сбой подключения к VPN с удаленным доступом IKEv2

[MHM Cisco World]

<удаленный хост>/3863 <<- проблема в вашем удаленном Peer' не используйте статический NAT для порта 4500 Поэтому IPsec не сработал MHM

[lridium]

Я не думаю, что это проблема, поскольку речь идет о удаленном доступе, а не о соединении между сайтами; клиент Android подключается к 4500 на ASA, который настроен на статический NAT. Я тоже подозреваю, что проблема в настройках NAT (хотя не думаю, что они изменились), поскольку после установления туннеля трафик не проходит.

[MHM Cisco World]

Если один из пиров находится за NAT Ipsec начинает использовать порт 4500, ваш ASA использует порт 4500, но удаленный одноранговый узел не использует его, поэтому трафик пропадает. MHM

[lridium]

Большое спасибо за всю вашу помощь до сих пор. Я проверил рабочие конфигурации за последние несколько лет, и все они соответствуют текущей рабочей конфигурации, включая NAT и правила маршрутизации (как показано в приложенной рабочей конфигурации). Есть ли что-нибудь еще, что может способствовать этому? Я не ожидаю, что одна и та же версия программного обеспечения и одна и та же конфигурация начнут испытывать проблемы без видимых на то причин.

[Rob Ingram]

Вы можете иметь удаленный узел за динамическим PAT/NAT, удаленный порт не обязательно должен быть 4500. @lridium,
какие изменения были внесены? В ASA включите отладку IKEv2 debug crypto ikev2 protocol 127
debug crypto ikev2 platform 127 https://www.cisco.com/c/en/us/support/docs/security/anyconnect-secure-mobility-client/116158-trouble-asa-ikev2-00.html Со стороны клиента запустите DART для сбора данных по устранению неполадок, проверьте вывод и найдите соответствующие ошибки.
https://www.cisco.com/c/en/us/support/docs/security/secure-client/221919-collect-dart-bundle-for-secure-client.html

[lridium]

Спасибо, что спасли мое здравомыслие, подтвердив удаленный порт, я нигде не мог его найти, чтобы быть уверенным! Что касается изменений, я обновил trustpoint (обычное обновление сертификата), протестировал, все работало нормально. Я вернулся, чтобы удалить старый trustpoint, и не думаю, что менял что-либо еще в конфигурации VPN (возможно, я сделал это в рамках аудита, но в этом я не уверен). За исключением изменений trustpoint, текущая конфигурация идентична (проверка построчно). Я вернулся и восстановил старый trustpoint и откатился к гораздо более старым версиям Secure Client (просто чтобы исключить оба варианта) и увидел то же поведение. Текущее тестирование проводится с использованием всех последних и лучших версий (сертификаты и Secure Client). Что касается дополнительных данных, которые вы предложили, я обязательно это сделаю, но, вероятно, мне понадобится день или два, чтобы их подготовить и скомпилировать. Я первоначально просмотрел оба (отладочный и DART-журнал) несколько дней назад, перед тем как опубликовать сообщение, но я повторю проверку и отчитаюсь по результатам. Спасибо за ответ!

[MHM Cisco World]

Tunnel-id Local Remote Status Role
255117379 <outside IP>/4500 <remote host>/3863 READY RESPONDER
Encr: AES-GCM, keysize: 256, Hash: N/A, DH Grp:21, Auth sign:
RSA
, Auth verify: EAP Аутентификация прошла успешно, поэтому фаза 1 ikev2 в порядке Показать crypto ipsec sa<<-
Пропингуйте и проверьте, нет ли потерь Сделайте захват пакетов в внешнем специфическом порте upd 4500 и посмотрите, поступает ли трафик от клиента. Если поступает и ASA его теряет, то, как я упоминал ранее, проблема в удаленном порте udp (не 4500). MHM

[lridium]

Я вытащу IPSEC SA для вас, как только вернусь в локальную сеть. После статуса, который вы привели выше, при последнем тестировании проверки ping не прошли.

[MHM Cisco World]

Да, ping не удался, но где именно он не удался: в asa или удаленном узле? Захватите трафик и выполните команду show crypto ipsec sa Вы точно узнаете, где пинг пропадает или не удается. Удачи MHM

[lridium]

Не удалось выполнить пинг с ASA на назначенный адрес пула DHCP удаленного узла. Будет отправлен отчет.

[MHM Cisco World]

Я проверил, что RAVPN может принимать любой UDP-порт, а не только 4500. MHM

[lridium]

Для
@MHM Cisco World
и
@Rob Ingram
прилагаются журналы ipsec и ikev2 sa, а также журналы отладки ikev2. Результаты предложенного теста ping показывают, что показатели «pkts encaps», «encrypt», «digest» и «not compressed» увеличиваются без каких-либо других изменений в статистике. Я все еще работаю над созданием DART для более глубокого изучения. Спасибо за ваши постоянные отзывы и предложения.