在CAT8500上通过IKEv2协商问题实现安全访问的VTI隧道

下载选项

PDF (289.7 KB)
在各种设备上使用 Adobe Reader 查看
ePub (78.3 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (61.8 KB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2026 年 3 月 17 日

文档 ID:225619

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

问题

配置为在CAT8500路由器上安全访问的VTI（虚拟隧道接口）隧道在使用show crypto ipsec sa进行检查时显示IPsec SA为已建立，但在使用show crypto ikev2 sa进行查看时，IKEv2 SA保持协商状态。隧道接口线路协议关闭，安全访问端显示连接已断开，从而阻止隧道正确建立。

环境

产品系列：CAT8500
软件版本:17.15.4c
技术：安全访问网络隧道（IPsec、站点到站点）
隧道类型：VTI（虚拟隧道接口）
IKE版本：IKEv2

分辨率

根据我们支持的IPSec参数 —

DH组的建议值为19,20。

crypto ikev2 proposal csse-G256

encryption aes-gcm-256

prf sha256

组19 21。 <<<<<<<<<<<<<<<<<<<<需要更改为19,20

密钥环-

crypto ikev2 keyring csse_useast

peer csse_virginia1

地址x.x.x.x <<<<<<<<<<<<< Secure Access DC

pre-shared-key local <removed>

pre-shared-key remote <removed>

Profile — 缺少匹配本地身份，当创建网络隧道组时，该身份将是CSA UI中的tunnelID。

crypto ikev2 profile csse_virginia1

match identity remote address x.x.x.x 255.255.255.255

身份验证远程预共享

身份验证本地预共享

keyring local csse_useast

更改DH组后，已添加的匹配本地身份问题会得到解决。

原因

此问题的主要原因通常是IKEv2配置文件中的本地身份配置缺失或不正确。安全访问需要特定身份参数才能正确建立IKEv2协商。此外，使用不受支持的Diffie-Hellman组（19和20以外的组）可能会阻止使用安全访问成功进行IKEv2协商。

在CAT8500上通过IKEv2协商问题实现安全访问的VTI隧道

下载选项

非歧视性语言

关于此翻译

目录

问题

环境

分辨率

原因

相关内容

修订历史记录

由思科工程师提供

此文档是否有帮助?

联系我们

本文档适用于以下产品