Problema
In un tunnel VTI (Virtual Tunnel Interface) configurato per proteggere l'accesso su un router CAT8500, l'associazione di sicurezza IPsec viene stabilita quando si esegue il controllo con show crypto ipsec sa, ma l'associazione di sicurezza IKEv2 rimane in stato di negoziazione quando viene visualizzata con show crypto ikev2 sa. Il protocollo della linea di interfaccia del tunnel non è attivo e sul lato Secure Access la connessione è disconnessa, il che impedisce al tunnel di stabilirsi correttamente.
Ambiente
- Famiglia di prodotti: CAT8500
- Versione del software: 17.15.4 quater
- Tecnologia: Tunnel di rete ad accesso sicuro (IPsec, da sito a sito)
- Tipo di tunnel: VTI (Virtual Tunnel Interface)
- Versione IKE: IKEv2
Risoluzione
In base ai parametri IPSec supportati:
I valori consigliati sono 19,20 per il gruppo DH.
crypto ikev2 proposta csse-G256
crittografia aes-gcm-256
prf sha256
gruppo 19 21. <<<<<<<<<<<<<<<<<<<<<<<<<<<<<< <><<<: questa opzione richiede una modifica a 19.20
Gruppo di chiavi -
crypto ikev2 keyring csse_usest
peer csse_virginia1
indirizzo x.x.x.x <<<<<<<<<<<<<<<
locale con chiave già condivisa <rimosso>
remoto con chiave già condivisa <rimosso>
!
Profilo: identità di corrispondenza mancante locale. L'ID del tunnel verrebbe restituito dall'interfaccia utente CSA quando si crea un gruppo di tunnel di rete.
crypto ikev2 profile csse_virginia1
corrispondenza indirizzo remoto identità x.x.x.x 255.255.255.255
pre-condivisione remota per l'autenticazione
pre-condivisione locale di autenticazione
digitazione csse_useast locale
!
Dopo aver modificato il gruppo DH, il problema dell'identità locale della corrispondenza aggiunta viene risolto.
Causa
La causa principale di questo problema è in genere la configurazione dell'identità locale mancante o non corretta nel profilo IKEv2. Per stabilire correttamente la negoziazione IKEv2, Secure Access richiede parametri di identità specifici. Inoltre, l'utilizzo di gruppi Diffie-Hellman non supportati (diversi da 19 e 20) può impedire la riuscita della negoziazione IKEv2 con Secure Access.
Contenuto correlato