一些IPSec故障诊断及解决方法

1、故障一
现象描述：在IPSec-manual或IPSec-isakmp方式下，双方配置好后或双方协商通过后，双方仍然无法进行通信。同时若打开debug crypto packet，则会出现如下信息：rec'd IPSEC packet from IPADDR has invalid spi.

可能造成这个故障的原因和解决方法列表：
可能原因
对端的outbound的spi值与本端的inbound不同或配置的配置策略不同（esp、ah）。

判断方法和解决方案 
 检查双方的配置信息，尤其是在IPSec-manual方式下，检查双方的SPI值是否按方向（inbound、outbound）匹配。而在IPSec-isakmp下，则可能是协商出错。

 

2、故障二

现象描述：在IPSec-manual方式下，双方配置好后，双方仍然无法进行通信。同时若打开debug crypto packet，则会出现如下信息：packet missing policy.

可能造成这个故障的原因和解决方法列表：
 可能原因
对端的outbound的配置策略和本地不同（esp、ah）。

 判断方法和解决方案
检查双方的配置信息，很可能是：对端策略配置为esp，而本端策略为ah+esp。

 

3、故障三

现象描述：在IPSec-manual方式下，双方配置好后，双方仍然无法进行通信。同时若打开debug crypto packet，则会出现如下信息：rec'd IPSEC packet from IPADDR has bad pading.

 

可能造成这个故障的原因和解决方法列表：

可能原因 
对端的outbound的加密密钥与本端的inbound的不同。

判断方法和解决方案
检查对端的outbound的加密密钥和本端的inbound的加密密钥，务必使两者相同。