如何分析 IKE 第 2 阶段 VPN 状态消息

问题

• Description
• 症状

解决方案

排除 IKE 第 2 阶段问题的最佳方法是查看响应方防火墙的 VPN 状态消息。

响应方防火墙是接收隧道设置请求的 VPN 接收方。启动器防火墙是发送初始隧道设置请求的 VPN 的 启动器 端。

1. 使用 CLI 为响应方防火墙上的 VPN 状态日志配置系统日志文件 。 kmd-logs

   请参阅 KB10097-如何配置 syslog 以显示 VPN 状态消息。https://kb.juniper.net/InfoCenter/index?page=content&id=KB10097&actp=METADATA启动 VPN 隧道时，将在 中 捕获消息。ldm-logs

2. 使用 CLI 检查第 2 阶段错误消息： show log kmd-logs

   示例输出消息：

   • • 含义 — 对等设备的代理身份与本地代理身份不匹配。

     • 操作 — 代理 ID 必须与对等方配置的代理 ID 完全相反。请参阅 KB10124 - 如何修复第 2 阶段错误：无法匹配对等代理 ID。

   • • 含义 — 运行 Junos OS 的设备不接受指定 IKE 对等方发送的任何 IKE 第 2 阶段提议。

     • 操作 — 验证本地第 2 阶段 VPN 配置元素。第 2 阶段提案要素包括以下内容：

       • 身份验证算法

       • 加密算法

       • 生命周期千字节

       • 生命周期秒数

       • 协议

       • 完全向前保密

     您可以更改本地配置以接受至少一个远程对等方的第 2 阶段提议，或者与远程对等方的管理员联系并安排隧道两端的 IKE 配置至少使用一个双方都能接受的第 2 阶段提议。

   示例输出消息：

   • IPsec proposal mismatch

     • 注：

       如果 和显示为 ，则为第 1 阶段失败消息。Local IKE-IDRemote IKE-IDNot-Available 请参阅 12.1X44 及更高版本中的 KB30548 - IKE 第 1 阶段 VPN 状态消息。https://kb.juniper.net/InfoCenter/index?page=content&id=KB30548&actp=METADATA

       操作 — 验证本地第 2 阶段 VPN 配置元素。第 2 阶段提案要素包括以下内容：

       • 身份验证算法

       • 加密算法

       • 生命周期千字节

       • 生命周期秒数

       • 协议

       • 完全向前保密

   • Proxy-ID mismatch

     示例输出消息：

     • 操作 — 代理 ID 必须与对等方配置的代理 ID 完全相反匹配。请参阅 KB10124 - 如何修复第 2 阶段错误：无法匹配对等代理 ID。

   如果成功建立 VPN 连接，您可以在系统日志中看到以下消息：

3. 如果找不到任何第 2 阶段消息，请继续执行步骤 。4

4. 使用 CLI，查看第 2 阶段提议，并确认配置与对等方配置的第 2 阶段提议匹配： show security ipsec

5. 如果问题仍然存在，要向瞻博网络支持团队提交 JTAC 案例，请参阅 客户支持数据收集 ，了解在打开 JTAC 案例之前应收集的数据以帮助进行故障排除。https://www.juniper.net/documentation/en_US/release-independent/junos/topics/task/operational/data-collection-for-jtac.html