Cómo analizar mensajes de estado VPN de fase 2 de IKE

Problema

• Description
• Síntomas

Solución

La mejor manera de solucionar los problemas de fase 2 de IKE es revisando los mensajes de estado de VPN del firewall del respondedor.

El firewall del respondedor es el lado receptor de la VPN que recibe las solicitudes de configuración del túnel. El firewall del iniciador es el lado iniciador de la VPN que envía las solicitudes iniciales de configuración del túnel.

1. Con la CLI, configure un archivo syslog, kmd-logs, para los registros de estado de VPN en el firewall del respondedor.

   Consulte KB10097-Cómo configurar syslog para mostrar mensajes de estado VPN. Cuando aparece el túnel VPN, los mensajes se capturan en ldm-logs.

2. Con la CLI, compruebe si hay mensajes de error de fase 2: show log kmd-logs

   Ejemplos de mensajes de salida:

   • • Significado: la identidad de proxy del dispositivo par no coincide con la identidad de proxy local.

     • Acción: el ID de proxy debe ser exactamente inverso al ID de proxy configurado del par. Consulte KB10124 - Cómo corregir el error de fase 2: Error al hacer coincidir los ID de proxy par.

   • • Significado: el dispositivo que ejecuta Junos OS no aceptó ninguna de las propuestas de fase 2 de IKE que envió el par IKE especificado.

     • Acción: permite verificar los elementos de configuración de VPN de fase 2 local. Los elementos de la propuesta de la Fase 2 incluyen lo siguiente:

       • Algoritmo de autenticación

       • Algoritmo de cifrado

       • Kilobytes de por vida

       • Segundos de por vida

       • Protocolo

       • Confidencialidad directa perfecta

     Puede cambiar la configuración local para aceptar al menos una de las propuestas de fase 2 del par remoto, o ponerse en contacto con el administrador del par remoto y organizar las configuraciones de IKE en ambos extremos del túnel para utilizar al menos una propuesta de fase 2 mutuamente aceptable.

   Ejemplos de mensajes de salida:

   • IPsec proposal mismatch

     • Nota:

       Si Local IKE-ID y Remote IKE-ID se muestran como Not-Available, entonces es un mensaje de error de fase 1. Consulte KB30548 - Mensajes de estado de VPN de fase 1 de IKE en 12.1X44 y versiones posteriores.

       Acción: permite verificar los elementos de configuración de VPN de fase 2 local. Los elementos de la propuesta de la Fase 2 incluyen lo siguiente:

       • Algoritmo de autenticación

       • Algoritmo de cifrado

       • Kilobytes de por vida

       • Segundos de por vida

       • Protocolo

       • Confidencialidad directa perfecta

   • Proxy-ID mismatch

     Ejemplos de mensajes de salida:

     • Acción: el ID de proxy debe coincidir exactamente con el ID de proxy configurado del par. Consulte KB10124 - Cómo corregir el error de fase 2: Error al hacer coincidir los ID de proxy par.

   Si la conexión VPN se establece correctamente, puede ver los siguientes mensajes en el syslog:

3. Si no pudo encontrar ningún mensaje de fase 2, continúe con Paso 4.

4. Con la CLI, revise las propuestas de fase 2 y confirme que la configuración coincida con las propuestas de fase 2 configuradas por el par: show security ipsec

5. Si el problema persiste, para abrir un caso del JTAC con el equipo de soporte de Juniper Networks, consulte Recopilación de datos para el servicio de atención al cliente para conocer los datos que debe recopilar para ayudar en la solución de problemas antes de abrir un caso del JTAC.