排除故障普通的GETVPN问题.pdfVIP

排除故障普通的GETVPN问题 目录 简介 先决条件 要求 使用的组件 背景信息- GETVPN故障排除工具 控制层面调试工具 显示命令 系统日志 解释(GDOI)事件Trace组域 GDOI有条件调试 全局crypto和GDOI调试 数据层面调试工具 故障排除 日志设备准备和其他最佳实践 排除故障IKE建立 排除故障最初的注册 排除故障策略相关的问题 政策问题在注册(涉及的FAIL close策略)之前出现 政策问题发生POST注册，并且适合于对推送的全局策略 政策问题发生POST注册，并且适合于对全局策略合并，并且本地改写 排除故障重新生成密钥问题 排除故障基于时间的反重放(TBAR) 排除故障KS冗余 FAQ 能作为一GETVPN组的KS也配置的路由器功能作为同样的GM组？ 相关信息 简介 本文描述收集的什么调试为多数普通的分组加密传输VPN (GETVPN)发出。 先决条件 要求 Cisco 建议您了解以下主题： GETVPN 系统日志服务器使用 使用的组件 本文档不限于特定的软件和硬件版本。 本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原 始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。 背景信息- GETVPN故障排除工具 GETVPN提供故障排除工具广泛的为了缓和排除故障进程。了解是重要的哪些工具是可用的，并且 ，当他们为每个故障排除任务时是适当的。当排除故障时，它总是一个好想法从最少插入的方法开 始，因此生产环境没有负面影响。为了协助解决该进程，此部分描述某些常用的工具联机： 控制层面调试工具 显示命令 显示命令是常用的为了显示在GETVPN环境的运行时操作。 系统日志 GETVPN有一增强版设置重大的协议事件和错误情况的系统消息。在您运行所有调试前，这应该总 是查找的第一个地方。 解释(GDOI)事件Trace组域 此功能在版本15.1(3)T被添加了。事件追踪提供轻量、不间断工作的跟踪重大的GDOI事件的和错误 。也有跟踪与traceback的退出PATH启用为异常条件。 GDOI有条件调试 此功能在版本15.1(3)T被添加了。它允许已过滤调试根据对等地址的一个给的设备，并且应该总是 使用，当可能，特别是在关键服务器。 全局crypto和GDOI调试 这些是所有多种GETVPM调试。当调试管理员在大规模环境时，必须当心。使用GDOI调试，五调 试级别为进一步调试粒度提供： GM1#debug crypto gdoi gm rekey ? all-levels All levels detail Detail level error Error level event Event level packet Packet level terse Terse level 调试级别 什么您将获得 错误 错误条件 简洁 对用户和协议问题的重要消息 事件 状态转换和事件例如发送和接收重新生成密钥 详细信息 多数详细的调试留言信息 数据包 包括详细的数据包信息转储 所有 以上全部 数据层面调试工具 这是一些数据层面调试工具： 访问列表 IP优先级核算 Netflow 接口计数器 crypto计数器 IP Cisco Express Forwarding (CEF)全局和每功能丢弃计数器 嵌入式数据包捕获(EPC) 数据层面调试(IP数据包和CEF调试) 故障排除 日志设备准备和其他最佳实践 在您开始排除故障前，请保证您准备日志设备如描述此处。也列出得一些最佳实践此处： 检查路由器空闲内存容量，并且配置logging buffered debugging对大价值若可能(10 MB或更多 )。 禁用记录日志到控制台、监视器和系统日志服务器。 定期获取操作日志缓冲区内容用show log命令 ，每20分钟对1小时，为了防止由于日志的损耗缓 冲重新使用。 什么发生，请输入show tech命令从受影响的组成员(GM)和关键服务器(KSs)，并且检查输出 show ip route命令在全局，并且每虚拟路由和转发(VRF)介入，如果其中任一要求。 请使用网络时间协议(NTP)为了同步在调试的所有设备之间的时钟。启用调试和日志消息