问题现象

MSR为V7版本不直连公网,在NAT设备之后且公网出口地址为拨号出口;V5的防火墙F1000公网地址固定。

拓扑:MSR3600----TP-link路由器----》NAT路由器------Internet------》防火墙

MSR和F1000上查看ike和ipsec信息均无,无法正常建立ipsec隧道

告警信息

1、防火墙debug ike信息(没有收到任何ike协商的数据包):
*Nov 25 16:54:47:661 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.
*Nov 25 16:54:48:892 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.
<LSSH-F1000-S-AI>
*Nov 25 16:54:55:731 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.
<LSSH-F1000-S-AI>
*Nov 25 16:54:56:589 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.
*Nov 25 16:55:05:270 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.

2、MSR上debug ike信息,有主动发起协商的报文

3、MSR和F1000上查看ike和ipsec信息均无

原因分析

1、防火墙端正常,经过测试可以和其他设备正常建立ipsec隧道

2、从MSR出口端抓包确认有UDP端口为500和4500的数据包

3、在和TP-LINK相连的出口设备上抓包,确认没有收到任何UDP端口为4500和500的数据包

4、通过抓包确认IKE协商包被TP-LINK丢弃了

解决办法

1、将网络中的TP-LINK家用路由器去掉,MSR36直接和NAT出口设备相连

2、经过测试可以正常建立IPSEC隧道链接

3、MSR上的display信息如下

<LSSH-BJ-MSR3600>disp ike sa
    Connection-ID   Remote                Flag         DOI   
------------------------------------------------------------------
    1               118.119.250.10        RD           IPSEC 

 

<LSSH-BJ-MSR3600>disp ipsec sa
-------------------------------
Interface: GigabitEthernet0/0
-------------------------------

 

  -----------------------------
  IPsec policy: 1
  Sequence number: 1
  Mode: isakmp
  -----------------------------
    Tunnel id: 0
    Encapsulation mode: tunnel
    Perfect forward secrecy:
    Path MTU: 1419
    Tunnel:
        local  address: 192.168.48.190
        remote address: 118.119.250.10
    Flow:
    sour addr: 192.168.128.0/255.255.255.0  port: 0  protocol: ip
    dest addr: 192.168.1.0/255.255.255.0  port: 0  protocol: ip

 

    [Inbound ESP SAs]
      SPI: 520906101 (0x1f0c6575)
      Transform set: ESP-ENCRYPT-AES-CBC-128 ESP-AUTH-MD5
      SA duration (kilobytes/sec): 1843200/3600
      SA remaining duration (kilobytes/sec): 1843199/3445
      Max received sequence-number: 4
      Anti-replay check enable: Y
      Anti-replay window size: 64
      UDP encapsulation used for NAT traversal: Y
      Status: active

 

    [Outbound ESP SAs]
      SPI: 3869704040 (0xe6a6ff68)
      Transform set: ESP-ENCRYPT-AES-CBC-128 ESP-AUTH-MD5
      SA duration (kilobytes/sec): 1843200/3600
      SA remaining duration (kilobytes/sec): 1843199/3445
      Max sent sequence-number: 4
      UDP encapsulation used for NAT traversal: Y
      Status: active

建议与总结

1、很多家用路由器因为性能限制无法承载IKE协商数据报文,故直接丢弃了IKE报文,建议IPSEC的网络中出现无法IKE协商的时候将家用级别的路由器去掉测试

2、V5和V7对接,只需要根据设备对应的所在网络环境进行对应版本的配置即可,保持V5和V7需要协商的参数一致即可

3、如果V5端的设备出口地址不是固定的,需要通过服务模板去配置IPSEC,否则无法建立隧道

4、附件中有本次问题的MSR和防火墙的配置,供对接时参考使用

案例信息

案例类型:经验案例
案例号:201512010006
创建时间:2015年12月1日
更新时间:2015年12月30日
发布时间:2015/12/30 15:10:13
文章密级:游客可见
有效期:长期有效
发布者:朱尘炀 [z11436]
点击次数:1663
评论平均得分:4.00
关键词:IPSEC IKE TP-LINK
产品线:安全产品
产品系列:Comware V7 LB系列
产品版本:V5
故障类型:

附件
常用操作
收藏