DPDによってダウンしたIKEv2 IPsec VPNトンネルのトラブルシューティング方法

1. IKEv2 は、活性チェック (IKEv1 の Dead Peer Detection(DPD) と同様) を使用して、ピアがまだ使用可能かどうかを判断します。 活性チェックオプションはデフォルトで有効になっています。

> show log system direction equal backward
2019/03/06 18:24:04 low      vpn     seapa- ikev2-n 0  IKEv2 IKE SA is down determined by DPD.
2019/03/06 17:26:27 low      vpn     seapa- ikev2-n 0  IKEv2 IKE SA is down determined by DPD.

> less mp-log ikemgr.log
2019-03-06 17:26:28.000 -0800  [INFO]: \{    1:    1}: DPD down, rekey vpn tunnel <awsseapa-to-azeapa>, SA state ESTABLISHED
2019-03-06 18:24:05.000 -0800  [INFO]: \{    1:    1}: DPD down, rekey vpn tunnel <awsseapa-to-azeapa>, SA state ESTABLISHED

debug ike pcap on
view-pcap no-dns-lookup yes no-port-lookup yes debug-pcap ikemgr.pcap
scp export debug-pcap from ikemgr.pcap to username@host:path
debug ike pcap off 

1. ファイアウォールが空の情報活性チェックパケットを送受信している場合、パケットキャプチャは次のようになります。
2. 同様に、次の図に示すように、パケット フィルタの送信元と宛先をエンドポイントの IP アドレスに設定することで、トンネルの 2 つのエンドポイント間でデータプレーン パケット キャプチャを実行できます。
3. 次のコマンドを使用して、影響を受けるゲートウェイのデバッグを有効にします。

   debug ike gateway <name of the gateway> on debug

   この場合のikemgログには、次のメッセージが表示されます。

   2024-07-15 10:55:41.005 -0700  [DEBG]: 10.46.36.241[500] - 10.46.36.240[500]:(nil) 1 times of 76 bytes message will be sent over socket 1024
   2024-07-15 10:55:41.007 -0700  [DEBG]: processing isakmp packet
   2024-07-15 10:55:41.007 -0700  [DEBG]: ===
   2024-07-15 10:55:41.007 -0700  [DEBG]: 76 bytes message received from 10.46.36.240
   2024-07-15 10:55:41.007 -0700  [DEBG]: {    2:     }: [IKE Initiator] response message_id 704 expected 704
   2024-07-15 10:55:41.013 -0700  [DEBG]: {    2:     }: response exch type 37
   2024-07-15 10:55:41.013 -0700  [DEBG]: {    2:     }: update response message_id 0x2c0
   2024-07-15 10:55:46.005 -0700  [DEBG]: 10.46.36.241[500] - 10.46.36.240[500]:(nil) 1 times of 76 bytes message will be sent over socket 1024
   2024-07-15 10:55:46.006 -0700  [DEBG]: processing isakmp packet
   2024-07-15 10:55:46.006 -0700  [DEBG]: ===
   2024-07-15 10:55:46.006 -0700  [DEBG]: 76 bytes message received from 10.46.36.240
   2024-07-15 10:55:46.006 -0700  [DEBG]: {    2:     }: [IKE Initiator] response message_id 705 expected 705
   2024-07-15 10:55:46.014 -0700  [DEBG]: {    2:     }: response exch type 37
   2024-07-15 10:55:46.014 -0700  [DEBG]: {    2:     }: update response message_id 0x2c1

4. 次のコマンドを使用してデバッグを無効にします。

   debug ike gateway <name of the gateway> off

1. DPD(IKEv2 の場合の活性チェック)は常にオンです。 空の情報パケット以外のすべての IKEv2 パケットは、活性チェックの目的を果たします。
2. 活性チェックパケット(情報)は、IKE SA と子 SA を介してdpd_intervalした後、アクティビティがない場合にのみ送信されます。
3. 有効: はいに設定すると、非アクティブ (IKE) がしばらく続いた後に空の情報メッセージが送信されます。 この待機時間は dpd_interval によって定義されます。
4. 活性チェックに失敗した場合、IKE SA とその IKE SA を介してセットアップされたすべての子 SA は削除されます。 IKE ゲートウェイは、新しいIKE_SA_INIT交換を開始します。