فشلت مصادقة نفق IPSec بين الوصول الآمن وجدار حماية FortiGate

مسألة

فشل إنشاء نفق IPSec بين Cisco Secure Access وجدار حماية FortiGate مع أخطاء المصادقة. تظهر سجلات تصحيح أخطاء جدار حماية FortiGate رسائل "فشلت المصادقة"، على الرغم من التحقق من مطابقة "المفاتيح المشتركة مسبقا" (PSKs) على كلا الجانبين. فشلت مفاوضات المرحلة 1 مع حدوث خطأ INVALID_KE_PAYLOAD، مما يمنع النفق من الوصول. يبدو أن مقترحات التوصيل متطابقة بين نقطتي النهاية، لكن عملية إنشاء النفق لم تكتمل بنجاح.

البيئة

• Cisco Secure Access

• جدار حماية FortiGate (تتم إدارته بواسطة جهة خارجية)

• تكوين نفق IPSec مع نقاط النهاية الأساسية والنسخ الاحتياطي المكررة

قرار

تم حل مشكلة اتصال نفق IPSec عن طريق إجراء تعديلات تكوين محددة لمعالجة خطأ INVALID_KE_PAYLOAD ومشكلات المصادقة.

تكوين مجموعة DH للمرحلة 1

تكوين مجموعة Diffie-Hellman (DH) واحدة فقط لمفاوضات المرحلة الأولى. قم بتعيين مجموعة DH رقم 20 في المرحلة 1 بدلا من إستخدام مجموعات DH متعددة أو مجموعة DH رقم 14 التي تم تكوينها مسبقا.

إصلاح التكوين

config vpn ipsec phase1-interface
    edit "sse-tunnel"
        set dhgrp 20
    next
end

تكوين إجتياز NAT

قم بتمكين إجتياز NAT (NAT-T) على تكوين نفق IPSec. كان هذا معطلا في السابق ولكن يجب تمكينه لإنشاء النفق بشكل صحيح.

تكوين سرية إعادة التوجيه الكامل

قم بتعطيل سرية إعادة التوجيه المثالية (PFS) في تكوين المرحلة 2 لإزالة تعارضات التفاوض المحتملة.

السبب

نتج فشل نفق IPSec عن العديد من حالات عدم التطابق وعدم التوافق:

• خطأ INVALID_KE_PAYLOAD: حدث خطأ المرحلة الأولى هذا بسبب تعارضات تفاوض مجموعة Diffie-Hellman بين نقاط النهاية ل Cisco Secure Access و FortiGate

• عدم تطابق مجموعة DH: لم تكن مجموعات DH المتعددة التي تم تكوينها واستخدام مجموعة DH 14 في التكوين الأصلي متوافقة مع متطلبات Cisco Secure Access

• إعدادات إجتياز NAT: تم تعطيل إجتياز NAT، مما منع إنشاء نفق صحيح في بيئة الشبكة

المحتوى ذي الصلة

• تكوين الوصول الآمن باستخدام جدار حماية FortiGate
• الدعم الفني والتنزيلات من Cisco