IPsec VPN 故障排除手册.docVIP

IPsec VPN故障排除手册 Version1.0 迈普技术服务中心 2008-05-01 三、IPsec VPN常见问题处理 本章重点介绍VPN的故障排除的基本思路，以及分析故障原因和解决问题的常用方的基本思路，以及分析故障原因和解决问题的常用方法。 本章内容： IPsec VPN故障排除基本思路 IPsec VPN常见故障处理 IPsec VPN SA状态信息说明 调试命令参数解释 3.1 IPsec VPN故障排除基本思路 当IPsec VPN出现问题时，最直接的表现就是无法通过IPsec VPN访问远端内部网络。按照具体的情况又分为：IPsec隧道无法建立、IPsec隧道建立但无法访问远端内部网络和IPsec隧道时断时连。通过IPsec的debug信息检测问题是比较快的，但需要使用者对debug信息比较熟悉。所以这里介绍针对上面三种情况的一般检测方法。 IPsec VPN隧道无法建立 检测方法：使用show cry ike proposal string和sh cry ipsec proposal string命令查看ike和ipsec的策略两端是否相同。使用sh cry policy string查看两端数据流是否匹配。 IPsec隧道建立但无法访问远端内部网络 检测方法：sh ip esp查看是否有in和out的数据；查看访问列表是否deny了受保护的数据流。 IPsec隧道时断时连 检测方法：查看物理线路是否时通时断；查看是否有网点冲突。 3.2 IPsec VPN常见故障处理 故障一：IPsec VPN隧道无法建立 可能的原因 判断方法和解决方案 1．两端VPN设备无法互通 从一端VPN设备ping另外一端，看是否能否ping通。如果不通，首先检查网络连接情况。 2．两端VPN可以ping通，但是相互收不到IKE协商报文 检查VPN是否配置ACL或者前端是否有防火墙，禁止了IKE协商报文，需要在ACL或者防火墙上开放UDP500/4500端口； 检查发起方VPN的内网口是否UP，特别是3005C-104以SW接口作为内网口，LAN口上没有接PC，SW口无法UP，将导致扩展ping不通对端。 3．两端VPN采用证书认证方式，但是没有证书或者证书无效；采用预共享密钥方式认证没有配置密码 通过show cry ike sa查看IKE隧道状态没有任何信息； 打开debug cry ike normal，提示%IKE-ERR: cant initiate, no available authentication material (cert/psk) ； sh crypto ca certificates，查看证书是否有效。 4．两端IKE和IPsec策略不一致 如果采用主模式，查看IKE状态停止在STATE_MAIN_I1，采用积极模式，IKE状态停止在STATE_AGGR_I1，说明可能是两端策略不一致，通过show cry ike proposal和show cry ipsec proposal查看两端策略是否相同； 打开debug cry ike normal，提示ignoring notification payload, type NO_PROPOSAL_CHOSEN 。 5．两端VPN设备配置了ID不是IP地址作为身份标识，而是域名或者其他，但是采用IKE协商采用主模式 查看IKE KEY配置了identity，但是tunnel配置中配置了set mode main； 查看IKE状态停止在STATE_MAIN_I1状态。 6．对端VPN设备配置错误ID或者没有配置ID 查看IKE KEY配置了identity，但是tunnel配置中没有配置ID； 查看IKE状态停止在STATE_AGGR_I1状态； 有%IKE-ERR: Aggressive Mode packet from :500 has invalid ID报错。 7．两端VPN设备不支持NAT穿越 如果采用主模式，查看IKE状态停止在STATE_MAIN_I2状态，说明有可能VPN不支持NAT穿越，我们VPN默认支持，一般可能其他厂家VPN不支持。 8．两端VPN设备预共享密钥不一致 如果采用主模式，查看IKE状态停止在STATE_MAIN_I3状态，说明有可能两端VPN预共享密钥配置不一致； 通过show run cry key查看两端的KEY是否相同。 9．两端保护数据流不匹配 查看IKE状态停止在STATE_QUICK_I1状态，说明有可能两端VPN预共享密钥配置不一致； 通过show cry ipsec sa查看没有ipsec隧道； 日志中有报错：%IKE-ERR: cannot respond to IP