华三防火墙分部，思科防火墙总部做ipsec vpn
- 0关注
- 0收藏，794浏览
问题描述：
分部一段时间不访问总部，两端采用主模式，然后分部显示like sa建立起来了，ipsec sa也建立起来，但是ping不通，然后reset like sa ipsec sa 然后重新ping触发下流量就好了。怎么解决？
- 2023-02-15提问
- 举报
-
(0)
最佳答案
配置一下DPD
3.11 配置NQA，用于保活IPSEC VPN隧道。
创建ICMP-echo类型的NQA测试组（管理员为admin，操作标签为test1），并配置探测报文的目的地址为分部ERG2内网的ip：192.168.20.1，源ip是总部内网的ip：192.168.10.1。
[H3C] nqa entry admin test1
[H3C-nqa-admin-test1] type icmp-echo
[H3C-nqa-admin-test1-icmp-echo] destination ip 192.168.20.1
[H3C-nqa-admin-test1-icmp-echo] source ip 192.168.10.1
# 配置下一跳地址为101.88.26.33，以便测试报文使用ipsec vpn隧道发给分部设备。
[H3C-nqa-admin-test1-icmp-echo] next-hop ip 101.88.26.33
# 配置可选参数：一次NQA测试中探测的次数为10，探测的超时时间为500毫秒，测试组连续两次测试开始时间的时间间隔为5000毫秒。
[H3C-nqa-admin-test1-icmp-echo] probe count 10
[H3C-nqa-admin-test1-icmp-echo] probe timeout 500
[H3C-nqa-admin-test1-icmp-echo] frequency 5000
# 启动ICMP-echo测试操作，并一直进行测试。
[H3C] nqa schedule admin test1 start-time now lifetime forever
- 2023-02-15回答
- 评论(2)
- 举报
-
(0)
思科那边怎么配置dpd啊
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
不支持的话配置NQA保活吧