IPSec tunnel est en place, mais le paquet se fait tomber avec le mauvais SPI augmentation du compteur

• Vpn
• Ipsec
• Phase 1 et phase 2 sont en place pour le tunnel IPSec, mais les paquets sont déposés quelque part.

• Sur la sortie du compteur global, l’une des entrées suivantes s’incrémente en même temps :

flow_tunnel_decap_err

flow_tunnel_ipsec_wrong_spi

flow_tunnel_natt_nomatch

• À partir de l’homologue, le trafic sortant fonctionne normalement.

• Dans L'en-tête ESP, le champ Sequence est utilisé pour protéger la communication d'une attaque de relecture.
• Si un paquet arrive au pare-feu et que la différence entre le numéro de séquence et les paquets précédents est supérieure à la taille de la fenêtre de relecture, elle sera considérée comme une attaque et supprimée par le pare-feu.
• Cela peut se produire lorsque la connexion n'est pas stable ou que le paquet n'arrive pas dans l'ordre.
   
• Les sorties CLI suivantes montrent un exemple des compteurs globaux avec ce problème:

> afficher le flux de catégorie de tunnel d’aspect de perte de gravité globale du filtre de compteur
flow_tunnel_encap_err 38 0 tunnel de flux de goutte Paquet abandonné : erreur d’encapsulation du tunnel
flow_tunnel_decap_err 705072 2 tunnel de flux de goutte Paquet abandonné : erreur de décapsulation du tunnel
flow_tunnel_encap_nested 38 0 tunnel de goutte Paquet abandonné : décapsulation du tunnel imbriqué
flow_tunnel_ipsec_wrong_spi 705074 2 tunnel de flux de goutte Paquet abandonné : IPsec SA pour spi dans le paquet introuvable

> afficher le flux de catégorie de tunnel d’aspect de perte de gravité globale du filtre de compteur
flow_tunnel_natt_nomatch 11 0 Tunnel de flux de goutte Paquet abandonné : paquet NATT IPSec sans correspondance SPI de session

1. Accédez à l'onglet Général des tunnels IP >> IPSec et désactivez la « protection contre la relecture » pour résoudre le problème.

2. Cliquez sur 'Afficher les options avancées' si cette option n'est pas affichée.

Une fois la « protection de relecture » désactivée, le pare-feu autorise ces paquets même si leur différence de numéro de séquence est supérieure à la taille de la fenêtre de relecture.