IPSecVPN-排错.pptVIP

IPSec VPN排错 目标 基于策略和基于路由VPN的差别回顾 IKE通道设置过程回顾 讨论VPN排错工具 VPN的类型 基于策略的VPN 通道内的流量用策略控制 需定义网关地址和安全（加密/验证）等VPN通道参数 Proxy-ID 从策略定义中产生 – VPN两端必须匹配 当出现匹配策略的第一个包时，IKE开始进行协商 基于路由的VPN 通道内的流量用通道接口的路由控制 通道接口绑定至VPN 对于转发决策的独立策略 当出现路由至通道接口的第一个包时，IKE开始进行协商 必须配置组件:基于策略的VPN 第一阶段组件 IKE 网关名称 VPN的Outgoing interface IKE网关地址 第一阶段proposal Pre-shared Key Diffie-Hellman 组号 加密算法 认证算法 第二阶段组件 VPN名称 第二阶段proposal 用于PFS的Diffie-Hellman 组号 (可选) IPSec协议 (ESP 或 AH) 加密算法 认证算法 VPN策略 地址条目/地址组 Service组 动作: tunnel 必须配置的组件: 基于路由的VPN 第一阶段组件 IKE 网关名称 VPN的Outgoing interface IKE 网关地址 第一阶段proposal Pre-shared Key Diffie-Hellman组号 加密算法 认证算法 第二阶段组件 VPN名称 第二阶段proposal 用于PFS的Diffie-Hellman组号 (可选) IPSec协议 (ESP 或 AH) 加密算法 认证算法 Tunnel Interface Zone IP地址或IP unnumbered 路由 把远程网络映射到tunnel interface 常见配置错误 路由及地址问题 无路由 / 不正确的路由 / 到远程网关的默认路由 到tunnel interface无路由/路由不正确 不正确地址/接口错误 策略 策略的顺序不正确 无反向策略 选择了不正确的VPN 地址表不匹配 (Proxy-ID不匹配) 当tunnel interface与流量不在同一zone时没有策略 常见配置错误 第一阶段 IKE配置 远程网关不正确 outgoing interface不正确 Proposal不匹配 Preshared key不匹配 第二阶段IKE配置 Proxy-ID (策略)不匹配 Proposal不匹配 使用IKE建立通道 Internet Key Exchange (IKE)在安全环境下提供了更多功能 UDP协议, 500端口 建立用于创建IPSEC VPN通道的安全关联数据库 协商包含加密和认证算法的proposal 自动创建提供频繁re-key的加密和认证密钥 提供网关验证功能 安全关联(SA) 安全关联是用于保护两端信息的一套策略和密钥 SA 的独立标识： SPI 目的IP地址 安全协议 (ESP/AH) SA在IPSec第一阶段和第二阶段协商时建立 第一阶段SA是双向的，第二阶段SA是单向的 IKE 阶段 第一阶段 两端建立一个用于通讯的安全的、认证的通道 Diffie-Hellman密钥交换算法用于生成网关间通讯的对称密钥 在其中的一种模式下运行 Main 模式– 用于当通道两端都具有静态IP地址的情况 Aggressive 模式 – 用于当通道一端是动态分配地址的情况 第二阶段 安全关联使用第一阶段的安全通道进行协商 Proxy-ID 用于验证VPN引用了哪个SA Diffie-Hellman密钥交换算法可用于再次创建完美向前转发 (PFS) 第二阶段也称为快速模式 IKE 第一阶段 : Main 模式 IKE 第二阶段: 快速模式 排错工具 事件日志 用于第一阶段和第二阶段 第一阶段 Get ike cookie Debug flow basic Debug ike 第二阶段 Get sa active Unset ike policy-checking Debug ike 事件日志 – 发起端 事件日志 – 响应端 IKE Cookie/SA – 发起端 IKE Cookie/SA –响应端 Debug ike basic – 发送方 Debug ike basic – 发送方 (续) Debug ike basic – 发送方 (续) Debug ike basic – 接收方 Debug ike basic – 接收方 (续) Debug ike basic – 接收方 (续) 第一阶段 – Unrecognized Peer 发送端 响应端 第一阶段 – Proposal不匹配 发送端 响应端 第一阶段: Preshared Key不匹配 发送端 响应端