인증서로 정책 기반 IPsec VPN 구성

단계별 절차

다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 Junos OS CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.

PKI를 구성하려면 다음을 수행합니다.

1. 기가비트 이더넷 인터페이스에서 IP 주소 및 프로토콜 제품군을 구성합니다.

2. 인터넷 다음 홉에 대한 기본 경로를 구성합니다.

3. 시스템 시간 및 날짜를 설정합니다.

   구성이 커밋된 후 명령을 사용하여 show system uptime 클럭 설정을 확인합니다.

4. NTP 서버 주소를 설정합니다.

5. DNS 구성을 설정합니다.

단계별 절차

1. 신뢰할 수 있는 CA 프로필을 만듭니다.

2. 해지 검사를 작성하여 인증서 해지 확인 방법을 지정합니다.

   새로 고침 간격(시간)을 설정하여 CRL을 업데이트할 빈도를 지정합니다. 기본값은 CRL의 다음 업데이트 시간 또는 다음 업데이트 시간이 지정되지 않은 경우 1주일입니다.

   revocation-check 구성 문에서 옵션을 사용하여 disable 해지 검사를 비활성화하거나 옵션을 선택하여 crl CRL 속성을 구성할 수 있습니다. CA 프로필에 대한 CRL 다운로드가 실패한 경우 CA 프로필과 일치하는 세션을 허용하는 옵션을 선택할 disable on-download-failure 수 있습니다. 세션은 동일한 CA 프로필에 이전 CRL이 없는 경우에만 허용됩니다.

3. CRL(HTTP 또는 LDAP)을 검색할 위치(URL)를 지정합니다. 기본적으로 URL은 비어 있으며 CA 인증서에 포함된 CDP 정보를 사용합니다.

   현재는 URL을 하나만 구성할 수 있습니다. 백업 URL 구성에 대한 지원은 사용할 수 없습니다.

4. CA 관리자에게 인증서 요청을 직접 보낼 전자 메일 주소를 지정합니다.

5. 구성을 커밋합니다.

단계별 절차

CA 프로필이 구성되면 다음 단계는 주니퍼 네트웍스 디바이스에 키 페어를 생성하는 것입니다. 개인 및 공개 키 쌍을 생성하려면 다음을 수행합니다.

1. 인증서 키 쌍을 만듭니다.

결과

퍼블릭-프라이빗 키 페어가 생성된 후 주니퍼 네트웍스 디바이스는 다음을 표시합니다.

단계별 절차

1. PKCS-10 형식으로 로컬 디지털 인증서 요청을 생성합니다. request security pki generate-certificate-request를 참조하세요.

   PKCS10 인증서 샘플에서 요청은 BEGIN CERTIFICATE REQUEST 행으로 시작하고 이를 포함하며 END CERTIFICATE REQUEST 행으로 끝나고 포함합니다. 등록을 위해 이 부분을 복사하여 CA에 붙여넣을 수 있습니다. 필요에 따라 ms-cert-req 파일을 오프로드하여 CA로 보낼 수도 있습니다.

2. CA에 인증서 요청을 제출하고 인증서를 검색합니다.

단계별 절차

1. 로컬 인증서, CA 인증서 및 CRL을 로드합니다.

   명령을 file list사용하여 모든 파일이 업로드되었는지 확인할 수 있습니다.

2. 지정된 외부 파일에서 로컬 저장소로 인증서를 로드합니다.

   또한 개인 또는 공개 키 쌍과의 적절한 연결을 유지하기 위해 인증서 ID를 지정해야 합니다. 이 단계에서는 인증서를 PKI 모듈의 RAM 캐시 스토리지에 로드하고, 연결된 프라이빗 키를 확인하고, 서명 작업을 확인합니다.

3. 지정된 외부 파일에서 CA 인증서를 로드합니다.

   CA 인증서를 구성된 프로파일에 연결하려면 CA 프로파일을 지정해야 합니다.

4. CRL을 로컬 스토리지에 로드합니다.

   CRL의 최대 크기는 5MB입니다. 명령에서 연결된 CA 프로필을 지정해야 합니다.

결과

모든 로컬 인증서가 로드되었는지 확인합니다.

명령줄에서 certificate-ID를 지정하여 개별 인증서 세부 정보를 표시할 수 있습니다.

모든 CA 인증서 또는 개별 CA 프로파일(지정)의 CA 인증서를 확인합니다.

로드된 모든 CRL 또는 지정된 개별 CA 프로필의 CRL을 확인합니다.

로컬 인증서 및 CA 인증서의 인증서 경로를 확인합니다.

단계별 절차

인증서로 IPsec VPN을 구성하려면 에 표시된 네트워크 다이어그램을 참조하십시오 그림 1

1. 보안 영역을 구성하고 영역에 인터페이스를 할당합니다.

   이 예에서 패킷은 에서 수신 ge-0/0/0되며 수신 영역은 트러스트 영역입니다.

2. 각 영역에 대한 호스트 인바운드 서비스를 구성합니다.

   호스트 인바운드 서비스는 주니퍼 네트웍스 디바이스로 향하는 트래픽을 위한 것입니다. 이러한 설정에는 FTP, HTTP, HTTPS, IKE, ping, rlogin, RSH, SNMP, SSH, Telnet, TFTP 및 traceroute가 포함되지만 이에 국한되지 않습니다.

3. 각 영역에 대한 주소록 항목을 구성합니다.

4. RSA 암호화를 사용하도록 IKE(1단계) 제안을 구성합니다.

5. IKE(Internet Key Exchange) 정책을 구성합니다.

   1단계 교환은 메인 모드 또는 적극적인 모드에서 발생할 수 있습니다.

6. IKE(Internet Key Exchange) 게이트웨이를 구성합니다.

   이 예에서 피어는 FQDN(호스트 이름)으로 식별됩니다. 따라서 게이트웨이 IKE(Internet Key Exchange) ID는 원격 피어 도메인 이름이어야 합니다. 1단계 설정 중에 IKE(Internet Key Exchange) 게이트웨이를 올바르게 식별하려면 올바른 외부 인터페이스 또는 피어 ID를 지정해야 합니다.

7. IPsec 정책을 구성합니다.

   이 예에서는 및 esp-group2- aes128-sha1 제안을 포함하는 esp-group2-3des-sha1 표준 제안 세트를 사용합니다. 그러나 고유한 제안을 만든 다음 필요한 경우 IPsec 정책에 지정할 수 있습니다.

8. IKE(Internet Key Exchange) 게이트웨이 및 IPsec 정책을 사용하여 IPsec VPN을 구성합니다.

   이 예에서는 보안 연결을 생성하기 위해 터널 정책에서 ike-vpn VPN 이름을 참조해야 합니다. 또한 필요한 경우 유휴 시간 및 프록시 ID가 터널 정책 주소와 다른 경우 지정할 수 있습니다.

9. VPN 트래픽에 대한 양방향 터널 정책을 구성합니다.

   이 예에서 호스트 LAN에서 원격 사무실 LAN으로의 트래픽에는 from-zone trust to zone untrust 터널 정책이 필요합니다. 그러나 세션이 원격 LAN에서 호스트 LAN으로 시작되어야 하는 경우, from-zone untrust에서 to-zone 신뢰와 반대 방향의 터널 정책도 필요합니다. 페어 정책과 반대 방향으로 정책을 지정하면 VPN은 양방향이 됩니다. 허용 작업 외에도 사용할 IPsec 프로파일도 지정해야 합니다. 터널 정책의 경우 작업은 항상 permit입니다. 실제로 거부 작업으로 정책을 구성하는 경우 터널을 지정하는 옵션이 표시되지 않습니다.

10. 인터넷 트래픽에 대한 소스 NAT 규칙 및 보안 정책을 구성합니다.

    디바이스는 지정된 source-nat 인터페이스를 사용하며, 송신 인터페이스의 IP 주소를 소스 IP 주소 및 소스 포트에 대한 임의 상위 포트로 사용하여 나가는 트래픽에 대한 소스 IP 주소 및 포트를 변환합니다. 필요한 경우 보다 세분화된 정책을 만들어 특정 트래픽을 허용하거나 거부할 수 있습니다.

11. 터널 정책을 any-permit 정책 위로 이동합니다.

    정책 목록은 위에서 아래로 읽히기 때문에 보안 정책은 계층의 터널 정책 아래에 있어야 합니다. 이 정책이 터널 정책 위에 있는 경우 트래픽은 항상 이 정책과 일치하며 다음 정책으로 진행되지 않습니다. 따라서 사용자 트래픽이 암호화되지 않습니다.

12. 터널을 통과하는 TCP 트래픽에 대한 tcp-mss 설정을 구성합니다.

    TCP-MSS는 TCP 3방향 핸드셰이크의 일부로 협상됩니다. 네트워크의 MTU 제한을 수용하기 위해 TCP 세그먼트의 최대 크기를 제한합니다. IP 및 프레임 오버헤드와 함께 IPsec 캡슐화 오버헤드로 인해 결과 ESP 패킷이 물리적 인터페이스의 최대 전송 단위(MTU)를 초과하여 단편화가 발생할 수 있기 때문에 이는 VPN 트래픽에 매우 중요합니다. 단편화는 대역폭과 디바이스 리소스 사용량을 증가시키기 때문에 일반적으로 피해야 합니다.

    tcp-mss에 사용할 권장 값은 MTU가 1500 이상인 대부분의 이더넷 기반 네트워크에서 1350입니다. 경로의 디바이스가 MTU의 더 낮은 값을 갖거나 PPP, 프레임 릴레이 등과 같은 추가 오버헤드가 있는 경우 이 값을 변경해야 할 수 있습니다. 일반적으로 최적의 성능을 얻기 위해 다양한 tcp-mss 값을 실험해야 할 수 있습니다.

목적

IKE(Internet Key Exchange) 1단계 보안 연결 상태를 확인하여 VPN 상태를 확인합니다.

IPsec 터널과 관련된 PKI는 1단계 설정 중에 형성됩니다. 1단계를 완료하면 PKI가 성공한 것입니다.

작업

운영 모드에서 show security ike security-associations 명령을 입력합니다.

의미

출력은 다음을 나타냅니다.

• 원격 피어는 10.2.2.2이고 상태는 UP이며, 이는 1단계 설정이 성공적으로 연결되었음을 의미합니다.

• 원격 피어 IKE(INTERNET KEY EXCHANGE) ID, IKE(Internet Key Exchange) 정책 및 외부 인터페이스가 모두 정확합니다.

• 인덱스 20은 각 IKE 보안 연결에 대한 고유한 값입니다. 이 출력 세부 정보를 사용하여 각 보안 연결에 대한 자세한 정보를 얻을 수 있습니다. 개별 보안 연결에 대한 세부 정보 가져오기을(를) 참조하세요.

잘못된 출력은 다음을 나타냅니다.

• 원격 피어 상태는 Down입니다.

• IKE 보안 연결이 없습니다.

• 잘못된 모드 유형(Aggr 또는 Main), PKI 문제 또는 1단계 제안(모두 두 피어에서 일치해야 함)과 같은 IKE 정책 매개 변수가 있습니다. 자세한 정보는 IKE, PKI 및 IPsec 문제 해결을 참조하십시오.

• 외부 인터페이스는 IKE 패킷을 수신하는 데 유효하지 않습니다. PKI 관련 문제에 대한 구성을 확인하거나, 키 관리 데몬(kmd) 로그에서 다른 오류를 확인하거나, 추적 옵션을 실행하여 불일치를 찾습니다. 자세한 정보는 IKE, PKI 및 IPsec 문제 해결을 참조하십시오.

목적

개별 IKE(Internet Key Exchange)에 대해 자세히 알아보십시오.

작업

운영 모드에서 show security ike security-associations index 20 detail 명령을 입력합니다.

의미

출력에는 역할(개시자 또는 응답자), 상태, 교환 유형, 인증 방법, 암호화 알고리즘, 트래픽 통계, 2단계 협상 상태 등과 같은 개별 IKE SA의 세부 정보가 표시됩니다.

출력 데이터를 사용하여 다음을 수행할 수 있습니다.

• IKE(Internet Key Exchange) SA의 역할을 파악합니다. 피어에 응답자 역할이 있으면 문제 해결이 더 쉬워집니다.

• 트래픽 통계를 가져와 양방향의 트래픽 흐름을 확인합니다.

• 생성되었거나 진행 중인 IPsec 보안 연결의 수를 가져옵니다.

• 완료된 2단계 협상의 상태를 가져옵니다.

목적

IPsec(2단계) 보안 연결을 봅니다.

IKE(Internet Key Exchange) 1단계가 확인되면 IPsec(2단계) 보안 연결을 확인합니다.

작업

운영 모드에서 show security ipsec security-associations 명령을 입력합니다.

의미

출력은 다음을 나타냅니다.

• 구성된 IPsec SA 쌍을 사용할 수 있습니다. 포트 번호 500은 표준 IKE 포트가 사용됨을 나타냅니다. 그렇지 않으면 NAT-T(Network Address Translation-Traversal), 4500 또는 랜덤 하이 포트입니다.

• SPI(보안 매개 변수 인덱스)는 양방향으로 사용됩니다. SA의 수명 또는 사용 제한은 초 또는 킬로바이트 단위로 표시됩니다. 출력에서 1676/ unlim은 2단계 수명이 1676초 후에 만료되도록 설정되었으며 지정된 수명 크기가 없음을 나타냅니다.

• ID 번호는 각 IPsec SA의 고유 인덱스 값을 표시합니다.

• Mon 열의 하이픈(-)은 이 SA에 대해 VPN 모니터링이 활성화되지 않았음을 나타냅니다.

• 가상 시스템(vsys)은 기본값인 0입니다.

2단계 수명은 VPN이 가동된 후 1단계에 종속되지 않기 때문에 1단계 수명과 다를 수 있습니다.

목적

인덱스 번호로 식별된 개별 IPsec SA 세부 정보를 표시합니다.

작업

운영 모드에서 show security ipsec security-associations index 2 detail 명령을 입력합니다.

의미

출력에는 로컬 ID와 원격 ID가 표시됩니다.

프록시 ID 불일치로 인해 2단계 완료가 실패할 수 있습니다. 프록시 ID는 터널 정책에서 파생됩니다(정책 기반 VPN의 경우). 로컬 주소 및 원격 주소는 주소록 항목에서 파생되며 서비스는 정책에 대해 구성된 응용 프로그램에서 파생됩니다.

프록시 ID 불일치로 인해 2단계가 실패하면 정책에 어떤 주소록 항목이 구성되어 있는지 확인하고 올바른 주소가 전송되었는지 확인합니다. 또한 포트가 일치하는지 확인합니다. 서비스를 다시 확인하여 원격 서버와 로컬 서버에 대한 포트가 일치하는지 확인합니다.

소스 주소, 목적지 주소 또는 애플리케이션에 대한 터널 정책에 여러 개체가 구성된 경우 해당 매개 변수에 대한 결과 프록시 ID가 0으로 변경됩니다.

예를 들어 터널 정책에 대해 다음과 같은 시나리오를 가정해 보겠습니다.

• 로컬 주소 192.168.10.0/24 및 10.10.20.0/24

• 원격 주소 192.168.168.0/24

• 애플리케이션을 junos-http로 사용

결과 프록시 ID는 로컬 0.0.0.0/0, 원격 192.168.168.0/24, 서비스 80입니다.

결과 프록시 ID는 원격 피어가 두 번째 서브넷에 대해 구성되지 않은 경우 상호 운용성에 영향을 미칠 수 있습니다. 또한 타사 공급업체의 애플리케이션을 사용하는 경우 일치하도록 프록시 ID를 수동으로 입력해야 할 수도 있습니다.

IPsec이 완료되지 않으면 kmd 로그를 확인하거나 명령을 사용합니다 set traceoptions . 자세한 정보는 IKE, PKI 및 IPsec 문제 해결을 참조하십시오.

목적

IPsec SA에 대한 통계 및 오류를 확인합니다.

문제 해결을 위해 ESP/AH(Encapsulating Security Payload/Authentication Header) 카운터에서 특정 IPsec SA의 오류를 확인합니다.

작업

운영 모드에서 show security ipsec statistics index 2 명령을 입력합니다.

의미

출력의 오류 값 0은 정상 상태를 나타냅니다.

이 명령을 여러 번 실행하여 VPN 전반의 패킷 손실 문제를 관찰하는 것이 좋습니다. 이 명령의 출력에는 암호화 및 복호화된 패킷 카운터, 오류 카운터 등에 대한 통계도 표시됩니다.

보안 플로우 추적 옵션을 활성화하여 오류가 발생하는 ESP 패킷과 그 이유를 조사해야 합니다. 자세한 정보는 IKE, PKI 및 IPsec 문제 해결을 참조하십시오.

목적

1단계 및 2단계가 성공적으로 완료된 후 VPN을 통한 테스트 트래픽 플로우. 명령을 사용하여 트래픽 흐름을 테스트할 수 있습니다 ping . 로컬 호스트에서 원격 호스트로 ping할 수 있습니다. 주니퍼 네트웍스 디바이스 자체에서 ping을 시작할 수도 있습니다.

이 예는 주니퍼 네트웍스 디바이스에서 원격 호스트로 ping 요청을 시작하는 방법을 보여줍니다. 주니퍼 네트웍스 디바이스에서 핑이 시작될 때 올바른 경로 조회가 이루어지고 정책 조회에서 적절한 영역이 참조되도록 소스 인터페이스를 지정해야 합니다.

이 예에서 ge-0/0/0.0 인터페이스는 로컬 호스트와 동일한 보안 영역에 상주하며, 정책 조회가 존 트러스트에서 존 언트러스트로 이루어질 수 있도록 핑 요청에 지정되어야 합니다.

작업

운영 모드에서 ping 192.168.168.10 interface ge-0/0/0 count 5 명령을 입력합니다.

목적

원격 호스트와 로컬 호스트 간의 연결을 확인합니다.

작업

운영 모드에서 ping 192.168.10.10 from ethernet0/6 명령을 입력합니다.

의미

원격 호스트에서 로컬 호스트로의 명령을 사용하여 ping 엔드 투 엔드 연결을 확인할 수 있습니다. 이 예에서는 SSG5 디바이스에서 명령이 시작됩니다.

종단 간 연결 실패는 라우팅, 정책, 최종 호스트 또는 ESP 패킷의 암호화/암호 해독에 문제가 있음을 나타낼 수 있습니다. 오류의 정확한 원인을 확인하려면 다음을 수행합니다.

• 에 설명된 대로 오류에 대한 자세한 내용은 IPsec 통계를 IPsec SA 통계 확인확인하십시오.

• 최종 호스트와 동일한 서브넷에 ping 있는 호스트의 명령을 사용하여 최종 호스트 연결을 확인합니다. 다른 호스트가 엔드 호스트에 연결할 수 있는 경우 엔드 호스트에 문제가 없다고 가정할 수 있습니다.

• 라우팅 관련 문제 및 정책 관련 문제를 해결하기 위해 보안 플로우 추적 옵션을 활성화합니다.

문제

기본적인 문제 해결 단계는 다음과 같습니다.

1. 문제 식별 및 격리.

2. 문제를 디버깅하는 중입니다.

문제 해결을 시작하는 일반적인 방법은 OSI 계층의 가장 낮은 계층을 사용하여 OSI 스택을 사용하여 오류가 발생한 계층을 확인하는 것입니다.

솔루션

IKE, PKI 및 IPsec 문제 해결을 위한 기본 단계는 다음과 같습니다.

• 물리적 및 데이터 링크 수준에서 인터넷 링크의 물리적 연결을 확인합니다.

• 주니퍼 네트웍스 디바이스가 인터넷, 다음 홉 및 원격 IKE(Internet Key Exchange) 피어에 연결되어 있는지 확인합니다.

• IKE(Internet Key Exchange) 1단계 완료를 확인합니다.

• IKE(Internet Key Exchange) 1단계 완료에 성공하면 IKE(Internet Key Exchange) 2단계 완료를 확인합니다.

• VPN 전반의 트래픽 흐름을 확인합니다(VPN이 작동 중이고 활성 상태인 경우).

Junos OS에는 추적 옵션 기능이 포함되어 있습니다. 이 기능을 사용하면 trace 옵션 플래그를 활성화하여 trace 옵션의 데이터를 로그 파일에 기록할 수 있으며, 로그 파일은 미리 결정하거나 수동으로 구성하여 플래시 메모리에 저장할 수 있습니다. 이러한 추적 로그는 시스템 재부팅 후에도 유지될 수 있습니다. 추적 옵션을 구현하기 전에 사용 가능한 플래시 스토리지를 확인합니다.

구성 모드에서 추적 옵션 기능을 활성화하고 추적 옵션 기능을 사용하도록 구성을 커밋할 수 있습니다. 마찬가지로 추적 옵션을 비활성화하려면 구성 모드에서 추적 옵션을 비활성화하고 구성을 커밋해야 합니다.

문제

디바이스 파일 시스템의 사용 가능한 디스크 공간에 대한 통계를 확인합니다.

솔루션

운영 모드에서 show system storage 명령을 입력합니다.

은(는 /dev/ad0s1a ) 온보드 플래시 메모리를 나타내며 현재 용량은 35%입니다.

문제

로그 파일을 보고 보안 IKE(Internet Key Exchange) 디버그 메시지, 보안 플로우 디버그 및 syslog에 대한 로깅 상태를 확인합니다.

솔루션

운영 모드에서 , show log pkid, show log security-trace및 show log messages 명령을 입력합니다show log kmd.

명령을 사용하여 /var/log 디렉터리의 모든 로그 목록을 볼 수 있습니다 show log .

명령을 사용하여 file copy FTP 서버에 로그 파일을 업로드할 수도 있습니다.

문제

IKE 또는 IPsec에 대한 성공 또는 실패 메시지를 보려면 명령을 사용하여 kmd 로그를 볼 수 있습니다 show log kmd . kmd 로그에는 몇 가지 일반 메시지가 표시되므로 IKE 및 PKI 추적 옵션을 활성화하여 추가 세부 정보를 얻는 것이 유용할 수 있습니다.

일반적으로 응답자 역할이 있는 피어의 문제를 해결하는 것이 가장 좋습니다. 실패의 원인을 파악하려면 개시자 및 응답자로부터 추적 출력을 가져와야 합니다.

IKE(Internet Key Exchange) 추적 옵션을 구성합니다.

솔루션

<filename> 필드에 파일 이름을 지정하지 않으면 모든 IKE 추적 옵션이 kmd 로그에 기록됩니다.

추적 데이터를 로그에 쓰려면 하나 이상의 플래그 옵션을 지정해야 합니다. 예:

• file size — 각 추적 파일의 최대 크기(바이트)입니다. 예를 들어 100만(1,000,000)은 최대 1MB의 파일 크기를 생성할 수 있습니다.

• files — 플래시 메모리 장치에 생성 및 저장될 최대 추적 파일 수입니다.

추적을 시작하려면 구성을 커밋해야 합니다.

문제

PKI 추적 옵션을 사용하도록 설정하여 IKE 오류가 인증서와 관련이 있는지 또는 비 PKI 문제와 관련이 있는지 확인합니다.

솔루션

문제

IKE(Internet Key Exchange) 및 PKI 추적 옵션에 대한 권장 설정을 구성합니다.

IKE 및 PKI 추적 옵션은 동일한 매개 변수를 사용하지만 모든 PKI 관련 추적의 기본 파일 이름은 pkid 로그에서 찾을 수 있습니다.

솔루션

문제

IKE(Internet Key Exchange) 1단계 및 2단계 조건이 성공할 때 명령의 show log kmd 출력을 이해합니다.

솔루션

샘플 출력은 다음을 나타냅니다.

• 10.1.1.2- 로컬 주소입니다.

• ssg5.example.net - 원격 피어(FQDN이 있는 호스트 이름).

• udp: 500- NAT-T가 협상되지 않았습니다.

• Phase 1 [responder] done- 역할(개시자 또는 응답자)과 함께 1단계 상태.

• Phase 2 [responder] done- 프록시 ID 정보와 함께 1단계 상태.

  에 언급된 확인 명령을 사용하여 IPsec SA 상태를 확인할 수도 있습니다 IKE(Internet Key Exchange) 1단계 상태 확인.

문제

IKE(Internet Key Exchange) 1단계 조건이 실패인 명령의 show log kmd 출력을 이해하면 VPN이 1단계를 설정하지 않는 이유를 파악하는 데 도움이 됩니다.

솔루션

샘플 출력은 다음을 나타냅니다.

• 10.1.1.2- 로컬 주소입니다.

• ssg5.example.net - 원격 피어(FQDN이 있는 호스트 이름).

• udp: 500- NAT-T가 협상되지 않았습니다.

• Phase-1 [responder] failed with error (No proposal chosen)—제안 불일치로 인한 1단계 실패.

이 문제를 해결하려면 응답자와 개시자 모두에서 IKE(Internet Key Exchange) 게이트웨이 1단계 제안에 대한 매개 변수가 일치하는지 확인합니다. 또한 VPN에 대한 터널 정책이 있는지 확인합니다.

문제

IKE(Internet Key Exchange) 1단계 조건이 실패인 경우 명령의 show log kmd 출력을 이해합니다. 이는 VPN이 1단계를 설정하지 않는 이유를 파악하는 데 도움이 됩니다.

솔루션

샘플 출력은 다음을 나타냅니다.

• 10.1.1.2- 로컬 주소입니다.

• 10.2.2.2—원격 피어

• Phase 1 [responder] failed with error (Authentication failed)—응답자가 유효한 게이트웨이 피어에서 시작된 수신 요청을 인식하지 못하여 1단계 실패. PKI 인증서가 있는 IKE의 경우 이 오류는 일반적으로 잘못된 IKE ID 유형이 지정되거나 입력되었음을 나타냅니다.

이 문제를 해결하려면 다음을 기준으로 로컬 피어에 올바른 피어 IKE ID 유형이 지정되었는지 확인합니다.

• 원격 피어 인증서 생성 방법

• 수신된 원격 피어 인증서의 주체 대체 이름 또는 DN 정보

문제

IKE(Internet Key Exchange) 1단계 조건이 실패인 경우 명령의 show log kmd 출력을 이해합니다.

솔루션

샘플 출력은 다음을 나타냅니다.

• 10.1.1.2- 로컬 주소.

• 10.2.2.2- 원격 피어.

• Phase 1 [responder] failed with error(Timeout)- 1단계 실패.

  이 오류는 원격 피어로 가는 도중에 IKE 패킷이 손실되거나 원격 피어에서 지연이 있거나 응답이 없음을 나타냅니다.

이 제한시간 초과 오류는 PKI 데몬의 응답을 기다린 결과이므로 PKI 추적 옵션 출력을 검토하여 PKI에 문제가 있는지 확인해야 합니다.

문제

IKE(Internet Key Exchange) 2단계 조건이 실패인 경우 명령의 show log kmd 출력을 이해합니다.

솔루션

샘플 출력은 다음을 나타냅니다.

• 10.1.1.2- 로컬 주소입니다.

• ssg5.example.net - 원격 피어(FQDN이 있는 IKE ID 유형, 호스트 이름).

• Phase 1 [responder] done—1단계 성공.

• Failed to match the peer proxy ids- 잘못된 프록시 ID가 수신되었습니다. 이전 샘플에서 받은 두 개의 프록시 ID는 192.168.168.0/24(원격) 및 10.10.20.0/24(로컬)(service=any)입니다. 이 예에 제공된 구성에 따라 예상 로컬 주소는 192.168.10.0/24입니다. 이는 로컬 피어에 컨피그레이션이 일치하지 않아 프록시 ID 일치가 실패했음을 보여줍니다.

  이 문제를 해결하려면 주소록 항목을 수정하거나 다른 피어와 일치하도록 피어 중 하나에서 프록시 ID를 구성합니다.

  또한 출력은 실패 이유가 입니다 No proposal chosen. 그러나 이 경우에는 메시지 Failed to match the peer proxy ids도 표시됩니다.

문제

IKE(Internet Key Exchange) 2단계 조건이 실패인 경우 명령의 show log kmd 출력을 이해합니다.

솔루션

샘플 출력은 다음을 나타냅니다.

• 10.1.1.2 - 로컬 주소입니다.

• fqdn(udp:500,[0..15]=ssg5.example.net- 원격 피어.

• Phase 1 [responder] done—1단계 성공.

• Error = No proposal chosen- 2단계에서는 제안이 선택되지 않았습니다. 이 문제는 두 피어 간의 제안 불일치로 인해 발생합니다.

  이 문제를 해결하려면 두 피어에서 2단계 제안이 일치하는지 확인합니다.

문제

IKE 및 PKI와 관련된 일반적인 문제를 해결합니다.

추적 옵션 기능을 활성화하면 디버깅 문제에 대해 일반 로그 항목에서 얻을 수 있는 것보다 더 많은 정보를 수집할 수 있습니다. 추적 옵션 로그를 사용하여 IKE 또는 PKI 실패의 원인을 파악할 수 있습니다.

솔루션

IKE 및 PKI 관련 문제 해결 방법:

• 시계, 날짜, 표준 시간대 및 일광 절약 시간 설정이 올바른지 확인합니다. NTP를 사용하여 시계를 정확하게 유지합니다.

• DN의 "C="(국가) 필드에 두 글자로 된 국가 코드를 사용해야 합니다.

  예: 'USA' 또는 'United States'가 아닌 'US'를 사용합니다. 일부 CA의 경우 DN의 국가 필드를 채워야 하므로 두 글자 값으로만 국가 코드 값을 입력할 수 있습니다.

• 피어 인증서가 여러 OU=또는 CN= 필드를 사용하는 경우 컨테이너 메서드와 함께 고유 이름을 사용하고 있는지 확인합니다(시퀀스를 유지해야 하며 대/소문자를 구분해야 함).

• 인증서가 아직 유효하지 않은 경우 시스템 시계를 확인하고 필요한 경우 시스템 표준 시간대를 조정하거나 빠른 테스트를 위해 시계에 날짜를 추가합니다.

• 일치하는 IKE ID 유형 및 값이 구성되어 있는지 확인합니다.

• 해지 확인 실패로 인해 PKI가 실패할 수 있습니다. 이를 확인하려면 해지 확인을 일시적으로 비활성화하고 IKE(Internet Key Exchange) 1단계를 완료할 수 있는지 확인합니다.

  해지 확인을 사용하지 않도록 설정하려면 구성 모드에서 다음 명령을 사용합니다.

  set security pki ca-profile <ca-profile> revocation-check disable