Неактивный и неизвестный статус VPN-туннеля в FMC

[Chess Norris]

Здравствуйте, У клиента есть более 80 туннелей L2L VPN от головного офиса до небольших удаленных офисов. В основном подключение к этим удаленным офисам осуществляется через MPLS, а туннели VPN используются в качестве резервных. При просмотре FMC я вижу, что большинство туннелей имеют статус «неактивный», что кажется логичным, но я также заметил, что некоторые туннели имеют статус «неизвестный», и я не уверен, связано ли это с тем, что туннели никогда не были активны, или это проблема неправильной настройки? Трудно проверить, работает ли туннель должным образом, потому что для тестирования нам нужно отключить интерфейс MPLS на маршрутизаторе, и если есть проблема с резервным VPN-туннелем, мы прервем соединение с этим удаленным офисом. Кто-нибудь знает, что именно означают статусы «неизвестный» и «неактивный»?
![VPN tunnels.png] Спасибо /Chess

[balaji.bandi]

Да, если это резервный туннель, это единственный вариант для тестирования, когда у вас есть окно для технического обслуживания. В качестве альтернативы можно использовать тестовое устройство, которое поддерживает соединение туннеля в любое время. BB
=====Пренаямо Васудевам=====
***** Оценить все полезные ответы *****
Как обратиться за помощью к сообществу Cisco

[balaji.bandi]

Неактивный (красный или серый/нет активных данных):
в
настоящее время нет активных туннелей IPsec для указанной конфигурации VPN. Неизвестно (желтый):
FMC еще не получил никаких событий установления туннеля или обновлений статуса от устройства. Этот статус часто появляется после первоначального развертывания или когда возникает проблема с FMC, связывающимся с управляемым устройством FTD для получения статуса. Это зависит от версии запущенного кода; иногда могут присутствовать ошибки, поэтому проверьте версию на наличие каких-либо проблем. Кроме того, проверьте FTD на уровне команд, чтобы увидеть, есть ли трафик через эти туннели. >show crypto ikev2 sa.
If you'd like to check, you can also capture the packets. BB
=====Preenayamo Vasudevam=====
***** Оцените все полезные ответы *****
Как обратиться за помощью к сообществу Cisco

[Chess Norris]

Спасибо,
@balaji.bandi
. Ни в неактивных, ни в неизвестных туннелях нет ikev2. Статус будет «Неактивный», даже если по этим туннелям никогда не передавался трафик? Если это так, то, по-видимому, есть какая-то ошибка в настройках. Все маршрутизаторы на удаленных сайтах работают под управлением одной и той же версии IOS. /Chess

[balaji.bandi]

There is no ikev2 to neither the inactive or the unknown tunnels. Это означает, что туннель не активен, проверьте конфигурацию. Похоже, что это неправильная настройка. All routers on the remote sites are running the same IOS versions. Проверьте, как они связываются с пунктом назначения. BB
=====Preenayamo Vasudevam=====
***** Оцените все полезные ответы *****
Как обратиться за помощью к сообществу Cisco

[Chess Norris]

Да, нет активных туннелей, потому что они используются только в качестве резервных. Я не знаю, были ли когда-либо активны какие-либо из этих туннелей, поэтому в данный момент я просто пытаюсь понять, почему только некоторые из них неактивны, а некоторые неизвестны. Параметры IKE и IPSec одинаковы для всех этих туннелей. Различаются только адреса узлов и PSK. Даже если туннели не активны, я подозреваю, что между узлами должна быть какая-то связь, но, возможно, этого недостаточно, чтобы FMC определил состояние? Если это так, то, по-моему, единственный способ подтвердить, работает ли туннель, — это отключить интерфейс MPLS на маршрутизаторах и посмотреть, появится ли туннель. /Chess