• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 是
  • 否
  • 全部
  • 是
  • 否
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索
问

出口防火墙IPSEC野蛮模式

5小时前提问
  • 0关注
  • 0收藏，44浏览
zhiliao_1FRNIy
zhiliao_1FRNIy 四段
粉丝：0人 关注：3人

问题描述：

两台出口防火墙配置IPSEC野蛮模式，当前隧道已经通了。但是每天都会产生相对应的IPSEC的日志，是什么原因？

组网及组网描述：

IPsec SA was established. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.20.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 2262179954 Outbound ESP SPI: 90246464 ACL name: IPsec_IPsec2_IPv4_60

IPsec SA was established. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.10.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 1961609146 Outbound ESP SPI: 1410841913 ACL name: IPsec_IPsec2_IPv4_60

IPsec SA was established. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.28.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 1589629224 Outbound ESP SPI: 1129031093 ACL name: IPsec_IPsec2_IPv4_60

IPsec SA was established. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 192.168.200.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 4273967482 Outbound ESP SPI: 893319441 ACL name: IPsec_IPsec2_IPv4_60

IPsec SA was established. SA information: Role: initiator Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.28.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 2504657542 Outbound ESP SPI: 3645869402 ACL name: IPsec_IPsec2_IPv4_60

IPsec SA was established. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 192.168.200.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 1735596402 Outbound ESP SPI: 3068068810 ACL name: IPsec_IPsec2_IPv4_60

IPsec SA was established. SA information: Role: initiator Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.20.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 363155587 Outbound ESP SPI: 3659160709 ACL name: IPsec_IPsec2_IPv4_60

IPsec SA was established. SA information: Role: initiator Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.10.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 1179378378 Outbound ESP SPI: 3036531938 ACL name: IPsec_IPsec2_IPv4_60

The IKE phase 2 SA was deleted. Reason: The SA expired. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.20.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 458677791 Outbound ESP SPI: 3007408464 Initiator COOKIE: b70c1101283da769 Responder COOKIE: fbf2f599f6c3560e Message ID: 0x183a8c48 Connection ID: 12583 Tunnel ID: 1

The IPsec SA was deleted. Reason: An IKE SA deletion message was received. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.20.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 458677791 Outbound ESP SPI: 3007408464 ACL name: IPsec_IPsec2_IPv4_60

The IPsec SA was deleted. Reason: An IKE SA deletion message was received. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.10.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 4162855025 Outbound ESP SPI: 3593292213 ACL name: IPsec_IPsec2_IPv4_60

The IKE phase 2 SA was deleted. Reason: An IPsec SA deletion message was received from peer. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 192.168.200.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 1271281516 Outbound ESP SPI: 2969468050 Initiator COOKIE: b70c1101283da769 Responder COOKIE: fbf2f599f6c3560e Message ID: 0x1bd39d5 Connection ID: 12580 Tunnel ID: 1

The IPsec SA was deleted. Reason: An IKE SA deletion message was received. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.28.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 1288789985 Outbound ESP SPI: 3782131552 ACL name: IPsec_IPsec2_IPv4_60

The IKE phase 2 SA was deleted. Reason: The SA expired. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.10.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 4162855025 Outbound ESP SPI: 3593292213 Initiator COOKIE: b70c1101283da769 Responder COOKIE: fbf2f599f6c3560e Message ID: 0xe31c9622 Connection ID: 12581 Tunnel ID: 1

The IPsec SA was deleted. Reason: An IKE SA deletion message was received. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 192.168.200.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 1271281516 Outbound ESP SPI: 2969468050 ACL name: IPsec_IPsec2_IPv4_60

The IKE phase 2 SA was deleted. Reason: The SA expired. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.28.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 1288789985 Outbound ESP SPI: 3782131552 Initiator COOKIE: b70c1101283da769 Responder COOKIE: fbf2f599f6c3560e Message ID: 0xf502927b Connection ID: 12582 Tunnel ID: 1

The IKE phase 2 SA was deleted. Reason: An IPsec SA deletion message was received from peer. SA information: Role: initiator Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.28.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 748374957 Outbound ESP SPI: 2703100350 Initiator COOKIE: b70c1101283da769 Responder COOKIE: fbf2f599f6c3560e Message ID: 0x9b08e02e Connection ID: 12579 Tunnel ID: 1

The IPsec SA was deleted. Reason: An IKE SA deletion message was received. SA information: Role: initiator Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.28.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 748374957 Outbound ESP SPI: 2703100350 ACL name: IPsec_IPsec2_IPv4_60

The IKE phase 2 SA was deleted. Reason: An IPsec SA deletion message was received from peer. SA information: Role: initiator Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.20.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 948200415 Outbound ESP SPI: 4269003170 Initiator COOKIE: b70c1101283da769 Responder COOKIE: fbf2f599f6c3560e Message ID: 0x3247099d Connection ID: 12577 Tunnel ID: 1

The IPsec SA was deleted. Reason: An IKE SA deletion message was received. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 192.168.200.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 922345624 Outbound ESP SPI: 638891236 ACL name: IPsec_IPsec2_IPv4_60

The IKE phase 2 SA was deleted. Reason: The SA expired. SA information: Role: responder Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 192.168.200.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 922345624 Outbound ESP SPI: 638891236 Initiator COOKIE: b70c1101283da769 Responder COOKIE: fbf2f599f6c3560e Message ID: 0xb1dfef24 Connection ID: 12578 Tunnel ID: 1

The IPsec SA was deleted. Reason: An IKE SA deletion message was received. SA information: Role: initiator Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.20.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 172.16.2.0/255.255.255.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 948200415 Outbound ESP SPI: 4269003170 ACL name: IPsec_IPsec2_IPv4_60

The IKE phase 2 SA was deleted. Reason: An IPsec SA deletion message was received from peer. SA information: Role: initiator Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.10.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 268708868 Outbound ESP SPI: 2150572408 Initiator COOKIE: b70c1101283da769 Responder COOKIE: fbf2f599f6c3560e Message ID: 0x1d1fd616 Connection ID: 12576 Tunnel ID: 1

The IPsec SA was deleted. Reason: An IKE SA deletion message was received. SA information: Role: initiator Local address: X.X.X.X Remote address: X.X.X.X Sour addr: 172.20.10.0/255.255.255.0 Port: 0 Protocol: IP Dest addr: 10.0.0.0/255.0.0.0 Port: 0 Protocol: IP Inside VPN instance:  Outside VPN instance:  Inbound AH SPI: 0 Outbound AH SPI: 0 Inbound ESP SPI: 268708868 Outbound ESP SPI: 2150572408 ACL name: IPsec_IPsec2_IPv4_60

 

3 个回答
按时间 按赞数
zhiliao_v6hOyc
zhiliao_v6hOyc 九段
粉丝：44人 关注：1人

处理建议**： * **确认隧道状态**：通过命令（如 `display ipsec sa`）检查隧道是否处于 `UP` 状态，若状态正常且业务无中断，可忽略该日志。 * **调整日志级别**：若该日志刷屏影响运维查看，建议将 IPsec 模块的日志级别调整为 `Warning`（警告）或更高，以过滤掉 `Informational`（信息，等级 6）级别的常规日志。 * **检查配置**：虽然日志正常，但可确认本端与对端的 SA 生存时间（lifetime）配置是否一致，以避免频繁不必要的重协商。 **结论**：这是设备正常进行 SA 维护或重协商产生的记录，只要隧道业务正常，无需担心，可通过调整日志级别来减少输出。

暂无评论

zhiliao_GeOM0O
zhiliao_GeOM0O 九段
粉丝：23人 关注：2人

日志根因完整分析（H3C 防火墙野蛮模式 IKEv1 IPSEC）

先提炼核心结论：
日志循环打印【SA 过期删除 → 重新建立 SA】，是 IPSEC 第二阶段 SA 生命周期到期正常重协商机制；但需要区分：【正常定时刷新】vs【异常频繁反复重建】。
从你的日志特征：
  1. 大量日志关键字：The IKE phase 2 SA was deleted. Reason: The SA expired.
    → 删除原因：IPSEC SA 生命周期超时
  2. 紧随其后批量出现：IPsec SA was established
    → 超时销毁 SA，两端重新协商生成新 ESP SA

一、基础原理（IKEv1 野蛮模式）

IPSEC 分为：
  • IKE SA（第一阶段：管理隧道，协商密钥，保活）
  • IPSEC SA（第二阶段：数据隧道，业务加密，存在生存周期 Lifetime）
防火墙默认策略：
第二阶段 IPSEC SA 生命时长通常 3600s（1 小时）；
到期之后设备主动删除旧 SA，发起协商建立新 SA，于是产生你看到的一批删除 + 新建日志。
⚠️ 重要区分两种场景：

场景 1：每 1 小时左右规律性一轮重建（标准正常现象）

业务访问不中断！设备支持SA 重叠刷新：新 SA 协商完成后，才彻底停用旧 SA；终端无感知，只是日志刷屏。
✅ 判定标准：
查看日志时间戳，每间隔 3600s 集中出现一批删除 / 建立记录；内网跨 VPN 业务不掉包。

场景 2：十几分钟 / 几十分钟就批量重建（异常，需要优化）

代表协商不稳定，常见诱因：
  1. 两端 IKE/IPSEC lifetime 时间配置不一致（最常见！）
  2. 公网存在 NAT、UDP500/4500 报文被运营商防火墙老化切断
  3. 野蛮模式对等体保活机制缺失、对端设备闲置无流量不发起协商
  4. 两端安全协议、加密套件不匹配，协商过程偶发失败

二、从你的日志额外发现关键点

你使用一条 ACL 承载多组网段对通
ACL 内包含多组流：
172.20.20.0<-->10.0.0.0
172.20.20.0<-->172.16.2.0
172.20.10.0<-->10.0.0.0
172.20.10.0<-->172.16.2.0
172.20.28.0<-->10.0.0.0
172.20.28.0<-->172.16.2.0
192.168.200.0<-->10.0.0.0
192.168.200.0<-->172.16.2.0
👉 一条 ACL 多条 rule，每一条 rule 会独立生成一对 IPSEC SA！
这就是你一次性涌出大量多条删除 / 建立日志的根本原因！
每一条 ACL 流策略对应一组独立 ESP SA，生命周期同步到期，同一时间批量重建，日志刷屏。

三、分步排查 & 优化方案（H3C F1000/F5000 系列防火墙）

1、第一步：核对两端生命周期参数（必须两边完全一致）

plaintext
#查看IKE阶段1生存时间 display ike proposal #查看IPSEC阶段2生存时间 display ipsec proposal display ipsec policy
标准建议配置（两端严格一模一样）
plaintext
#IKE第一阶段，默认86400（24小时） ike proposal 10 encryption-algorithm aes-256 authentication-algorithm sha2-256 dh group14 sa duration 86400 #IPSEC第二阶段 ipsec proposal tran1 esp encryption-algorithm aes-256 esp authentication-algorithm sha2-256 ipsec policy map1 10 isakmp proposal tran1 remote-peer X.X.X.X ike-proposal 10 security acl 3000 sa duration time-based 3600 #两端时间必须相同！
禁止一端 3600、另一端 2880，时间不一致会造成提前断 SA、频繁重协商。

2、第二步：解决【批量日志刷屏】两种思路

方案 A（推荐）：如果网段互通逻辑允许，使用聚合网段简化 ACL
把多条明细子网汇总成一条 ACL rule，减少 SA 数量，日志条数直接大幅下降。
注意：两端 ACL 镜像，源目网段必须严格对称！
方案 B：不改动网段规划，关闭设备 IPSEC SA 新建 / 删除冗余日志（日志层面降噪，不改变隧道机制）
在防火墙信息中心过滤日志，避免监控平台大量告警。

3、第三步：公网 NAT 环境优化（野蛮模式重点）

两端出口存在运营商 NAT，务必开启 NAT 穿越
plaintext
ike nat-traversal
IKEv1 野蛮模式 NAT-T 默认 UDP4500；同时运营商会话老化时间如果小于 IPSEC SA 生命周期，会切断协商报文。
配套开启 VPN 保活：
plaintext
ike keepalive interval 30 retry 3

4、第四步：验证业务是否真的中断

长时间 ping 跨 VPN 网段长 ping 测试：
  • 无丢包 = SA 平滑刷新，纯日志骚扰，业务无影响；
  • 每小时固定出现 1~3 个丢包 = SA 重叠刷新失效，需要调整 lifetime 错开协商时间。

四、重要野蛮模式特有提醒

IKEv1 野蛮模式依赖预共享密钥 + ID 标识；
如果两端设备空闲流量很低，部分厂商设备 SA 到期后不会主动发起重协商，依赖有业务流量触发重建，极端场景会出现流量访问时才重新建立隧道。
优化手段：在两端配置持续少量后台保活流量，或者调整 lifetime，或者切换 IKEv2（可选）。

五、快速判定命令，登录防火墙执行

plaintext
#查看当前存在多少IPSEC SA display ipsec sa #查看IKE第一阶段SA display ike sa
执行后你会看到：有多条 SA 条目，一一对应 ACL 里面每一条子网对。

补充建议

  1. 若业务访问全程稳定、无断流：属于标准正常生命周期刷新，不用紧张；优先做日志过滤降噪。
  2. 若每小时伴随业务短暂丢包：调整两端 IPSEC SA lifetime，或者开启更长生命周期（不建议超过 8 小时）。
  3. 长远优化：多条子网对通场景，可以评估切换 IKEv2，协议机制更稳定，SA 管理日志更少。

暂无评论

刘浩存
刘浩存 九段
粉丝：26人 关注：1人

从你提供的日志来看，这个问题是IPsec VPN正常运行的一种表现，而不是故障。这些日志记录的是IPsec安全联盟（SA）的正常生命周期管理事件。

简单来说，IPsec SA是有“有效期”的，到期后必须重新协商，这就会产生一系列“建立”和“删除”的日志。以下是详细的分析和优化建议。

📊 日志解读：发生了什么？

你的日志清晰地展示了一个完整的SA生命周期：

  1. SA建立：日志以 IPsec SA was established 开头，表示新的SA协商成功，隧道可用。

  2. SA删除：随后出现 The IKE phase 2 SA was deleted 或 The IPsec SA was deleted 日志。

    • 删除原因：日志中的 Reason: The SA expired 表明是生命周期正常到期，这是最健康、最常见的情况。Reason: An IKE SA deletion message was received 则是对端通知删除，属于正常的协商过程。

  3. 重复循环：删除后，紧接着又会有一条新的 established 日志，说明设备立即为新的生命周期重新建立了SA。

所以，你每天看到的日志风暴，就是多个子网对应的多条SA，在它们各自的生命周期结束时，依次进行“删除-重建”所留下的正常记录。

🔍 为什么会有“多个”SA？

从日志的 Sour addr/Dest addr 可以看出，你的IPsec策略保护了多个子网：

  • 源网络：172.20.20.0/24、172.20.10.0/24、172.20.28.0/24、192.168.200.0/24

  • 目的网络：10.0.0.0/8、172.16.2.0/24

这些子网对（感兴趣流）会被转换为多个独立的IPsec SA，因此你会看到多条并发的“建立-删除”日志。

🛠️ 如何优化（减少日志数量）？

如果你不想被这些正常的日志刷屏，可以尝试以下方法：

方法一：调整生命周期参数（最直接）

修改IPsec策略中第二阶段（Phase 2）的生命周期参数。

  • 操作：将生命周期从默认值（如3600秒）延长，例如改为 28800秒（8小时）。

  • 效果：SA的有效期变长，重新协商的频率会大幅降低，日志数量自然减少。

  • 注意：需要两端设备同时修改并保持一致。

方法二：调整日志级别

如果不想修改业务参数，可以调整设备记录IPsec事件的日志级别。

  • 操作：在设备上，将IPsec相关模块的日志级别从 Informational（信息）调整为 Warning（警告）或更高级别。

  • 效果：只有发生错误或异常时才会记录日志，正常的建立和删除事件将不再记录。

  • 注意：这会隐藏所有正常事件，可能不利于故障排查。

方法三：合并感兴趣流（结构优化）

如果网络规划允许，可以尝试将多个小网段合并为一个大网段。

  • 效果：从逻辑上减少SA的数量，从而减少日志条目。

⚠️ 需要警惕的异常情况

虽然目前日志是正常的，但如果出现以下情况，则需要关注：

  • 频繁重建但无业务流量：如果日志中大量出现 establish 和 delete，但实际没有业务数据在传输，这可能是DPD（死对端检测） 或NAT穿越配置问题，导致SA被错误地频繁重建。

  • 建立失败日志：如果日志中出现 failed、error 或 unreachable 等关键词，则表示协商失败，需要排查网络连通性或两端配置是否一致。

暂无评论

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问，请使用评论功能。

✖

分享扩散:

➤

提出建议

✖

    +
网站相关
关于我们
服务条款
隐私政策
帮助中心
经验与权限
积分规则
联系我们
联系我们
建议反馈
常用链接
标杆的神器下载
关注我们
H3C官网
新华三服务公众号
安仔远程运维服务
新华三商城
内容许可
除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

Copyright©2026新华三集团保留一切权利 当前呈现版本 NO.1

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1   浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定
✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub
✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等（不友善）

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等（不友善）
骚扰我

泄露了我的隐私

×

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
  • 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

×

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
  • 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
  • 3. 是哪家企业？（营业执照，单位登记证明等证件）
  • 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
  • 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票

不规范转载

×

举报说明