ciscovpn完全配置路由器连接的故障诊断与排除.pdfVIP

Cisco VPN 完全配置指南 路由器连接的故障诊断与排除 （2 ） 二、ISAKMP/IKE 阶段2 连接 可以使用下面的命令来故障诊断和排除ISAKMP/IKE 阶段1 的连接  show crypto engine connections active 显示构建的每一个数据的SA 和穿过每一 个数据SA 的流量  show crypto ipsec sa 显示两台IPSec 对等设备之间建立的数据SA 和用于保护连 接的组件和统计信息  debug crypto isakmp 显示构建管理连接所采取的步骤和通过管理连接构建数据连 接的步骤  debug crypto engine 显示与加密和解密数据有关的事件  debug crypto ipsec 显示两台对等设备之间的两个单向的数据SA 的实际建立过程  clear crypto sa [counters | map map_name | peer IP_address| spi IP_address {ah | esp} SPI_#]清除统计数字，和一个crypto map 相关的所有数据SA 和一台对 波 等设备相关的所有的数据SA，或到一台特定的对等设备的特定的数据SA （1）show crypto engine connections active 命令 选 r3640a# show crypto engine connection active ID Interface IP-Address State Algorithm EncryptDecrypt 1 Ethernet0/0 192.1.1.40 set HMAC_SHA+AES_CBC 0 0 张 2001 Ethernet0/0 192.1.1.40 set AES+SHA 0 5 2002 Ethernet0/0 192.1.1.40 set AES+SHA 5 0 第一条目是管理连接，现面两个条目是两个数据连接，set 表明这个连接已经成功建立。 ： （2）show crypto ipsec sa 命令 作 在显示的上部，可以看到被称为mymap 的crypto map 在接口e0 上激活了，local ident 和remote ident 条目显示了被保护的流量，#pkts encaps 和#pkts decaps 显示了使用IPSec （AH 或ESP）封装或解封装的数据包的数量。 制 r3640a# show crypto ipsec sa interface: Ethernet0/0 Crypto map tag: mymap, local addr 192.1.1.40 protected vrf: (none) local ident (addr/mask/prot/port): (192.168.2.0/255.255.255.0/0/0) remote ident (addr/mask/prot/port): (192.168.3.0/255.255.255.0/0/0) current_peer 192.1.1.42 port 500 PERMIT, flags={origin_is_acl,} #pkts encaps: 5, #pkts encrypt: 5, #pkts digest: 5 #pkts decaps: 5, #pkts decrypt: 5, #pkts ver