• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
案例类型
搜索
取消
产品线
关键字
发布者
发布时间

某局点SecPath F1020(V7) IKE进程异常退出

  • 0关注
  • 1收藏,82浏览
0

组网及说明

分支拨号口获取到的ip114.95.208.XX

问题描述

防火墙做总部,连接了约200-300ipsec隧道。每间隔6-7IKE进程异常退出,部分ipsec隧道会断开,重置ike sa都无法正常建立,需要将总部设备重启后能够恢复。

过程分析

1、 故障复现重置sa依旧无法建立,升级设备到最新版本(路由器版本很老)故障依旧。

2、 查看两侧设备配置,确认两端参数一致,配置无误。

ipsec transform-set 1

 esp encryption-algorithm 3des-cbc

 esp authentication-algorithm md5

ipsec policy policy 1 isakmp

 transform-set 1

 security acl 3000

 remote-address 101.231.234.18

ike-profile 1

ike identity fqdn branch

keychain 1

 exchange-mode aggressive

 local-identity fqdn branch

 match remote identity fqdn center

 match remote identity address 101.231.234.18 255.255.255.255

 proposal 1

ike proposal 1

 encryption-algorithm aes-cbc-128

 dh group2

 authentication-algorithm md5

ike keychain 1

 pre-shared-key address 101.231.234.18 255.255.255.0 key cipher $c$3$jNloi9dOZC3UGyV7djpwSOOTqGiToMjmdEdm

 

3、收集故障debug

 

*Jan 29 11:21:09:080 2019 H3C IKE/7/EVENT: Received message from ipsec.

*Jan 29 11:21:09:080 2019 H3C IKE/7/EVENT: Received SA acquire message from IPsec.

*Jan 29 11:21:09:080 2019 H3C IKE/7/EVENT: IKE thread 1997042976 processes a job.

*Jan 29 11:21:09:081 2019 H3C IKE/7/EVENT: Received SA acquire message from IPsec.

*Jan 29 11:21:09:081 2019 H3C IKE/7/EVENT: vrf = 0, src = 180.175.108.xx, dst = 101.231.234.xx/500

Collision of phase 2 negotiation is found when acquired sa.

*Jan 29 11:21:09:081 2019 H3C IPSEC/7/EVENT:

Sent delete SA message to all nodes, message type is 0x16.

第二阶段协商报错。

解决方法

后续其他中断的分支(ip180.175.108.xx)感兴趣流如下:

acl advanced 3000

rule 70 permit ip source 172.16.18.0 0.0.0.255 destination 172.16.32.0 0.0.3.255

rule 90 deny ip

查看总部ipsec通道其中有一条如下:

  IPsec policy: branch

  Sequence number: 1

  Mode: Template

  -----------------------------

    Tunnel id: 239

    Encapsulation mode: tunnel

    Perfect Forward Secrecy: dh-group2

    Inside VPN:

    Extended Sequence Numbers enable: N

    Traffic Flow Confidentiality enable: N

    Path MTU: 1436

    Tunnel:

        local  address: 101.231.234.xx

        remote address: 114.95.208.xx

    Flow:

        sour addr: 172.16.18.0/255.255.255.0  port: 0  protocol: ip

        dest addr: 172.16.32.0/255.255.252.0  port: 0  protocol: ip

 

可见两个分支:180.175.108.xx114.95.208.xx的感兴趣是一样的,有冲突,两个分支门店都用172.126.18.0的地址,这样会导致报文发错隧道,现象为使用一段时间后ipsec中断,重启或reset重新触发又好了。

总部一共有近300条隧道,建议排查下300个分支使用的私网地址是否有重叠,感兴趣流是否有冲突。

 

0 个评论

该案例暂时没有网友评论

编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

相似案例

分享扩散:

提出建议

    +

亲~登录后才可以操作哦!

确定

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作