而若是当出近况态为MM_SI1_WR1, MM_SA_SETUP、MM_SI2_WR2, MM_VERIFY、MM_SI3_WR3, MM_VERIFY时辰，注明ISAKMP SA无法协商成功 。
（二）组网拓扑
（三）可能原因
1、连通性异常
2、出接口未挪用vpn加密图
3、总部和分支policy战术配置不一致
4、预共享密钥配置谬误
5、FQDN配置谬误
6、运营商过滤
7、总部为二级路由的情况下出口设备没有配置映射
8、多线路环境下选路谬误
（四）处置步骤
步骤1、对比分支和总部配置
确认预共享秘钥、第一阶协商参数、第二阶段协商参数、感兴致流等是否一致
a、配置IPsec 第一阶段
步骤2、确定VPN是否成立成功
a、Web界面显示蓝色的情况或点击显示已接入
b、号令行能够通过show crypto state查看VPN第一阶段的情况
show crypto is sa 查看第一阶段成立的情况，IDLE状态暗示是成立正常的状态
【补充】
一阶段成立不成功状态显示
1、分支的状态机为MM_SI1_WR1, MM_SA_SETUP，而总部没有状态机信息
第一个报文发出，总部没有收到
2、分支的状态机为MM_SI1_WR1, MM_SA_SETUP，并且打印Send ISAKMP negotiate message failed, errno:148, No route to host syslog
第一个报文发出，但是路由选路失败（查抄下转发路由）
3、分支和总部的状态机都为：MM_SI1_WR1, MM_SA_SETUP
能够通过debug cry is查看，若提醒no proposal chosen，协商参数不一致；若是必要配置fqdn，必要使用野蛮模式对接
4、分支和总部的状态机都为：MM_SI2_WR2, MM_VERIFY
卡在三四报文交互，能够通过debug cry is信息查看日志，通常来说是报文沉传，或者使用证书协商，证书装置存在问题
5、分支和总部的状态机都为：MM_SI3_WR3, MM_VERIFY
预共享密钥不一致，身份验证失败，nat环境出现丢包，通过debug cry is查看协商的情况，以及设备表网口抓包能够进一步查看下
步骤3、查抄总部和分支是否连通性异常
a、总部和分部成立VPN首先要保障总分部的公网地址连通性正常，如下图，如果下图两台设备都为出口，接口上的配置的是公网地址总部出口IP
出口地址连通性测试，号令行上带对应接口地址为源ping对端公网地址，如下图
b、若是总分部联通性不通，show crypto state是没有打印信息的
步骤4、查抄VPN匹配对应的出接口下是否挪用VPN加密图
a、号令行下挪用加密图的号令
总部若是没有挪用加密图的情况下，总部show crypto state没有打印信息，分部show crypto state卡在第一、二报文交互状态
分部：
分部没有挪用加密图的情况下，总分部show crypto state都没有打印信息总部：
分部：
步骤5、查抄总部和分支policy战术配置不一致总分部之间isa战术参数必要逐一对应，若是不一样是成立不起来的，具体如下图
分部：
【补充】
第一阶段协商参数对报号令行为show crypto isa policy
b、若是由于第一阶段协商参数不一致，导致show crypto state卡在第一、二报文交互状态
主模式协商失败，show crypto state发现分支的状态机为MM_SI1_WR1, MM_SA_SETUP，而总部没有状态机信息
步骤6、查抄预共享密钥配置是否谬误
预共享密钥配置谬误导致IPsec第一阶段协商五、六个报文交互不成功，在总分部上通过show crypto state看到的状态别离为
分部：
总部：
【补充】
11.x的设备能够查看当前配置的预共享密钥是几多，通过号令show crypto isa key decrypt
步骤7、查抄是否QDN配置谬误
分部显示五六个报文交互状态
总部显示第一阶段成立实现
总部配置：
分支FQDN对应的号令行配置为：self-identity fqdn EG3000GE
分部配置：
总部FQDN配置为：
self-identity fqdn EG3000SE
crypto isakmp key 7 151b5f7246 hostname EG3000GE
crypto map gi0/7 1 ipsec-isakmp
set peer EG3000GE
分部上的对端ID必要和总部的本机ID一致
步骤8、查抄是否运营商过滤
能够通过show ip f f | in 500查看对应的流表信息是否有到EG，若是没有，并且设备上并没有ip session filter的配置进行过滤，能够疑惑运营商问题.
步骤9、总部为二级路由的情况下出口设备没有配置映射
网络拓扑为出口路由下联EG下联内网，EG作为二级路由配置IPsec总部，必要在总部出口配置映射UDP4500和500
对应web界面配置：
对报号令行配置：
步骤10、多线路环境下选路谬误
能够通过查看流表的出接口判断是否是来回蹊径不一致
解决规划：多线路的情况下有可能导致来回蹊径不一致，建议配置一条静态路由，主张地址指向对端公网地址走对应的下一跳，保障来回蹊径一致
具体配置如下：
查看IPSEC报文选路步骤：
sh ip f m | in FLOW-AUDIT-K ---show出来后，查看第一列的数值
sh ip f pri 数值 | in 500
（五）信息网络
若是上述步骤进行配置查抄后仍旧无法正常成立IPSec VPN，能够网络以下信息之后反馈 4008-111-000工程师，协助您进一步排查故障 。
show version
show int usage
sh tcp connect
sh ip udp
sh memory
sh cpu | ex 0.00
sh exec
show coredump file
show run
show log reverse
show ip interface brief
show ip route
show crypto state （网络3次，每次距离5s）
show ip fpm flow | in 500 （网络3次，每次距离5s）
show ip fpm pri 1 | in 500
show crypto log
debug su
execute diagnose-cmd fdisk
execute diagnose-cmd mount
IPSEC分支信息网络：
debug cry isa
debug cry ipsec
terminal monitor
网络5分钟左右
Undebug all --网络完必要关关debug信息
IPSEC总部信息网络：（推荐总部只有一路IPSEC能够开启网络，超过一路以上审慎开启debug，以免影响业务）
debug cry isa
debug cry ipsec
terminal monitor
网络5分钟左右
Undebug all --网络完必要关关debug信息
（六）总结与建议
IKE SA成立失败常见原因是IKE协商报文不成达，和IKE SA两端战术（加密算法、DH组、预共享秘钥、身份认证步骤）不匹配
如遇该故障无法定位解决的可点击：售后闪电兔 处置
颁布功夫：2024-06-13
点击量：1262
文档评价
