IPSec故障排除：了解和使用调试指令.pdf

IPSec故障排除：了解和使用调试指令 目录 前言 前提条件      需求      使用的组件      惯例 Cisco IOS 软件 debug      show crypto isakmp sa      show crypto ipsec sa      show crypto engine connection active      debug crypto isakmp      debug crypto ipsec 错误消息示例      Replay Check Failed      QM FSM 错误      Invalid Local Address      IKE Message from X.X.X.X Failed its Sanity Check or is Malformed      Processing of Main Mode Failed with Peer      Proxy Identities Not Supported      Transform Proposal Not Supported      No Cert and No Keys with Remote Peer      Peer Address X.X.X.X Not Found      IPsec Packet has Invalid SPI      IPSEC(initialize_sas):Invalid Proxy IDs      Reserved Not Zero on Payload 5      Hash Algorithm Offered does not Match Policy      HMAC Verification Failed      Remote Peer Not Responding      所有SA IPSec建议认为不可接受      Packet Encryption/Decryption Error      Packets接收错误由于ESP顺序失败      尝试的错误设立在7600系列路由器的VPN通道 PIX 调试      show crypto isakmp sa      show crypto ipsec sa      debug crypto isakmp      debug crypto ipsec 路由器到 VPN Client 的常见问题      无法访问 VPN 隧道外部的子网：分割隧道 PIX 到 VPN Client 的常见问题      建立隧道之后流量不流通：无法 ping 通位于 PIX 后的网络内部      建立隧道之后，用户无法浏览 Internet：分割隧道      建立隧道之后，某些应用程序无法正常工作：对客户端进行 MTU 调节      无法使用 sysopt 命令 验证访问控制列表 (ACL) 相关信息 前言 本文描述用于的普通的调试指令故障排除在Cisco IOS软件和PIX/ASA的IPSec问题。本文档假定您已配置了 IPsec。有关详细信息，请 参阅常见 IPsec 错误消息和常见 IPsec 问题。 有关 IPsec VPN 问题最常用解决方案的信息，请参阅最常见的 L2L 和远程接入 IPsec VPN 故障排除解决方案。其中包含在您开始 排除连接故障之前以及致电 Cisco 技术支持之前可以尝试的常见过程清单。 前提条件 需求 本文档没有任何特定的要求。 使用的组件 本文档中的信息基于以下软件和硬件版本： Cisco IOS 软件 IPsec 功能集。 56i - 表示一重数据加密标准 (DES) 功能（适用于 Cisco IOS 软件版本 11.2 及更高版本）。 k2 - 表示三重 DES 功能（适用于 Cisco IOS 软件版本 12.0 及更高版本）。Cisco 2600 系列及后来的产品均提供了三