туннели IPsec Ikev1 и Ikev2 на одном маршрутизаторе?

[the-lebowski]

Эта проблема устранена, она была связана с профилем ipsec и указанием в нем профиля ikev2: crypto ipsec profile strong set transform-set strong-set set ikev2-profile v2-profile <<<<<<<<<<<<<<<<<<<<< Я не знаю, почему я думал, что вышеуказанное можно использовать как для ikev1, так и для ikev2, но это невозможно: как только вы добавляете профиль ikev2 к профилю ipsec, он становится профилем ТОЛЬКО ikev2. Мне пришлось создать новый профиль без ikev2, чтобы туннель установился правильно: crypto ipsec profile strong-v1 set transform-set strong-set

[Flavio Miranda]

@the-lebowski Журналы указывают на несоответствие в наборе преобразований. Как это произошло после сбоя связи, я понятия не имею. Если бы это было перезагрузкой питания, то это было бы более логично.

[the-lebowski]

Да, я знаю, но почему, я не знаю. Ничего из этого не изменилось, но я могу сказать вам, что если я добавлю IP-адрес R2 в ключевой кольцо ikev2, это сообщение исчезнет, но туннель не будет установлен. R2 не имеет никакой конфигурации ikev2, а R1 имеет. Похоже, что r1 просто ищет ikev2 от этого хоста, когда он должен сопоставляться с ikev1, но я не знаю, почему. crypto ikev2 profile v2-profile match address local interface GigabitEthernet0/0/0 match identity remote address 0.0.0.0 authentication remote pre-share authentication local pre-share keyring local v2-keyring dpd 20 2 periodic crypto ikev2 keyring v2-keyring
peer-test-site
address 2.2.2.2 pre-shared-key xyz

[the-lebowski]

Некоторые настройки ikev1 с обоих маршрутизаторов: r1: crypto isakmp policy 1 encryption aes hash sha authentication pre-share group 2
!
crypto ipsec transform-set strong-set esp-aes 256 esp-sha256-hmac mode tunnel
!
crypto ipsec profile strong set transform-set strong-set set ikev2-profile v2-profile <<<<<<<<<<<<<<<<<<<<< r2: crypto isakmp policy 1 encr aes authentication pre-share group 2
!
crypto ipsec transform-set strong-set esp-aes 256 esp-sha256-hmac mode tunnel
!
crypto ipsec profile strong set transform-set strong-set

[Flavio Miranda]

На R1 есть другой параметр. хэш sha r1: crypto isakmp policy 1 encryption aes hash sha authentication pre-share group 2
!
crypto ipsec transform-set strong-set esp-aes 256 esp-sha256-hmac mode tunnel
!
crypto ipsec profile strong set transform-set strong-set set ikev2-profile v2-profile <<<<<<<<<<<<<<<<<<<<< r2: crypto isakmp policy 1 encr aes authentication pre-share group 2
!
crypto ipsec transform-set strong-set esp-aes 256 esp-sha256-hmac mode tunnel
!
crypto ipsec profile strong set transform-set strong-set

[Rob Ingram]

@the-lebowski
Один из примеров, который я могу привести, почему VPN-туннель может не устанавливаться, — это если у инициатора не настроена PFS или у него меньшая группа DH, чем у респондера. Проверьте настройки PFS, предоставьте конфигурацию обоих маршрутизаторов для проверки.

[the-lebowski]

@Rob Ingram
Я опубликовал часть конфигурации выше, что еще вы хотите увидеть? Я не люблю публиковать полные конфигурации маршрутизаторов, потому что мне приходится их очищать, а это занимает уйму времени. Повторюсь, все совпадает, затем происходит сопоставление с криптографическим профилем, но оно заканчивается неудачей. Мне кажется, что он пытается сопоставить только профили ikev2, а затем в конечном итоге терпит неудачу: Feb 24 09:14:20.216 pst: ISAKMP-PAK: (21848):received packet from 2.2.2.2 dport 500 sport 500 Global (R) QM_IDLE
Feb 24 09:14:20.216 pst: ISAKMP: (21848):set new node 3965113645 to QM_IDLE
Feb 24 09:14:20.216 pst: ISAKMP: (21848):processing HASH payload. message ID = 3965113645
Feb 24 09:14:20.216 pst: ISAKMP: (21848):processing SA payload. message ID = 3965113645
Feb 24 09:14:20.216 pst: ISAKMP: (21848):Checking IPSec proposal 1
Feb 24 09:14:20.216 pst: ISAKMP: (21848):transform 1, ESP_AES
Feb 24 09:14:20.216 pst: ISAKMP: (21848): attributes in transform:
Feb 24 09:14:20.216 pst: ISAKMP: (21848): encaps is 1 (Tunnel)
Feb 24 09:14:20.216 pst: ISAKMP: (21848): SA life type in seconds
Feb 24 09:14:20.216 pst: ISAKMP: (21848): SA life duration (basic) of 3600
Feb 24 09:14:20.216 pst: ISAKMP: (21848): SA life type in kilobytes
Feb 24 09:14:20.216 pst: ISAKMP: SA life duration (VPI) of 0x0 0x46 0x50 0x0
Feb 24 09:14:20.216 pst: ISAKMP: (21848): authenticator is HMAC-SHA256
Feb 24 09:14:20.216 pst: ISAKMP: (21848): key length is 256
Feb 24 09:14:20.216 pst: ISAKMP: (21848):atts are acceptable.
Feb 24 09:14:20.216 pst: IPSEC(validate_proposal_request): proposal part #1
Feb 24 09:14:20.217 pst: IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) INBOUND local= 1.1.1.1:0, remote= 2.2.2.2:0, local_proxy= 0.0.0.0/0.0.0.0/256/0, remote_proxy= 0.0.0.0/0.0.0.0/256/0, protocol= ESP, transform= esp-aes 256 esp-sha256-hmac (Tunnel), esn= FALSE, lifedur= 0s and 0kb, spi= 0x0(0), conn_id= 0, keysize= 256, flags= 0x0 Feb 24 09:14:20.217 pst: map_db_check_isakmp_profile profile did not match,
ike passed profile : NULL,
map_ike_profile: v2-profile,
head_ike_profile: v2-profile
Feb 24 09:17:51.424 pst: map_db_find_best did not find matching map
Feb 24 09:17:51.424 pst: IPSEC(ipsec_process_proposal): peer address 2.2.2.2 not found
Feb 24 09:17:51.424 pst: ISAKMP-ERROR: (21848):IPSec policy invalidated proposal with error 64
Feb 24 09:17:51.425 pst: ISAKMP-ERROR: (21848):phase 2 SA policy not acceptable! (local 1.1.1.1 remote 2.2.2.2)
Feb 24 09:17:51.425 pst: ISAKMP: (21848):set new node 1908453102 to QM_IDLE
Feb 24 09:17:51.425 pst: ISAKMP: (21848):Sending NOTIFY PROPOSAL_NOT_CHOSEN protocol 3
!
!
crypto ikev2 profile v2-profile match address local interface GigabitEthernet0/0/0 match identity remote address 0.0.0.0 authentication remote pre-share authentication local pre-share keyring local v2-keyring dpd 20 2 periodic

[the-lebowski]

@Flavio Miranda
Я уже исправил это, но, похоже, на R2 это не сохраняется: crypto isakmp policy 1 encr aes authentication pre-share group 2 r2(config)#crypto isakmp policy 1
r2(config-isakmp)#hash sha
r2(config-isakmp)#do show run | s crypto
crypto isakmp policy 1 encr aes authentication pre-share group 2

[Flavio Miranda]

Вы пробовали перезагрузить оба маршрутизатора?

[the-lebowski]

@Flavio Miranda
Нет, поскольку между ними есть активный трафик, хотя и не в обоих направлениях, что и является проблемой, которую я пытаюсь решить.