Túnel IPSec está arriba, pero el paquete se cae con el aumento de contador incorrecto SPI

• Vpn
• Ipsec
• La fase 1 y la fase 2 están en marcha para el túnel IPSec, pero los paquetes se están soltando en alguna parte.

• En la salida del contador global, cualquiera de las siguientes entradas se incrementa al mismo tiempo:

flow_tunnel_decap_err

flow_tunnel_ipsec_wrong_spi

flow_tunnel_natt_nomatch

• Desde el extremo del mismo nivel, el tráfico saliente funciona normalmente.

• En el encabezado ESP, el campo Sequence se utiliza para proteger la comunicación de un ataque de repetición.
• Si un paquete llega al cortafuegos y la diferencia del número de secuencia con los paquetes anteriores es mayor que el tamaño de la ventana de repetición, entonces se considerará como un ataque y se dejará caer por el cortafuegos.
• Esto puede ocurrir cuando la conexión no es estable o el paquete no llega en orden.
   
• Las siguientes salidas de CLI muestran un ejemplo de los contadores globales con este problema:

> mostrar el flujo de categoría de túnel de aspecto de caída de gravedad del filtro global del contador
flow_tunnel_encap_err 38 0 túnel de flujo de gota Paquete descartado: error de encapsulación del túnel
flow_tunnel_decap_err 705072 2 túnel de flujo de gotas Paquete descartado: error de desencapsulación del túnel
flow_tunnel_encap_nested 38 0 túnel de flujo de gota Paquete descartado: desencapsulación de túnel anidado
flow_tunnel_ipsec_wrong_spi 705074 Túnel de flujo de 2 gotas Paquete descartado: IPsec SA para spi en paquete no encontrado

> mostrar el flujo de categoría de túnel de aspecto de caída de gravedad del filtro global del contador
flow_tunnel_natt_nomatch 11 0 túnel de flujo de gota Paquete descartado: paquete IPSec NATT sin coincidencia SPI de sesión

1. Vaya a la pestaña Network > IPSec Tunnels > General y desactive 'protección de reproducción' para resolver el problema.

2. Haga clic en 'mostrar opciones avanzadas' si esta opción no se muestra.

Después de desactivar la "protección de reproducción", el firewall permitirá esos paquetes incluso si su diferencia de número de secuencia es mayor que el tamaño de la ventana de reproducción.