مشكلة اتصال نفق IPsec للوصول الآمن مع موجه شبكات VERSA بسبب تفاوض ESN
المحتويات
مسألة
أثناء نشر الوصول الآمن من Cisco في مكتب فرعي باستخدام موجه الشبكة Versa كجهاز طرفي، تمت مواجهة مشاكل في الاتصال رغم ظهور كل من أنفاق IPsec قيد التشغيل. T
وتشمل الأعراض المحددة ما يلي:
لا يوجد اتصال من الفرع إلى Cisco Secure Access
لا يعمل الوصول إلى الإنترنت عبر المسارات الثابتة
حركة مرور مشفرة أحادية الإتجاه تمت ملاحظتها (صادرة إلى الوصول الآمن فقط)
إحصائيات الموجه التي تظهر الحزم الصادرة التي يتم إرسالها ولكن لم يتم إستلام حزم واردة
اكتشاف النظير الميت الذي يعمل بشكل ثنائي الإتجاه بين موجه SD-WAN والوصول الآمن
قيم فهرس معلمات الأمان (SPI) لمطابقة حركة المرور الصادرة بشكل صحيح
لم تحل خطوة النفق (إعادة الضبط) مشكلة الاتصال
أكدت عمليات التقاط الحزم ولقطات الشاشة عدم وجود حركة مرور واردة
تغيير شفرات النفق من CBC إلى GCM لم يحل المشكلة
كشف التحقيق عن فشل حركة المرور في فك التشفير على جانب Cisco بسبب أخطاء المجموع الاختباري، والتي تم تتبعها إلى وظيفة تفاوض موجه Versa مع ESN (رقم التسلسل الموسع).
البيئة
نشر الوصول الآمن من Cisco
موجه شبكات Versa كجهاز حافة
تكوين نفق هوية IP
تكوين نفق IPsec مع كل من محاولات تشفير CBC و GCM
قرار
تضمن الحل تعطيل التفاوض على الرقم التسلسلي الموسع (ESN) على الموجه Versa لمنع أخطاء المجموع الاختباري التي كانت تتسبب في حالات فشل فك التشفير على الطرف الرئيسي للوصول الآمن من Cisco.
الخطوات اللازمة للحل
الخطوة 1: تعريف السبب الجذري
قرر التحقيق أن موجه Versa كان يتفاوض مع ESN (الرقم التسلسلي الموسع)، والذي كان يتسبب في تلقي الطرف الرئيسي للوصول الآمن من Cisco لأخطاء المجموع الاختباري وفشل في فك تشفير الحزم التي تم إنشاؤها بواسطة ESN.
الخطوة 2: تعطيل ESN على موجه إصدار
اتصل بدعم شبكات Versa أو بمسؤول الموجه لتعطيل عمليات التحقق من ESN والتفاوض على تكوين موجه Versa. وهذا يعالج خطأ فيرسا المعروف الذي يسبب التفاوض على ESN بشكل غير صحيح.
الخطوة 3: التحقق من الاتصال
بعد تعطيل تفاوض ESN، تأكد من إنشاء تدفق حركة مرور ثنائي الإتجاه ومن إستعادة الاتصال الكامل من الفرع لتأمين الوصول والإنترنت.
الخطوة 4: مراقبة تدفق حركة المرور
تحقق من أن كل من إحصائيات الحزم الواردة والصادرة على الموجه تظهر تدفق حركة مرور مناسب في كلا الاتجاهين، مما يؤكد حل مشكلة حركة المرور أحادي الإتجاه بنجاح.
السبب
تم تعريف السبب الجذري على أنه خطأ شبكات Versa معروف (معرف خطأ دعم Versa: 122437 - يجب ألا يتم التفاوض حول ESN بواسطة VOS) حيث يقوم موجه Versa بالتفاوض بشكل غير صحيح على وظيفة رقم التسلسل الموسع (ESN) أثناء إنشاء نفق IPsec. يتسبب تفاوض ESN هذا في تلقي الطرف الرئيسي للوصول الآمن من Cisco للحزم التي تحتوي على أخطاء المجموع الاختباري، مما يمنع فك التشفير السليم وينتج عنه تدفق حركة مرور أحادي الإتجاه. يرسل موجه Versa الحزم الصادرة بنجاح، ولكن لا يمكن معالجة حركة مرور الإرجاع بشكل صحيح بسبب حالات فشل فك التشفير المتعلقة ب ESN.
المحتوى ذي الصلة
محفوظات المراجعة
| المراجعة | تاريخ النشر | التعليقات |
|---|---|---|
1.0 |
18-Aug-2026
|
الإصدار الأولي |
التعليقات