问题描述：
ike好着，IPSEC隧道不通。。谢谢啦我们，
组网及组网描述：
IPSEC VPN故障排查：
1、检查公网地址的连通性
2、检查ipsec acl是否配置正确（两端ACL以互为镜像的方式配置）
3、检查ike keychain/ike profile 协商参数配置是否正确（工作模式、keychain、identity、本端/对端隧道地址或隧道名称、NAT穿越功能v7自适应）
4、检查ipsec proposal（v5平台） /ipsec transform-set（v7平台）参数两端是否一致（封装模式、安全协议、验证算法、加密算法）
5、检查设备是否创建ipsec策略，并加载协商参数（acl、ike profile 、ipsec transform-set、对端隧道IP）
6、检查ipsec策略是否应用在正确的接口上
IPSEC排查命令：
1、disp ipsec policy
2、disp acl
3、dis cu conf ike-profile
4、dis cu conf ike-keychain
5、display ike proposal
6、display ipsec transform-set
7、disp ike sa (verbose)
8、disp ipsec sa
9、reset ipsec sa
10、reset ike sa
暂无评论
1. IPSec配置检查
-
检查策略与SA匹配：请确保您的IPSec策略与IKE配置中的参数相匹配，特别是加密算法、身份验证算法以及密钥交换（如 DH组）的设置。
-
IPSec配置的例子：
ipsec transform-set ceshi esp encryption-algorithm aes-cbc-128 esp authentication-algorithm sha1 ipsec transform-set GE1/0/3_IPv4_2 esp encryption-algorithm 3des-cbc esp authentication-algorithm md5确保
transform-set的加密和认证算法一致。如果IKE和IPSec的设置不一致，隧道会无法建立。
2. 检查IKE配置
-
确保IKE的身份匹配正确，检查本地和远端的身份配置：
ike profile GE1/0/3_IPv4_1 keychain 1 dpd interval 5 periodic exchange-mode aggressive确保
local-identity和remote-identity配置没有问题，匹配的是 IP 地址还是 fqdn。 -
DPD配置：如果DPD (Dead Peer Detection) 没有配置正确或没有启用，可能导致隧道在没有流量时断开。您可以尝试启用
dpd interval设置：ike invalid-spi-recovery enable ike dpd interval 10 on-demand
3. ACL设置检查
-
确保ACL放行正确的流量：检查
IPsec的访问控制列表（ACL）设置。确保允许流量从源 IP（如159.150.20.0/24）到目标 IP（如192.168.11.0/24）的通过。acl advanced name IPsec_GE1/0/3_IPv4_1 rule 5 permit ip source 159.150.20.0 0.0.0.255 destination 192.168.11.0 0.0.0.255如果ACL设置错误，流量会被过滤掉，导致IPSec隧道无法建立。
4. IPSec政策检查
-
确保您配置了正确的
IPSec policy来适配隧道：ipsec policy GE1/0/3 1 isakmp transform-set ceshi security acl name IPsec_GE1/0/3_IPv4_1 local-address 111.20.110.250 remote-address 124.115.171.130确保
local-address和remote-address配置没有错。
5. 路由与静态路由检查
-
确保有正确的路由，尤其是与远程IPSec隧道相连的接口和目标网络的静态路由：
ip route-static 0.0.0.0 0 GigabitEthernet1/0/3 111.20.110.249 ip route-static 192.168.11.0 24 111.20.110.249如果路由配置有误，隧道流量可能无法正确路由到隧道端。
6. 检查数据包的抓包与日志
-
使用工具抓包确认数据包是否有正确的流动，以及是否存在ICMP或TCP连接失败的情况。
-
查看IKE和IPSec的日志，以查看是否存在报文丢失或错误配置的详细信息。
总结：
您需要仔细检查：
-
IPSec策略和IKE配置是否一致。
-
ACL规则是否放行正确的流量。
-
路由设置是否正确，确保流量通过正确的接口。
-
确保DPD和IKE的keepalive功能正确配置。
暂无评论
一、关键问题定位
- ACL 与流量不匹配
- 配置中 IPsec 策略
GE1/0/3 1引用了 ACLIPsec_GE1/0/3_IPv4_1，规则为：即仅允许rule 5 permit ip source 159.150.20.0 0.0.0.255 destination 192.168.11.0 0.0.0.255159.150.20.0/24 → 192.168.11.0/24的流量走 IPsec 隧道。 - 但同时存在 ACL 3000，其中规则 1 明确拒绝了相同流量：且acl advanced 3000
rule 1 deny ip source 159.150.20.0 0.0.0.255 destination 192.168.11.0 0.0.0.255GigabitEthernet1/0/3接口应用了nat outbound 3000，导致 IPsec 流量被 ACL 3000 优先拒绝，无法进入隧道。
- 配置中 IPsec 策略
- IPsec SA 未建立执行
display ipsec sa未看到 IPsec SA 信息，说明 IKE 协商成功后，未触发 IPsec SA 建立，根本原因是没有匹配 ACL 的流量触发隧道协商（被 ACL 3000 阻断）。 - 安全策略方向问题安全策略中虽允许
Trust ↔ Untrust的流量，但需确认是否明确允许 IPsec 加密后的流量（ESP/AH 协议）通过，否则可能被防火墙拦截。
二、解决步骤
1. 修正 ACL 冲突，允许 IPsec 流量
- 删除或调整 ACL 3000 中对 IPsec 流量的拒绝规则：[H3C] acl advanced 3000
[H3C-acl-ipv4-adv-3000] undo rule 1 # 删除拒绝IPsec流量的规则（若需保留其他规则，确保 IPsec 相关流量不被拒绝） - 确保 NAT 不作用于 IPsec 流量：当前
GigabitEthernet1/0/3同时配置了nat outbound 3000和ipsec apply policy GE1/0/3，需保证 IPsec 流量不被 NAT 转换（IPsec 流量应优先于 NAT 处理，但 ACL 冲突会导致异常）。建议在 ACL 3000 中明确排除 IPsec 流量：[H3C-acl-ipv4-adv-3000] rule 1 deny ip source 159.150.20.0 0.0.0.255 destination 192.168.11.0 0.0.0.255 # 先删除此规则，或替换为允许[H3C-acl-ipv4-adv-3000] rule 1 permit ip source 159.150.20.0 0.0.0.255 destination 192.168.11.0 0.0.0.255 # 允许IPsec流量不做NAT
2. 触发 IPsec SA 建立
- 从
159.150.20.0/24网段的主机 ping 对端192.168.11.0/24网段的 IP（如ping 192.168.11.250），生成匹配 ACL 的流量，触发 IPsec SA 协商。 - 执行
display ipsec sa确认是否生成 IPsec SA，若看到inbound和outbound的 SA 条目，说明隧道已建立。
3. 补充安全策略，允许 IPsec 协议
- 确保安全策略允许 ESP（协议号 50）或 AH（协议号 51）通过，避免加密后的流量被拦截：[H3C] security-policy ip
[H3C-security-policy-ip] rule name allow_ipsec_protocol [H3C-security-policy-ip-rule-allow_ipsec_protocol] action pass [H3C-security-policy-ip-rule-allow_ipsec_protocol] protocol esp # 允许ESP协议 [H3C-security-policy-ip-rule-allow_ipsec_protocol] source-zone Untrust [H3C-security-policy-ip-rule-allow_ipsec_protocol] destination-zone Trust
三、验证与后续检查
- 确认 IPsec SA 状态：display ipsec sa # 应有inbound/outbound SA，且状态为active
- 检查流量统计：display ipsec sa counter # 查看发送/接收的加密/解密报文数，确认有流量通过
- 若仍不通，抓包分析
GigabitEthernet1/0/3接口，确认是否有 ESP 报文发送 / 接收，或存在对端未响应的情况（可能是对端配置不匹配）。
总结
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论