SSL和阿里云ECS对接标准备IPSec问题

司空摘星 4473

{{ttag.title}}
本地设备:Sangfor SSL M6.3 R1
对端设备:某公司ECS实例(安全组端口全开),CentOS6.9操作系统(防火墙已关闭),专有网络(单网卡跟公网地址做全面映射)

我按照资料库中的《某公司_IPSEC_CentOS和某公司设备对接标准ipsec.pdf》开始搭建

某公司日志
DLAN总部告警15:41:07[Isakmp_Server]和网关[centos]的第一阶段SA 协商失败,连接建立失败.

SSLVPN IPSec第一阶段配置.png (78.92 KB, 下载次数: 18)

SSLVPN IPSec第一阶段配置

SSLVPN IPSec第一阶段配置

CentOS strongswan ipsec.config.png (13.29 KB, 下载次数: 17)

CentOS strongswan ipsec.config文件配置

CentOS strongswan ipsec.config文件配置

CentOS 网卡配置.png (19.17 KB, 下载次数: 20)

CentOS 网卡配置

CentOS 网卡配置

SANGFOR_IPSEC_CentOS和深信服设备对接标准ipsec.pdf

395.4 KB, 下载次数: 28

解决该疑问,预计可以帮助到 16397 人!

回帖即可获得
2S豆
,被楼主采纳即奖励20S豆+10分钟内回帖奖励10S豆 [已过期] ,了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

adds 发表于 2017-12-13 15:55
  
这个只有两种原因:要么参数错误,要么双方系统兼容性有问题。
如果确认参数没有输入错误,联系400排查,如果自己不太了解CentOs,将Linux的工程师一块儿叫上排查。
zhb 发表于 2017-12-13 16:09
  
1、查看VPN设备是否有分支机构授权(或者第三方授权)
2、在系统日志【日志选项】开启调试日志,显示选项都勾选,过滤选择只勾选DLAN总部,查看具体提示来调试
3、请检查双方的参数是否配置一致
zhangxin 发表于 2017-12-13 16:27
  
某公司专用网络不是在系统内对接vpn了,是在控制台
深粉 发表于 2017-12-14 08:47
  
既然是两台设备对接vpn隧道,连接不了的时候也需要看对端设备的日志提示
FM10点14 发表于 2017-12-14 13:33
  
因为对接的第三方设备是在内网,需要nat穿透,建议部署成野蛮模式测试一下
Sangfor闪电回_小丸子 发表于 2017-12-14 16:24
  
您好 麻烦确认下两端的vpn设备分别是什么模式部署的?
方便的时候 麻烦将对端设备的日志也打出来看看的
谢谢
nihongliang 发表于 2017-12-14 17:17
  
你好 我看了下你的描述, ssl设备是网关模式吗? 然后我看了下你的centos服务器是内网地址,然后做的全映射。只要存在nat环境就不能用主模式,必须要用野蛮模式+nat穿越+fqdn的方式才能实现

你可以参考下我之前发过的帖子,如果还不行可以加我qq 2028452025 帮你看下
http://bbs.sangfor.com.cn/forum.php?mod=viewthread&tid=26265
nihongliang 发表于 2017-12-14 17:34
  
楼主 给你一个大概方向

ipsec.conf 大体按照这个配置 (openswan和strongswan可能存在细微命令差别)

conn net-net
keyexchange=ikev1
ike=3des-sha1
esp=                           ----未贴出
authby=secret
keyingtries=0
leftid=@openswan               ----(指定centos服务器的fqdn)
left=172.18.244.162
leftsubnet=172.18.244.0/24
leftnexthop=%defaultroute
rightid=@sangfor               ----(指定sangfor端的fqdn)
right=119.147.84.143
rightsubnet=x.x.x.x/x                    -----未贴出(sangfor一端的子网)
rightnexthop=%defaultroute
compress=yes
ikelifetime=28800              
keylife=7200
pfs=no
auto=start
aggrmode=yes              ---指定野蛮模式


这个文件也需要配置

ipsec.secrets

include /etc/ipsec.d/*.secrets
@openswan @sangfor: PSK "123456789"        ---指定两端的身份+协商密钥

等我来答:

换一批

发表新帖
热门标签
全部标签>
每日一问
技术盲盒
干货满满
新版本体验
技术笔记
标准化排查
产品连连看
功能体验
技术晨报
信服课堂视频
GIF动图学习
技术咨询
用户认证
2023技术争霸赛专题
安装部署配置
运维工具
玩转零信任
自助服务平台操作指引
解决方案
VPN 对接
专家分享
社区帮助指南
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
云计算知识
原创分享
sangfor周刊
项目案例
SANGFOR资讯
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
纪元平台
通用技术
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选

本版版主

26
76
83

发帖

粉丝

关注

本版达人

新手24268...

本周建议达人

阿凯

本周分享达人

新手39341...

本周提问达人