羽ばたき IPSec トンネル

問題: ipsec トンネルがばたばたしていないか、ipsec トンネルが発生していますが、トラフィックを渡していません。

原因:トンネルが羽ばたき、またはトラフィックを通過しない理由の1つは、SPI 番号が安定していない場合です。ソフトウェアのバグは、問題、フェーズ1とフェーズ2の寿命が同じではないので、rekey が起こっている可能性があります。プロキシ ID は不整合ので、rekey が頻繁に発生しています。

セキュリティアソシエーションは、セキュリティパラメータインデックス (SPI)、IP 宛先アドレス、およびセキュリティプロトコル (AH または ESP) 識別子から成るトリプルによって一意に識別されます。SPI は、受信パケットがバインドされるべき SA を識別するためにレシーバによって使用される任意の32ビット値です。SPI は、受信パケットを宛先の SA にマップするために提供されます。

次のコマンドを使用して、ファイアウォールで SPI 番号を確認できます。

vpn ipsec-sa を表示する

SPI 番号は、トンネルが再度ネゴシエートしするまで安定した状態でなければなりません。この数が変化している場合、トンネルは安定しません。

例:両方のスクリーンショットでは、SPI 番号が変化しています。

解像度:

• phase1 と phase2 の寿命を確認してください--時間は同じでなければなりません。
• プロキシ ID が一致しているかどうかを確認します。
• この問題は、ソフトウェアのバグが原因である可能性があります。