目錄

問題

配置為在CAT8500路由器上安全訪問的VTI（虛擬通道介面）隧道在使用show crypto ipsec sa進行檢查時顯示IPsec SA已建立，但在使用show crypto ikev2 sa進行檢視時，IKEv2 SA保持協商狀態。通道介面線路通訊協定已關閉，且安全存取端顯示連線已斷開，導致通道無法正確建立。

環境

- 產品系列：CAT8500

- 軟體版本:17.15.4c

- 技術：安全存取網路通道（IPsec、站點到站點）

- 通道型別：VTI（虛擬通道介面）

- IKE版本：IKEv2

解析

根據我們支援的ipsec引數 —

DH組的建議值為19,20。

crypto ikev2建議csse-G256

加密aes-gcm-256

prf sha256

組19 21。 <<<<<<<<<<<<<<<<<<<<<<<<<

Keyring -

crypto ikev2 keyring csse_useast

peer csse_virginia1

address x.x.x.x.x <<<<<<<<<<<<<安全接入DC

pre-shared-key local <removed>

pre-shared-key remote <removed>

!

Profile - 缺少匹配身份local，該身份將在我們建立網路隧道組時成為CSA UI中的tunnelID。

crypto ikev2 profile csse_virginia1

match identity remote address x.x.x.x 255.255.255.255

身份驗證遠端預共用

身份驗證本地預共用

keyring local csse_useast

!

更改DH組後，新增的match local identity問題將得到解決。

原因

此問題的主要原因通常是IKEv2配置檔案中缺少本地身份配置或不正確。安全訪問需要特定的身份引數來正確建立IKEv2協商。此外，使用不受支援的Diffie-Hellman組（19和20以外的組）可能會阻止使用安全訪問成功進行IKEv2協商。

相關內容

- 思科技術支援與下載