Comment analyser les messages d’état d’un VPN IKE Phase 2

Problème

• Description
• Symptômes

Solution

La meilleure façon de résoudre les problèmes IKE de phase 2 consiste à examiner les messages d’état VPN du pare-feu du répondeur.

Le pare-feu du répondeur est le côté récepteur du VPN qui reçoit les demandes d’installation du tunnel. Le pare-feu de l’initiateur est le côté initiateur du VPN qui envoie les demandes initiales d’installation du tunnel.

1. À l’aide de l’interface de ligne de commande, configurez un fichier syslog, kmd-logs, pour les journaux d’état VPN sur le pare-feu du répondeur.

   Voir KB10097-Comment configurer syslog pour afficher les messages d’état VPN. Lorsque vous ouvrez le tunnel VPN, les messages sont capturés dans ldm-logs.

2. À l’aide de l’interface de ligne de commande, recherchez les messages d’erreur de phase 2 : show log kmd-logs

   Exemples de messages de sortie :

   • • Signification : l’identité de proxy de l’appareil homologue ne correspond pas à l’identité de proxy local.

     • Action : l’ID de proxy doit être exactement l’inverse de l’ID de proxy configuré de l’homologue. Voir KB10124 - Comment corriger l’erreur de phase 2 : Impossible de faire correspondre les ID de proxy homologue.

   • • Signification : le périphérique exécutant Junos OS n’a accepté aucune des propositions IKE Phase 2 envoyées par l’homologue IKE spécifié.

     • Action : vérifiez les éléments de configuration du VPN de phase 2 local. Les éléments de la proposition de la phase 2 sont les suivants :

       • Algorithme d’authentification

       • Algorithme de chiffrement

       • Kilo-octets sur la durée de vie

       • Secondes à vie

       • Protocole

       • Confidentialité de transmission parfaite

     Vous pouvez modifier la configuration locale pour accepter au moins une des propositions de phase 2 de l’homologue distant, ou contacter l’administrateur de l’homologue distant et faire en sorte que les configurations IKE aux deux extrémités du tunnel utilisent au moins une proposition de phase 2 mutuellement acceptable.

   Exemples de messages de sortie :

   • IPsec proposal mismatch

     • REMARQUE :

       Si Local IKE-ID et Remote IKE-ID s’affichent sous la forme Not-Available, il s’agit d’un message d’échec de phase 1. Reportez-vous à la section KB30548 - Messages d’état VPN IKE Phase 1 dans les versions 12.1X44 et ultérieures.

       Action : vérifiez les éléments de configuration du VPN de phase 2 local. Les éléments de la proposition de la phase 2 sont les suivants :

       • Algorithme d’authentification

       • Algorithme de chiffrement

       • Kilo-octets sur la durée de vie

       • Secondes à vie

       • Protocole

       • Confidentialité de transmission parfaite

   • Proxy-ID mismatch

     Exemples de messages de sortie :

     • Action : l’ID de proxy doit correspondre exactement à l’inverse de l’ID de proxy configuré de l’homologue. Voir KB10124 - Comment corriger l’erreur de phase 2 : Impossible de faire correspondre les ID de proxy homologue.

   Si la connexion VPN est établie avec succès, vous pouvez voir les messages suivants dans le syslog :

3. Si vous ne parvenez pas à localiser les messages de la phase 2, passez à l’étape 4.

4. À l’aide de l’interface de ligne de commande, examinez les propositions de phase 2 et vérifiez que la configuration correspond aux propositions de phase 2 configurées par l’homologue : show security ipsec

5. Si le problème persiste, pour ouvrir un dossier JTAC auprès de l’équipe d’assistance Juniper Networks, consultez Collecte de données pour le support client afin de connaître les données à collecter pour faciliter le dépannage avant d’ouvrir un dossier JTAC.