IPsec " verifiëren;%RECVD_PKT_INV_SPI" Fouten en ongeldige informatie over de functie voor SPI-herstel

Inleiding

Dit document beschrijft het IPsec-probleem wanneer Security Associations (SA's) niet meer zijn gesynchroniseerd tussen de peer-apparaten.

Probleem

Een van de meest voorkomende IPsec-problemen is dat SA's niet synchroon kunnen lopen tussen de peer-apparaten. Als gevolg hiervan versleutelt het encryptie-eindpunt het verkeer met een SA waarvan zijn peer niet op de hoogte is. Deze pakketten worden door de peer verwijderd en dit bericht wordt weergegeven in de syslog:

Sep  2 13:27:57.707: %CRYPTO-4-RECVD_PKT_INV_SPI: decaps: rec'd IPSEC packet has invalid spi for 
destaddr=10.10.1.2, prot=50, spi=0xB761863E(3076621886), srcaddr=10.1.1.1

Opmerking: Op de Cisco IOS® XE-routeringsplatforms, bijvoorbeeld de Cisco Aggregation Services Routers (ASR) en Cisco Catalyst 8000-serie routers, wordt deze specifieke daling geregistreerd onder zowel de wereldwijde Quantum Flow Processor (QFP) drop-teller als in de IPsec-functie drop-teller, zoals te zien is in de volgende voorbeelden.

Router# show platform hardware qfp active statistics drop | inc Ipsec
  IpsecDenyDrop                              0               0
  IpsecIkeIndicate                           0               0
  IpsecInput                                 0               0     <======
  IpsecInvalidSa                             0               0
  IpsecOutput                                0               0
  IpsecTailDrop                              0               0
  IpsecTedIndicate                           0               0

Router# show platform hardware qfp active feature ipsec datapath drops all | in SPI
        4  IN_US_V4_PKT_SA_NOT_FOUND_SPI                           64574    <======
        7  IN_TRANS_V4_IPSEC_PKT_NOT_FOUND_SPI                         0
       12  IN_US_V6_PKT_SA_NOT_FOUND_SPI                               0

Het is belangrijk om op te merken dat dit specifieke bericht in Cisco IOS® met een snelheid van één per minuut is beperkt om de voor de hand liggende beveiligingsredenen. Als dit bericht voor een bepaalde stroom (SRC, DST of SPI) slechts eenmaal in de syslog wordt weergegeven, is dit waarschijnlijk een voorbijgaande toestand die tegelijkertijd met de IPsec-sleutel aanwezig is, waarbij één peer de nieuwe SA kan beginnen te gebruiken terwijl het peer-apparaat niet helemaal klaar is om dezelfde SA te gebruiken. Dit is normaal gesproken geen probleem, omdat het slechts tijdelijk is en slechts een paar pakketten zou beïnvloeden.

Als hetzelfde bericht echter blijft bestaan voor dezelfde stroom en hetzelfde SPI-nummer, is dit indicatief dat de IPsec-SA's niet meer zijn gesynchroniseerd tussen de peers. Voorbeeld:

Sep  2 13:36:47.287: %CRYPTO-4-RECVD_PKT_INV_SPI: decaps: rec'd IPSEC packet has invalid spi for 
destaddr=10.10.1.2, prot=50, spi=0x1DB73BBB(498547643), srcaddr=10.1.1.1
Sep  2 13:37:48.039: %CRYPTO-4-RECVD_PKT_INV_SPI: decaps: rec'd IPSEC packet has invalid spi for 
destaddr=10.10.1.2, prot=50, spi=0x1DB73BBB(498547643), srcaddr=10.1.1.1

Dit is een indicatie dat het verkeer in een zwart gat zit en niet kan herstellen totdat de SA's verlopen op het zendende apparaat of totdat de Dead Peer Detection (DPD) is geactiveerd.

Oplossing

Deze sectie bevat informatie die u kunt gebruiken om het probleem op te lossen dat in de vorige sectie wordt beschreven.

Ongeldig SPI-herstel

Om dit probleem op te lossen, raadt Cisco u aan de ongeldige SPI-herstelfunctie in te schakelen. Voer bijvoorbeeld de opdracht crypto isakmp invalid-spi-recovery in. Hier zijn enkele belangrijke opmerkingen die het gebruik van dit commando beschrijven:

• Ten eerste dient ongeldig SPI-herstel alleen als herstelmechanisme wanneer de SA's niet synchroon lopen. Het helpt bij het herstellen van deze aandoening, maar het lost het hoofdprobleem niet op dat ervoor zorgde dat de SA's in de eerste plaats niet meer synchroon liepen. Om de hoofdoorzaak beter te begrijpen, moet u ISAKMP- en IPsec-debugs inschakelen op beide tunneleindpunten. Als het probleem zich vaak voordoet, zoek dan de debugs en probeer de hoofdoorzaak aan te pakken (en niet alleen het probleem te maskeren).
  
  
• Er is een veel voorkomende misvatting over het doel en de functionaliteit van de crypto isakmp ongeldig-spi-herstel opdracht. Zelfs zonder deze opdracht voert Cisco IOS al een soort ongeldige SPI-herstelfunctionaliteit uit wanneer het een DELETE-melding stuurt naar de verzendende peer voor de SA die wordt ontvangen als het al een IKE SA met die peer heeft. Nogmaals, dit gebeurt ongeacht of de crypto isakmp ongeldig-spi-herstel opdracht is geactiveerd.
  
  
• De opdracht crypto isakmp-invalid-spi-recovery probeert de voorwaarde aan te pakken waarbij een router IPsec-verkeer ontvangt met ongeldige SPI, en het heeft geen IKE SA met die peer. In dit geval probeert het een nieuwe IKE-sessie met de peer op te zetten en verzendt het een DELETE-melding over de nieuw gemaakte IKE SA. Dit commando werkt echter niet voor alle crypto-configuraties. De enige configuraties waar dit commando voor werkt zijn statische crypto-maps waarbij de peer expliciet is gedefinieerd en statische peers die zijn afgeleid van geïnstantieerde crypto-maps, zoals VTI. Hier is een samenvatting van de veelgebruikte crypto-configuraties en of ongeldig SPI-herstel met die configuratie werkt:
  
  

Crypto-configuratie	Ongeldig SPI-herstel
Statische cryptokaart	Ja
dynamische cryptografische kaart	Nee
P2P GRE met tunnelbescherming	Ja
mGRE Tunnel Protection die gebruikmaakt van statische NHRP-toewijzing	Ja
mGRE Tunnel Protection die gebruikmaakt van dynamische NHRP-toewijzing	Nee
sVTI	Ja
EzVPN-client	N.v.t.

Problemen oplossen Ongeldige SPI-foutberichten

Vaak komt de ongeldige SPI-foutmelding met tussenpozen voor. Dit maakt het moeilijk om problemen op te lossen, omdat het erg moeilijk wordt om de relevante debugs te verzamelen. Embedded Event Manager (EEM) scripts kunnen in dit geval erg handig zijn.

Bekende bugs

Deze lijst toont bugs die ervoor kunnen zorgen dat IPsec SA's niet meer worden gesynchroniseerd of die verband houden met ongeldig SPI-herstel:

• Cisco bug ID CSCvn31824 Cisco IOS XE ISAKMP verwijdert nieuwe SPI als rx nieuw SPI-pakket voordat de installatie is voltooid
• Cisco bug ID CSCvd40554 IKEv2: Cisco IOS kan INV_SPI-melding niet parseren met SPI-grootte 0 - verzendt INVALID_SYNTAX
• Cisco bug ID CSCvp16730 Inkomende ESP-pakketten met SPI-waarde die begint met 0xFF worden verwijderd vanwege een ongeldige SPI-fout 

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
4.0	14-Jul-2026	Spellingcontrole en vaste titel.
3.0	11-Aug-2023	Bijgewerkte SEO, stijlvereisten, machinevertaling, brandingvereisten en opmaak.
2.0	15-Jul-2022	Updates van stijlvereisten, machinevertaling, gerunds, SEO en titel om te voldoen aan de Cisco-richtlijnen.
1.0	11-Aug-2014	Eerste vrijgave