IPsec VPN是一種廣泛使用的虛擬專用網絡技術，它通過在IP層上加密和認證數據包來保護網絡通信。在使用IPsec VPN時，可能會遇到各種問題，以下是一些IPsec VPN連接常見的問題及其處理方法：
<bdo id='VfELh'></bdo><ul id='HVOYs'></ul>
| 錯誤碼 | 錯誤信息 | 日志關鍵字 | 排查方法 |
|---|---|---|---|
| PeerMismatch | 鄰居不匹配 | received UNSUPPORTED_CRITICAL_PAYLOAD error |
1. 檢查IPsec連接的用戶網關IP與對端網關設備的IP是否匹配。2. 確保使用的是正確的IP地址。 |
| AlgorithmMismatch | 算法不匹配 | HASH mismatched, parsed INFORMATIONAL_V1 request, 等 |
1. 檢查兩端的加密算法、認證算法、DH分組參數是否一致。2. 確保對端配置與IPsec連接配置相同。 |
| EncryptionAlgorithmMismatch | 加密算法不匹配 | invalid encryption algorithm, 等 |
1. 檢查IPsec配置階段的加密算法是否匹配。2. 修改對端配置以匹配IPsec連接。 |
| AuthenticationAlgorithmMismatch | 認證算法不匹配 | authtype mismatched, 等 |
1. 檢查IKE配置階段的認證算法是否匹配。2. 修改對端配置以匹配IPsec連接。 |
| DhGroupMismatch | DH分組不匹配 | received KE type 14,expected 2, 等 |
1. 檢查IKE配置階段的DH分組是否匹配。2. 修改對端配置以匹配IPsec連接。 |
| PskMismatch | 預共享密鑰不匹配 | Decryption failed! mismatch of preshared secrets, 等 |
1. 檢查兩端預共享密鑰是否一致。2. 確保加密算法、認證算法、DH分組配置相同。 |
| PeerIdMismatch | PeerID不匹配 | does not match peers id, 等 |
1. 檢查LocalId和RemoteId是否匹配。2. 確保協商模式和格式符合要求。 |
| DpdHashNotifyCompatibility | DPD載荷順序兼容 | ignore information because the message has no hash payload |
檢查對端設備的DPD載荷順序是否為hash-notify。 |
| DpdTimeout | DPD超時 | DPD: remote seems to be dead |
1. 檢查DPD功能是否開啟。2. 檢查網絡質量與路由配置。 |
| IkeVersionMismatch | IKE版本不匹配 | unknown ikev2 peer |
1. 檢查IKE版本是否一致。2. 推薦使用IKEv2。 |
| NegotiationModeMismatch | 協商模式不匹配 | in Identity not acceptable Aggressive mode, 等 |
1. 檢查協商模式是否一致。2. 推薦使用main模式。 |
| NatTMismatch | NAT-T不匹配 | ignore the packet, received unexpecting payload type 130 |
檢查NAT穿越功能狀態是否一致。 |
| LifetimeMismatch | SA生存周期時間不匹配 | long lifetime proposed |
檢查SA生存周期（秒）是否一致。 |
| SecurityProtocolMismatch | 安全協議不匹配 | proto_id mismatched |
確保使用的安全協議為ESP。 |
| EncapsulationModeMismatch | 封裝模式不匹配 | encmode mismatched |
確保使用的封裝模式為隧道模式。 |
| AlgorithmCompatibility | 算法兼容性 | 無 | 使用兼容的認證算法，例如md5。 |
| TrafficSelectorMismatch | 感興趣流不匹配 | traffic selector mismatch, 等 |
1. 根據IKE版本檢查感興趣流網段配置。2. 確保兩端感興趣流配置相同。 |
| PfsMismatch | PFS不匹配 | pfs group mismatched, 等 |
檢查PFS功能的配置狀態是否一致。 |
| CommitMismatch | commit位不匹配 | 無 | 檢查對端設備的提交位（commit）是否開啟。 |
| ProposalMismatch | 提議不匹配 | no proposal chosen, 等 |
1. 檢查IKE版本和配置參數是否一致。2. 確保兩端配置相同。 |
| NegotiationFailed | 協商失敗 | phase2 negotiation failed due to time up waiting for phase1 |
重置IPsec-VPN連接以重新協商。 |
| Phase1NegotiationTimeout | 一階段協商超時 | phase1 negotiation failed due to time up, 等 |
1. 檢查對端設備是否能接收或發送IPsec報文。2. 確保IP地址匹配和網絡連通性。 |
| Phase2NegotiationTimeout | 二階段協商超時 | 無 | 1. 檢查IPsec配置階段參數是否一致。2. 檢查NAT穿越功能狀態。 |
| NoResponse | 無法收到對端協議應答報文 | sending retransmit 1 of request message ID 0, seq 1, 等 |
1. 檢查對端設備是否能接收或發送IPsec報文。2. 確保IP地址匹配和網絡連通性。 |
| ReceiveDeleteNotify | 收到對端的delete報文 | received DELETE IKE_SA |
對端網關設備側排查原因。 |
