Como analisar as mensagens de status de VPN da Fase 2 do IKE

Problema

• Descrição
• Sintomas

Solução

A melhor maneira de solucionar problemas da Fase 2 do IKE é analisando as mensagens de status vpn do firewall de resposta.

O firewall de resposta é o lado receptor da VPN que recebe as solicitações de configuração do túnel. O firewall de iniciação é o lado iniciador da VPN que envia as solicitações iniciais de configuração do túnel.

1. Usando o CLI, configure um arquivo de syslog, kmd-logspara logs de status de VPN no firewall de resposta.

   Veja KB10097-Como configurar o syslog para exibir mensagens de status de VPN. Ao criar o túnel VPN, as mensagens são capturadas.ldm-logs

2. Usando a CLI, verifique se há mensagens de erro da Fase 2: show log kmd-logs

   Mensagens de saída de exemplo:

   • • Significado — a identidade de proxy do dispositivo peer não corresponde à identidade de proxy local.

     • Ação — a ID por proxy deve ser um reverso exato do ID proxy configurado do peer. Veja KB10124 - Como corrigir o erro da Fase 2: Falha em combinar os IDs de proxy de peer.

   • • Significado — o dispositivo que executa o Junos OS não aceitou nenhuma das propostas da Fase 2 do IKE que o peer IKE especificado enviou.

     • Ação — Verifique os elementos locais de configuração de VPN da Fase 2. Os elementos da proposta da Fase 2 incluem:

       • Algoritmo de autenticação

       • Algoritmo de criptografia

       • Kilobytes vitalícios

       • Segundos de vida útil

       • Protocolo

       • Sigilo perfeito de envio

     Você pode alterar a configuração local para aceitar pelo menos uma das propostas de Fase 2 do peer remoto, ou entrar em contato com o administrador do peer remoto e organizar as configurações de IKE em ambas as extremidades do túnel para usar pelo menos uma proposta de Fase 2 mutuamente aceitável.

   Mensagens de saída de exemplo:

   • IPsec proposal mismatch

     • Nota:

       Se Local IKE-ID e Remote IKE-ID for exibido como Not-Available, então é uma mensagem de falha da Fase 1. Veja KB30548 — Mensagens de status VPN da Fase 1 do IKE em 12.1X44 e versões posteriores.

       Ação — Verifique os elementos locais de configuração de VPN da Fase 2. Os elementos da proposta da Fase 2 incluem:

       • Algoritmo de autenticação

       • Algoritmo de criptografia

       • Kilobytes vitalícios

       • Segundos de vida útil

       • Protocolo

       • Sigilo perfeito de envio

   • Proxy-ID mismatch

     Mensagens de saída de exemplo:

     • Ação — a ID por proxy deve ser uma correspondência inversa exata do ID proxy configurado do peer. Veja KB10124 - Como corrigir o erro da Fase 2: Falha em combinar os IDs de proxy de peer.

   Se a conexão VPN for estabelecida com sucesso, você poderá ver as seguintes mensagens no syslog:

3. Se não puder localizar nenhuma mensagem da Fase 2, siga para a etapa 4.

4. Usando a CLI, analise as propostas da Fase 2 e confirme que a configuração corresponde às propostas da Fase 2 configuradas pelo peer: show security ipsec

5. Se o problema persistir, para abrir um caso da JTAC com a equipe de suporte da Juniper Networks, consulte a coleta de dados para suporte ao cliente para os dados que você deve coletar para ajudar na solução de problemas antes de abrir um caso da JTAC.