问
防火墙ike协商失败不老化，导致内存泄漏
2小时前提问
- 0关注
- 0收藏，47浏览
故障结论：典型 IKE 僵死 SA DOS 攻击 / 异常协商不老化，海量 Negotiating（协商中）SA 占满设备内存
dis ike sa count：Total=17404、Established=66、Negotiating=17338，上万条卡在协商状态无法老化，长期堆积造成内存持续泄漏、防火墙卡顿 / CPU 冲高、新 IPSEC 无法建立。一、故障根因
- 对端恶意 / 异常发送畸形 IKE 协商报文（UDP500/4500），IKE 报文发起第一阶段后中途断连、不再后续报文，SA 卡在
Negotiating协商中； - IKE SA 老化定时器异常 / 默认协商超时过长，未完成协商的半成品 SA 不自动删除，无限堆积；
- 部分老版本防火墙固件 BUG：IKEv1/v2 半成品 SA 老化机制失效，内存只申请不释放→内存泄漏。
二、紧急处置（先清存量僵死 SA，现场立即执行）
1、一键清空所有协商中未建成 IKE SA（不影响正常 66 条已打通 VPN）
bash
运行
system-view
# 清除所有协商状态IKE SA
reset ike sa negotiating
执行后再次
dis ike sa count，Negotiating 数值瞬间回落。2、临时拦截攻击源（抓包看 UDP500 异常源 IP）
bash
运行
# 安全策略临时封禁高频异常源IP的UDP500/4500
security-policy
rule 0 deny destination-zone local destination-port eq 500 eq 450
source-address x.x.x.x #异常攻击IP
三、根治配置（防止再次堆积，永久优化老化时间）
1、缩短 IKE 协商半成品 SA 超时老化（默认超时过久，改短）
bash
运行
system-view
# IKE全局协商等待超时（未完成协商30s强制删SA，默认一般120s+）
ike negotiation-timeout 30
# IKE SA空闲老化、DPD保活优化
ike dpd interval 10 retry 3
negotiation-timeout：协商握手中途失联，30 秒直接回收 SA，从根源杜绝僵死 SA 堆积。
2、IKE 模板 / 策略里收紧参数（IPSEC 场景）
bash
运行
ike proposal xxx
encryption aes-256
dh group14
# 禁用不安全弱算法，减少畸形报文触发异常SA
3、安全域全局防护：限制每秒 IKE 报文速率（防泛洪）
bash
运行
# 接口/域下对UDP500限速，防止短时间海量IKE报文打满SA表项
qos carl 1 source-ip-address range 0.0.0.0 255.255.255.255
qos policy IKE-LIMIT
classifier carl 1 behavior limit-ike
# 限速每秒20个IKE报文，按需调整
car rate-limit udp destination-port 500 pps 20
四、版本根治方案（内存泄漏根源是固件 BUG 必升级）
- H3C SecPath F1000/F1000-AK 系列：
- 老版本 R9xxx、R10xxx 早期版本存在IKE 半成品 SA 内存泄漏 BUG，升级到官方推荐稳定补丁（如 R1075P20+、R1115P15+）修复内核内存释放缺陷；
- 升级后：半成品 SA 超时后内核自动释放内存，不再泄漏。
五、补充运维排查命令
bash
运行
# 查看SA明细，筛选异常源IP
display ike sa | include Negotiating
# 查看设备内存占用，确认SA清理后内存回落
display memory
六、补充场景区分
- 大量外网随机 IP 发 IKE 报文→外网 DOS 攻击，做限速 + 黑名单；
- 固定几个 IP 反复触发协商失败→对端设备配置错误（预共享密钥 / 算法不匹配），整改对端 IKE 策略。
暂无评论
这是一个非常经典且棘手的防火墙运维问题。你遇到的“IKE协商失败不老化，导致内存泄漏”的情况，在实际生产环境中并不罕见，通常是由以下几个核心原因导致的：
核心原因分析
1. 异常协商报文触发了设备固件的内存泄漏 Bug（高危）
这是最直接的原因。当防火墙接收到某些格式异常、精心构造或不符合标准的 IKE 协商报文时，如果设备的固件（系统版本）存在缺陷，处理这些报文的相关进程（如 IKE 守护进程）可能无法正确释放分配的内存。随着时间推移，这些未释放的内存不断堆积，最终导致设备内存耗尽，甚至引发系统不稳定或重启。
这是最直接的原因。当防火墙接收到某些格式异常、精心构造或不符合标准的 IKE 协商报文时，如果设备的固件（系统版本）存在缺陷，处理这些报文的相关进程（如 IKE 守护进程）可能无法正确释放分配的内存。随着时间推移，这些未释放的内存不断堆积，最终导致设备内存耗尽，甚至引发系统不稳定或重启。
- 现实案例：近年来，包括 Cisco ASA/FTD 等主流厂商的防火墙设备，都曾曝出过因 IKEv2 模块未正确处理特定数据包而导致内存耗尽的 CVE 安全漏洞。
2. “僵尸” IKE SA 会话未被正常清理
在 IKE 协商过程中，如果发生单向通信故障（例如，发起方发出了请求，但响应方的回复报文在中间链路丢失，或者被运营商网络拦截），发起方的防火墙会认为协商正在进行中，从而在内存中保留该 IKE SA（安全联盟）的半成品状态。
在 IKE 协商过程中，如果发生单向通信故障（例如，发起方发出了请求，但响应方的回复报文在中间链路丢失，或者被运营商网络拦截），发起方的防火墙会认为协商正在进行中，从而在内存中保留该 IKE SA（安全联盟）的半成品状态。
- 如果设备的 IKE SA 老化时间（Lifetime） 设置得过长，或者设备未能及时检测到链路异常，这些“僵尸”会话就会长期滞留在内存中无法被释放。
- 当有攻击者或异常终端在公网持续、高频地发起错误的 IKE 协商请求时，会迅速填满防火墙的 IKE SA 资源池和内存。
3. 遭受 DoS 攻击或异常扫描
你的防火墙外网接口可能正在遭受 DoS（拒绝服务）攻击，或者有大量的僵尸网络在持续扫描 UDP 500 / 4500 端口（IKE 协商的默认端口）。这种高频的无效协商请求会极大地消耗防火墙的 CPU 和内存资源，如果设备的抗 DoS 策略（如 IKE 限速）没有配置或阈值过高，就会引发内存异常。
你的防火墙外网接口可能正在遭受 DoS（拒绝服务）攻击，或者有大量的僵尸网络在持续扫描 UDP 500 / 4500 端口（IKE 协商的默认端口）。这种高频的无效协商请求会极大地消耗防火墙的 CPU 和内存资源，如果设备的抗 DoS 策略（如 IKE 限速）没有配置或阈值过高，就会引发内存异常。
排查与解决建议
为了快速定位并解决内存泄漏问题，建议按以下步骤操作：
1. 检查并缩短 IKE SA 老化时间
这是最直接的缓解手段。登录防火墙命令行，查看当前的 IKE SA 老化时间配置。如果时间过长（如默认的几十分钟甚至更长），建议将其适当缩短（例如调整为 60-120 秒），让失败的协商会话能更快地被系统回收释放。
这是最直接的缓解手段。登录防火墙命令行，查看当前的 IKE SA 老化时间配置。如果时间过长（如默认的几十分钟甚至更长），建议将其适当缩短（例如调整为 60-120 秒），让失败的协商会话能更快地被系统回收释放。
2. 开启 IKE 抗 DoS 与限速策略
在防火墙的外网接口或全局 IKE 配置中，启用抗 DoS 功能。配置 IKE 协商的限速策略，限制单位时间内来自同一源 IP 的 IKE 请求报文数量，超过阈值的直接丢弃，防止异常流量打满设备资源。
在防火墙的外网接口或全局 IKE 配置中，启用抗 DoS 功能。配置 IKE 协商的限速策略，限制单位时间内来自同一源 IP 的 IKE 请求报文数量，超过阈值的直接丢弃，防止异常流量打满设备资源。
3. 抓包定位异常源 IP
在防火墙的外网接口上开启 Debug 或抓包工具，过滤 UDP 端口 500 和 4500 的流量。观察是否有特定的外部 IP 地址在极其频繁地发起 IKE 协商请求。一旦定位到异常源 IP，直接在防火墙的安全策略中将其封禁。
在防火墙的外网接口上开启 Debug 或抓包工具，过滤 UDP 端口 500 和 4500 的流量。观察是否有特定的外部 IP 地址在极其频繁地发起 IKE 协商请求。一旦定位到异常源 IP，直接在防火墙的安全策略中将其封禁。
4. 升级防火墙系统固件
排查你当前使用的防火墙品牌和型号，去官网查看是否有相关的 CVE 漏洞通告 或 版本修复说明（Release Notes）。如果当前版本存在已知的 IKE 内存泄漏 Bug，务必在维护窗口期内将系统升级到官方推荐的稳定版本，这是根治此类问题的最佳方案。
排查你当前使用的防火墙品牌和型号，去官网查看是否有相关的 CVE 漏洞通告 或 版本修复说明（Release Notes）。如果当前版本存在已知的 IKE 内存泄漏 Bug，务必在维护窗口期内将系统升级到官方推荐的稳定版本，这是根治此类问题的最佳方案。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论