDP GBLPORT=500 GBLIP=1.1.1.1 PORT=500 IP=1.1.1.1 ↓
ADD FIREWALL POLICY=net RULE=2 ACTION=ALLOW INT=ppp0 PROT=UDP GBLPORT=2746 GBLIP=1.1.1.1 PORT=2746 IP=1.1.1.1 ↓
ADD FIREWALL POLICY=net RULE=3 ACTION=ALLOW INT=ppp0 PROT=UDP GBLPORT=4500 GBLIP=1.1.1.1 PORT=4500 IP=1.1.1.1 ↓
ADD FIREWALL POLICY=net RULE=3 ACTION=NONAT INT=vlan1 PROT=ALL IP=192.168.10.1-192.168.10.254 ↓
SET FIREWALL POLICY=net RULE=3 REMOTEIP=192.168.20.1-192.168.20.254 ↓
ADD FIREWALL POLICY=net RULE=4 ACTION=NONAT INT=ppp0 PROT=ALL IP=192.168.10.1-192.168.10.254 ENCAP=IPSEC ↓
ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP INT=eth1 IP=4.4.4.1 MASK=255.255.255.248 ↓
ADD IP INT=eth1 IP=4.4.4.1 MASK=255.255.255.248 ↓
ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓
ENABLE IP ↓
ENABLE IP REMOTEASSIGN ↓
ADD IP INT=ppp0 IP=0.0.0.0 ↓
ADD IP INT=eth1 IP=4.4.4.1 MASK=255.255.255.248 ↓
ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXT=0.0.0.0 ↓
ENABLE IP ↓
ENABLE IP REMOTEASSIGN ↓
ADD IP INT=ppp0-0 IP=0.0.0.0 ↓
ADD IP INT=ppp0-1 IP=4.4.4.6 MASK=255.255.255.255 ↓
ADD IP INT=eth1 IP=4.4.4.1 MASK=255.255.255.248 ↓
ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp0-1 NEXT=0.0.0.0 ↓
| ISAKMPピア：ISAKMP、IPsec有効 | SAとのネゴシエーション時 | DPDを使用するかどうかを指定した場合、DPDメッセージの送信者になることがある |
| DPDピア：DPDMODEパラメーターにreceiveまたは、bothを指定したARルーターまたは、DPDをサポートする他機器を指定した場合 | IPsecピアからR-U-THEREメッセージを受け取る | R-U-THEREメッセージを送り返すことにより応答する |
| DPDピア：DPDMODEパラメーターにbothを指定したARルーターを指定した場合 | IPsecピアから暗号化されたメッセージを受け取る | dpdidletimerをスタート、または再開させる |
| dpdidletimerが切れた場合 | R-U-THERE IKEはピアのmessagetoが有効かどうかテストする | |
| IPsecピアからR-U-THEREACKメッセージを受け取った場合 | dpdidletimerを再開させる | |
| R-U-THEREメッセージに対するピアのR-U-THEREACKメッセージを受け取らない場合 | R-U-THEREメッセージを再送する（msgretrylimit、messagebackoff、msgtimeoutパラメーターで指定する） | |
| 再試行の設定数を超えたためR-U-THEREACKメッセージを受け取らない場合 | 通信が断絶していると考え、IPsec SA、ISAKMP SAを削除する |
| 動作・設定の確認 |
| 基本的な情報 |
SHOW IPSEC ↓
SHOW ISAKMP ↓
SHOW ISAKMP SA ↓
SecOff > show isakmp sa
Expiry Limits - hard/soft/used
SA Id PeerAddress EncA. HashA. Bytes Seconds
-----------------------------------------------------------------------------
3 1.1.1.1 DES SHA -/-/- 86400/82080/1382
|
SHOW ENCO KEY=1 ↓
SHOW ISAKMP POLICY ↓
SHOW ISAKMP POLICY=i ↓
SHOW CONFIG DYNAMIC=ISAKMP ↓
SHOW LOG MODULE=ISAK ↓
SHOW LOG TYPE=IKMP ↓
SecOff > show log module=isak
Date/Time S Mod Type SType Message
-------------------------------------------------------------------------------
03 11:22:49 3 ISAK IKMP MSG ISAKMP has been enabled
03 11:31:10 3 ISAK IKMP XCHG Exchange 1: Phase 1 [init] started with peer
2.2.2.2
03 11:31:14 3 ISAK IKMP XCHG Exchange 1: Notification Received - DOI
03 11:31:14 3 ISAK IKMP XCHG Exchange 1: Completed successfully
03 11:31:14 3 ISAK IKMP XCHG Exchange 2: Phase 2 [init] started with peer
2.2.2.2
03 11:31:14 3 ISAK IKMP XCHG Exchange 2: Completed successfully
-------------------------------------------------------------------------------
|
SHOW ISAKMP EXCHANGE ↓
SecOff > show isakmp exchange
ISAKMP Exchanges
Id Phase State PeerAddress Type
-----------------------------------------------------------------
3 4 WAIT_HASH_SA_NONCE 2.2.2.2 QUICK
|
SHOW IPSEC SA ↓
SecOff > show ipsec sa
SA Id Policy Bundle State Protocol OutSPI InSPI
-----------------------------------------------------------------------------
2 v1 1 Valid ESP 3154027431 4241764757
3 v1 1 Valid AH 1252362122 3221961085
4 vf3 1 Valid ESP 28060662 981246197
5 vf1 1 Valid ESP 51507534 3371320620
|
SecOff > show ipsec policy sabundle Ipsec Policy SA Bundles Bundle Expiry Limits - hard/soft/used Index SA's State Bytes Seconds ------------------------------------------------------------------------ Policy ..........v1 0 2,3 VALID -/-/1728 28800/27360/2732 Policy ..........vx1 Policy ..........vf1 0 5 VALID -/-/220 28800/27360/2004 Policy ..........vf2 Policy ..........vf3 0 4 VALID -/-/440 28800/27360/2052 |
SHOW IPSEC SASPECIFICATION ↓
SHOW IPSEC BUNDLESPECIFICATION ↓
SHOW IPSEC POLICY ↓
SHOW CONFIG DYNAMIC=IPSEC ↓
SHOW LOG MODULE=IPSE ↓
SHOW LOG TYPE=IPSC ↓
SecOff > show log type=ipsc Date/Time S Mod Type SType Message ------------------------------------------------------------------------------- 17 07:54:36 3 IPSE IPSC MSG IPSEC has been enabled 17 07:55:29 3 IPSE IPSC MSG SA bundle created: Policy - v1 17 08:11:28 3 IPSE IPSC MSG SA bundle created: Policy - vf3 17 08:12:17 3 IPSE IPSC MSG SA bundle created: Policy - vf1 ------------------------------------------------------------------------------- |
| デバッグオプション |
ENABLE ISAKMP DEBUG={ALL|DEFAULT|PACKET|PKT|PKTRAW|STATE|TRACE|TRACEMORE} ↓
SecOff > enable isakmp debug=pkt
Info (182057): ISAKMP Debugging has been enabled.
SecOff > ISAKMP Tx Message
Cookie's: 5052045c2e566b81:0000000000000000
Xchg Type: IDPROT(2) Ver: 10 Flags: 00
MessageID: 00000000 Total Length: 84
Payload #: 0 Length: 56 Type: Security Association (SA)
DOI: IPSEC(0) Situation: 00000001
Proposal#: 1 Protocol: ISAKMP(1) #Trans: 1 SPI:
Transform#: 1
Transform Id .................. IKE(1)
Encryption Algorithm........... DES(1)
Authentication Algorithm....... SHA(2)
Authentication Method.......... PRESHARED(1)
Group Description.............. 768(1)
Group Type..................... MODP
Expiry Seconds................. 86400
|
ENABLE IPSEC POLICY=policy DEBUG={FILTER|PACKET|TRACE|ALL} ↓
SecOff > ena ipsec policy=vpn debug=packet
Info (181057): IPSEC Policy Debugging has been enabled.
SecOff >
IPSEC vpn: 2: OUT: pre processing:
IP: 45000028eb1040002006d908c0a81464c0a80102
TCP: 0429005005b7e65c01faee4c5004000038560000
data:
IPSEC vpn: 2: OUT: post processing:
IP: 450000604b7f00004032fa573f0c42ef01010101
ESP: 14f45fa300000b09:35d26e02458706623d9aa9bf
data: 9fcd18d0a34ffeecb8b0f574ddeaa820f8ba0db36cd7a9fc0254f08215e2aa7ecdb34688
6193f17d39cc7f096276238bf262b668920b51c535d26e02458706623d9aa9bf
|
| 統計カウンター |
SHOW IPSEC COUNTERS ↓
SHOW ISAKMP COUNTERS ↓
SHOW ISAKMP COUNTERS=MAIN ↓
SHOW ISAKMP COUNTERS=AGGRESSIVE ↓
SHOW ISAKMP COUNTERS=QUICK ↓
SHOW IPSEC POLICY=vpn COUNTERS ↓
SHOW IPSEC SA ↓
SHOW IPSEC SA=2 ↓
(C) 2010-2014 アライドテレシスホールディングス株式会社
PN: 613-001314 Rev.G