知

msr 路由器和海康设备对接ipsec，不定时不通

IPSec VPN

王听宇

2024-12-05 发表

组网及说明

华三设备—出口光猫nat-----运营商---------海康设备

告警信息

不涉及

问题描述

不定时ipsec 业务不通，重启或reset ike sa reset ipsec sa后可恢复

过程分析

测试环境，只有一条感兴趣流，因此

display ipsec tunnel brief

Tunn-id Src Address Dst Address Inbound SPI Outbound SPI Status

----------------------------------------------------------------------------

0 192.168.0.61 192.168.0.64 54321 12345 --

tunnel-id tunnel-id：显示指定IPsec隧道处理的报文统计信息。其中，tunnel-id为隧道的ID号，取值范围为0～4294967295。通过display ipsec tunnel brief可以查看到已建立的IPsec隧道的ID号。

故障时多次查看统计报文发现ipsec报文有发没收

# 显示ID为1的IPsec隧道处理的报文统计信息。

<Sysname> display ipsec statistics tunnel-id 0

IPsec packet statistics:

Received/sent packets: 5124/8231

Received/sent bytes: 52348/643561

Dropped packets (received/sent): 0/0

排查对端设备，对端反馈此时已经没有sa了，但是华三设备感知不到对端sa已经删除了，还在发ipsec的业务报文

解决方法

增加按需探测后正常

//配置ike dpd功能，指定触发IKE DPD探测的时间间隔为10s；DPD报文重传时间为3s，探测模式为按需探测模式

ike dpd interval 10 retry 3 on-demand 按需探测方式只需全局一条命令

DPD 就是 ISAKMP 的 keepalive 技术，因此 DPD 就是一种特殊的 ISAKMP 数据包

DPD 的按需工作模式：如果路由器加密了数据并发给了对等体，但在一定时间内没有解密任何源自于对等体的数据，那么路由器就会向对方发送 DPD 信息来询问对等体的状态。如果一台路由器暂时不准备加密任何数据，那么它也不会发送 DPD 信息。即使这个时候对等体已经有问题了（Dead）。直到 IKE 和 IPSec SA 进行下一轮密钥更新的时候才会被发现。

或者用周期探测

ike dpd interval 10 retry 5 periodic 周期探测方式只需全局一条命令

建议用按需探测，dpd两边模式要相同

interval interval：指定触发IKE DPD探测的时间间隔，取值范围为1～300，单位为秒。对于按需探测模式，指定经过多长时间没有从对端收到IPsec报文，则触发一次DPD探测；对于定时探测模式，指触发一次DPD探测的时间间隔。

retry seconds：指定DPD报文的重传时间间隔，取值范围为1～60，单位为秒，缺省值为5秒。

on-demand：指定按需探测模式，根据流量来探测对端是否存活，在本端发送IPsec报文时，如果发现当前距离最后一次收到对端报文的时间超过指定的触发IKE DPD探测的时间间隔（即通过interval指定的时间），则触发DPD探测。

periodic：指定定时探测模式，按照触发IKE DPD探测的时间间隔（即通过interval指定的时间）定时探测对端是否存活。

【使用指导】

IKE DPD有两种模式：按需探测模式和定时探测模式。一般若无特别要求，建议使用按需探测模式，在此模式下，仅在本端需要发送报文时，才会触发探测；如果需要尽快地检测出对端的状态，则可以使用定时探测模式。在定时探测模式下工作，会消耗更多的带宽和计算资源，因此当设备与大量的IKE对端通信时，应优先考虑使用按需探测模式。

如果IKE profile视图下和系统视图下都配置了DPD探测功能，则IKE profile视图下的DPD配置生效，如果IKE profile视图下没有配置DPD探测功能，则采用系统视图下的DPD配置。