问

SecPath F100-C-G3防火墙，IPSEC VPN经常断开该如何查明原因

IPSec VPN

2022-07-18提问

1关注
1收藏，2310浏览

zhiliao_gnNMtq

zhiliao_gnNMtq 零段

粉丝：0人关注：0人

问题描述：

SecPath F100-C-G3防火墙(分支节点)到HUAWEI-USG6308防火墙(主节点)的ipsec vpn经常断开，reset ike sa后可以恢复，想了解一下是什么原因导致的该故障

故障日志:

%Jul 18 10:42:35:053 2022 H3C IKE/6/IKE_P2_SA_ESTABLISH_FAIL: Failed to establish phase 2 SA in IKE_P2_STATE_SEND1 state.

Reason: Retransmission of phase 2 packet timed out.

SA information:

Role: initiator Local address: xx.xx.xx.xx

Remote address: xx.xx.xx.xx

Sour addr: 192.168.17.0/255.255.255.0 Port: 0 Protocol: IP

Dest addr: 192.168.10.0/255.255.255.0 Port: 0 Protocol: IP

Inside VPN instance:

Outside VPN instance:

Inbound AH SPI: 3860657151

Outbound AH SPI: 0

Inbound ESP SPI: 3860657151

Outbound ESP SPI: 0

Initiator COOKIE: d1276a6f98d3e717

Responder COOKIE: 2c447f813ceab519

Message ID: 0x39d22feb

Connection ID: 4827

Tunnel ID: 1

组网及组网描述：

最佳答案

已采纳

一二三四

一二三四九段

粉丝：20人关注：2人

出现原因和解决方法如下：

VPN连接在正常的使用过程中会存在重协商情况，触发重协商的条件有IPsec SA的生命周期即将到期和VPN传输的流量超过20GB，重协商一般不造成连接中断。

大多数的连接中断都是因为两端的配置信息错误造成的，或公网异常导致重协商失败造成的。

常见的连接中断原因有：

两端的ACL不匹配；
SA生命周期不匹配；
用户侧数据中心未配置DPD；
VPN使用过程中修改了配置信息；
数据超过MTU后导致报文分片；
运营商网络抖动。

因此请在配置VPN时确保一下操作和配置，以进行连接状态保活：

两端的子网配置互为镜像；
SA生命周期信息一致；
用户侧数据中心设备开启DPD配置，探测次数不少于5次；
连接过程中修改参数两侧同步修改；
设置用户侧数据中心设备TCP MAX-MSS为1300；
确保用户侧数据中心出口有足够的带宽可被VPN使用；
确认VPN连接可被两端触发协商，开启用户侧数据中心设备的主动协商配置

暂无评论

3 个回答

按时间按赞数

追问我也不答

追问我也不答五段

粉丝：1人关注：7人

可以开个dpd看下，2阶段重传

暂无评论

无名之辈

无名之辈九段

粉丝：103人关注：0人

您好，参考

1、检查公网地址的连通性
2、检查ipsec acl是否配置正确（两端ACL以互为镜像的方式配置）
3、检查ike keychain/ike profile 协商参数配置是否正确（工作模式、keychain、identity、本端/对端隧道地址或隧道名称、NAT穿越功能v7自适应）
4、检查ipsec proposal（v5平台） /ipsec transform-set（v7平台）参数两端是否一致（封装模式、安全协议、验证算法、加密算法）
5、检查设备是否创建ipsec策略，并加载协商参数（acl、ike profile 、ipsec transform-set、对端隧道IP）
6、检查ipsec策略是否应用在正确的接口上