IPsec VPN故障排除手册(DOC)

(config)#crypto init-config

分别配置

user-name

，

password

，以及中心

VPN

的地址

server address

，完成后的结果如

下

crypto init-config

server address 202.21.1.1

user-name test

password 3ee86377cf3de377?

exit

?

获取上点配置

在

enable

模式下，输入

start crypto init-config

如果返回成功的话，该

VPN

就已经获取了 必需的初始配置，以对应安全用户的身份加

入了

PM3

的管理范围了，最后保存一下配置就可以了。

网管方式的配置只需要上述三步即可。

2.2

手工配置

< br>关键配置：

预共享密钥或证书、

保护数据流、

IKE

和

IP sec

使用的加密算法。

具体命令和软件版本有关。

预共享密钥配置：

crypto ike key

<

password

> {any|address <

A.B.C.D

>|identity <

idstring

>}

当指定

identiey

关键字时，常常是用于积极模式协商（主模式的情 况下

ID

是被加密的，没

有办法找到对 应的密钥，就无法协商。

）

，可以支持通配符。例如：

crypto ike key maipu identity *.

该命令是说，对所有

ID

后缀是

的协商是用密钥为

maipu

。

证书的配置是用：配置证书服务器（地址、 证书类型）

、下载证书服务器证书、下载设

备证书。

cry ca identity <

CAstring

>

//

配置证书服务器信息

ca type {ctca|mpcms|windows}

//

配置证书服 务器类型。

ctca

：上海电信

CA< /p>

。

enrollment {address <

string

>|url <

string

>}

//

配置证书服务器地址

下载

CA

服务器证书

crypto ca authenticate

crypto ca enroll

{1024|2048|512}

//

下载设备证书。

指

RSA

driver_name

：指设备在证 书服务器上注册的用户名。

CMS

必须先注册，

windows

证书服务器不需要。

是用证书或是用预共享密钥方式都主要是在

IKE

协商 阶段用来作身份验证。和后期的

IPsec

数据加密无关。

保护数据流：

crypto policy <

string

>

flow

tunnel

bypass

Bypass

属性使该策略在没有对应的

SA

存在时允许报文以明文方式转发。

主要解决当保护数

据流包括内网口地址，访问内网口的问题。在

IPsec

作 为备份线路中也需要使用。

隧道属性：

crypto tunnel

<

string

>

peer {any |address

A.B.C.D

|hostname

}

local {address

A.B.C.D

|interface

}

set sec-level {basic|high|medium}

我们将常用的密码算 法、

密钥安全属性做了总结，

形成三个安全等级的配置。

在隧道属

性配置中可以直接使用这三个等级。

crypto security level : basic

ike proposal :

g1-des-sha1

g1-des-md5

ipsec proposal :

esp-nopfs-des-sha1

esp-nopfs-des-md5

crypto security level : medium

ike proposal :

g2-3des-sha1

g2-3des-md5

g2-aes128-sha1

g2-aes128-md5

ipsec

proposal

:

esp-g2-3des-sha1

esp-g2-3des-md5

esp-g2-aes128-sha1

esp-g2-aes128-md5

crypto security level : high

ike proposal :

g5-3des-sha256

g5-aes256-sha256

ipsec proposal :

esp-g5-3des-sha256

esp-g5-aes256-sha256

在使用中要主意 这三个安全等级并没有使用

AH

协议。

VRC

配置：主要配置预共享密钥或证书、对端

Ipsec

网关地址、对端保护网络。

三、

IPsec VPN

常见问题处理

本章重 点介绍

VPN

的故障排除的基本思路，

以及分析故障原因和解决问题的常用方的基

本思路，以及分析故障原因和解决问题的常用 方法。

本章内容：

?

IPsec VPN

故障排除基本思路

?

IPsec VPN

常见故障处理

?

IPsec VPN SA

状态信息说明

?

调试命令参数解释

3.1 IPsec VPN

故障排除基本思路

当

IPsec VPN

出现问题时，最直接的表现就是无法通过

IPsec V PN

访问远端内部网络。

按照具体的情况又分为：

IPsec

隧道无法建立、

IPsec

隧道建立但无法访问远端内部网络和

IPsec

隧道 时断时连。通过

IPsec

的

debu g

信息检测问题是比较快的，但需要使用者对

debug

信息比较熟悉。所以这里介绍针对上面三种情况的一般检测方法。

1

．

IPsec VPN

隧道无法建立

检测方法：

使用

show cry ike proposal

和

sh cry ipsec proposal

命令查

看< /p>

ike

和

ipsec

的策略两端是否相同。使用

sh

cry

policy

查看 两端数据流是

否匹配。

2

．

IPs ec

隧道建立但无法访问远端内部网络

检测方法：

sh ip esp

查看是 否有

in

和

out

的数据；

查看访问列表是否

deny

了受保护

的数据流。

3

．

IPsec

隧道时断时连

检测方法：查看物理线路是否时通时断；查看是否有网点冲突。

3.2 IPsec VPN

常见故障处理

故障一：

IPsec VPN

隧道无法建立

可能的原因

1

．两端

VPN

设备无法互

通