VPN故排除手册.docVIP

IPsec VPN故障排除手册Version1.0迈普技术服务中心2008-05-三、IPsec VPN常见问题处理 本章重点介绍VPN的故障排除的基本思路，以及分析故障原因和解决问题的常用方的基本思路，以及分析故障原因和解决问题的常用方法。本章内容：IPsec VPN故障排除基本思路IPsec VPN常见故障处理IPsec VPN SA状态信息说明调试命令参数解释3.1 IPsec VPN故障排除基本思路 当IPsec VPN出现问题时，最直接的表现就是无法通过IPsec VPN访问远端内部网络。按照具体的情况又分为：IPsec隧道无法建立、IPsec隧道建立但无法访问远端内部网络和IPsec隧道时断时连。通过IPsec的debug信息检测问题是比较快的，但需要使用者对debug信息比较熟悉。所以这里介绍针对上面三种情况的一般检测方法。IPsec VPN隧道无法建立检测方法：使用show cry ike proposal string和sh cry ipsec proposal string命令查看ike和ipsec的策略两端是否相同。使用sh cry policy string查看两端数据流是否匹配。IPsec隧道建立但无法访问远端内部网络检测方法：sh ip esp查看是否有in和out的数据；查看访问列表是否deny了受保护的数据流。IPsec隧道时断时连检测方法：查看物理线路是否时通时断；查看是否有网点冲突。3.2 IPsec VPN常见故障处理故障一：IPsec VPN隧道无法建立可能的原因判断方法和解决方案1．两端VPN设备无法互通从一端VPN设备ping另外一端，看是否能否ping通。如果不通，首先检查网络连接情况。2．两端VPN可以ping通，但是相互收不到IKE协商报文检查VPN是否配置ACL或者前端是否有防火墙，禁止了IKE协商报文，需要在ACL或者防火墙上开放UDP500/4500端口；检查发起方VPN的内网口是否UP，特别是3005C-104以SW接口作为内网口，LAN口上没有接PC，SW口无法UP，将导致扩展ping不通对端。3．两端VPN采用证书认证方式，但是没有证书或者证书无效；采用预共享密钥方式认证没有配置密码通过show cry ike sa查看IKE隧道状态没有任何信息；打开debug cry ike normal，提示%IKE-ERR: cant initiate, no available authentication material (cert/psk) ；sh crypto ca certificates，查看证书是否有效。4．两端IKE和IPsec策略不一致如果采用主模式，查看IKE状态停止在STATE_MAIN_I1，采用积极模式，IKE状态停止在STATE_AGGR_I1，说明可能是两端策略不一致，通过show cry ike proposal和show cry ipsec proposal查看两端策略是否相同；打开debug cry ike normal，提示ignoring notification payload, type NO_PROPOSAL_CHOSEN 。5．两端VPN设备配置了ID不是IP地址作为身份标识，而是域名或者其他，但是采用IKE协商采用主模式查看IKE KEY配置了identity，但是tunnel配置中配置了set mode main；查看IKE状态停止在STATE_MAIN_I1状态。6．对端VPN设备配置错误ID或者没有配置ID查看IKE KEY配置了identity，但是tunnel配置中没有配置ID；查看IKE状态停止在STATE_AGGR_I1状态；有%IKE-ERR: Aggressive Mode packet from :500 has invalid ID报错。7．两端VPN设备不支持NAT穿越如果采用主模式，查看IKE状态停止在STATE_MAIN_I2状态，说明有可能VPN不支持NAT穿越，我们VPN默认支持，一般可能其他厂家VPN不支持。8．两端VPN设备预共享密钥不一致如果采用主模式，查看IKE状态停止在STATE_MAIN_I3状态，说明有可能两端VPN预共享密钥配置不一致；通过show run cry key查看两端的KEY是否相同。9．两端保护数据流不匹配查看IKE状态停止在STATE_QUICK_I1状态，说明有可能两端VPN预共享密钥配置不一致；通过show cry ipsec sa查看没有ipsec隧道；日志中有报错：%IKE-ERR: cannot respond to IPsec SA request for instance-65666: /8:0/0 === ()... ()=== /16