فشل إنشاء نفق IPSec بين Cisco Secure Access وجدار حماية FortiGate مع أخطاء المصادقة. تظهر سجلات تصحيح أخطاء جدار حماية FortiGate رسائل "فشلت المصادقة"، على الرغم من التحقق من مطابقة "المفاتيح المشتركة مسبقا" (PSKs) على كلا الجانبين. فشلت مفاوضات المرحلة 1 مع حدوث خطأ INVALID_KE_PAYLOAD، مما يمنع النفق من الوصول. يبدو أن مقترحات التوصيل متطابقة بين نقطتي النهاية، لكن عملية إنشاء النفق لم تكتمل بنجاح.
Cisco Secure Access
جدار حماية FortiGate (تتم إدارته بواسطة جهة خارجية)
تكوين نفق IPSec مع نقاط النهاية الأساسية والنسخ الاحتياطي المكررة
تم حل مشكلة اتصال نفق IPSec عن طريق إجراء تعديلات تكوين محددة لمعالجة خطأ INVALID_KE_PAYLOAD ومشكلات المصادقة.
تكوين مجموعة Diffie-Hellman (DH) واحدة فقط لمفاوضات المرحلة الأولى. قم بتعيين مجموعة DH رقم 20 في المرحلة 1 بدلا من إستخدام مجموعات DH متعددة أو مجموعة DH رقم 14 التي تم تكوينها مسبقا.
config vpn ipsec phase1-interface edit "sse-tunnel" set dhgrp 20 next end
قم بتمكين إجتياز NAT (NAT-T) على تكوين نفق IPSec. كان هذا معطلا في السابق ولكن يجب تمكينه لإنشاء النفق بشكل صحيح.
قم بتعطيل سرية إعادة التوجيه المثالية (PFS) في تكوين المرحلة 2 لإزالة تعارضات التفاوض المحتملة.
نتج فشل نفق IPSec عن العديد من حالات عدم التطابق وعدم التوافق:
خطأ INVALID_KE_PAYLOAD: حدث خطأ المرحلة الأولى هذا بسبب تعارضات تفاوض مجموعة Diffie-Hellman بين نقاط النهاية ل Cisco Secure Access و FortiGate
عدم تطابق مجموعة DH: لم تكن مجموعات DH المتعددة التي تم تكوينها واستخدام مجموعة DH 14 في التكوين الأصلي متوافقة مع متطلبات Cisco Secure Access
إعدادات إجتياز NAT: تم تعطيل إجتياز NAT، مما منع إنشاء نفق صحيح في بيئة الشبكة
| المراجعة | تاريخ النشر | التعليقات |
|---|---|---|
1.0 |
20-Apr-2026
|
الإصدار الأولي |