IPSec 第 1 阶段协商失败，系统日志中显示“NO_PROPOSAL_CHOSEN”-第 1 阶段身份验证不匹配
9692
Created On 07/28/22 21:13 PM - Last Modified 05/09/23 06:01 AM
Symptom
- VPN 隧道不上或下
- 系统日志显示“未选择任何提案”。
- 系统日志显示“<IKEGateway> 收到未经身份验证的 NO_PROPOSAL_CHOSEN，您可能需要检查IKE设置”
- CLI 在显示不同身份验证算法的两个对等防火墙上显示命令输出（示例：SHA-512对比SHA-384)
- 数据包捕获显示“NO_PROPOSAL_CHOSEN”IKE数据包（UDP端口 500）
导航网络 >IKE加密简介 >编辑IKE加密资料>编辑验证
CLI
双方VPN同行，通过运行以下命令 CLI
>show vpn gateway name <name>
FW1> show vpn gateway name IKEGatewayTest1
GwID Name Peer-Address/ID Local Address/ID Proposals
1 IKEGatewayTest1 203.0.113.200 203.0.113.100 [PSK][DH20][AES256][SHA512]
FW2> show vpn gateway name IKEGatewayTest1
GwID Name Peer-Address/ID Local Address/ID Proposals
1 IKEGatewayTest1 203.0.113.100 203.0.113.200 [PSK][DH20][AES256][SHA384]
系统日志
导航监控 > 系统日志
线鲨
在两者上进行数据包捕获VPN同行并在 Wireshark 中并排打开它们
这将导致VPN协商失败并显示此消息：
ikemgr.log
通过运行以下命令CLI在两个同行
>less mp-log ikemgr.log
2022-06-27 12:44:49 [PWRN]: [IKEGatewayTest1:342] IKEv2 proposal doesn't match, please check crypto setting on both sides. 2022-06-27 12:44:49 [PERR]: no proposal chosen. 2022-06-27 12:44:52 [PWRN]: [IKEGatewayTest1:341] unauthenticated NO_PROPOSAL_CHOSEN received, you may need to check IKE settings.
Environment
- PAN-OS
- 帕洛阿尔托网络firewall配置了 IPSecVPN隧道
Cause
当两个VPN对等方的身份验证算法不匹配
Resolution
- 配置双方VPN有一个匹配验证算法
（如果你的VPN同行是不同的供应商firewall, 执行他们的等效/相同阶段 1验证他们的配置更改firewall如果它们是不匹配的来源）
- 执行一个犯罪
- 每次运行以下命令几次两个都这VPN同行firewallCLI 让他们重新启动和形成：
>clear vpn ike-sa gateway <name> >clear vpn ipsec-sa tunnel <name>