深信服社区»版块 安全类 行为管理AC AC对接H3C ipsec问题

AC对接H3C ipsec问题

查看数: 1048 | 评论数: 7 | 收藏 1
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2026-2-5 11:07

正文摘要:

最近在做一个ipsec实验,拓扑总部内网(200)-AC(192.168.1.198)--分支路由器(192.168.1.197)-分支内网(250) 现遇到一个二阶段协商失败的问题,AC日志如下:1 DLAN总部(lmdlan) 告警 10:56:54 [ipsec_vpn][exchange:99 ...

回复

知足常乐1 发表于 2026-2-19 20:34
针对IPSec实验中第二阶段协商失败的问题,结合AC日志和拓扑结构,核心问题在于AC与H3C路由器之间的流量选择符(ACL)不匹配,导致无法建立子SA(安全关联)。
知足常乐1 发表于 2026-2-11 21:57
针对IPSec实验中第二阶段协商失败的问题,结合AC日志和拓扑结构,核心问题在于AC与H3C路由器之间的流量选择符(ACL)不匹配,导致无法建立子SA(安全关联)。
知足常乐1 发表于 2026-2-7 23:41
针对IPSec实验中第二阶段协商失败的问题,结合AC日志和拓扑结构,核心问题在于AC与H3C路由器之间的流量选择符(ACL)不匹配,导致无法建立子SA(安全关联)。
Lake_ 发表于 2026-2-7 00:04
告警提示send notify 不可接受的流量选择符,是不是和h3c的感兴趣流写法不兼容?感兴趣流检查过了,应该是没问题的。加密算法之类的也是一样的
王老师 发表于 2026-2-6 07:59
排查步骤
1. 检查AC的IPSec策略配置
确认加密数据流(ACL):
登录AC管理界面,进入 [网络/Sangfor/IPSecVPN/IPSecVPN配置]。
检查AC声明的本地保护网段(如192.168.200.0/24)和对端保护网段(如192.168.250.0/24)是否正确。
关键点:AC的“对端保护网段”需与H3C路由器声明的“本地保护网段”完全一致,反之亦然。
验证IKE和IPSec参数:
确保AC和H3C的加密算法(如AES-256)、认证算法(如SHA-256)、DH组(如DH group 14)等参数一致。
检查封装模式(隧道模式/传输模式)是否匹配。
2. 检查H3C路由器的IPSec配置
确认ACL规则:
登录H3C路由器管理界面,进入 [虚拟专网(VPN)/IPsec VPN/IPsec策略配置]。
检查H3C声明的本地保护网段(如192.168.250.0/24)和对端保护网段(如192.168.200.0/24)是否与AC配置镜像。
示例:若AC配置为“本地192.168.200.0/24 → 对端192.168.250.0/24”,则H3C需配置为“本地192.168.250.0/24 → 对端192.168.200.0/24”。
验证IKE和IPSec参数:
确保H3C的预共享密钥、IKE版本(如IKEv2)、协商模式(如主模式)与AC一致。
3. 检查网络连通性和安全策略
验证UDP 500/4500端口可达性:
在AC和H3C路由器上执行 ping 和 telnet 测试,确保公网接口间可互通。
使用 tcpdump 或Wireshark抓包,确认UDP 500(IKE)和UDP 4500(NAT-T)端口流量正常。
检查防火墙/安全策略:
确保AC和H3C的防火墙未阻断IPSec流量(如ESP协议、UDP 500/4500)。
若存在NAT设备,需配置NAT穿越(NAT-T)并确保ACL匹配NAT后的地址。
解决方案
1. 修正ACL配置
AC端:
修改IPSec策略,确保“对端保护网段”为 192.168.250.0/24(与H3C的本地保护网段一致)。
H3C端:
修改IPSec策略,确保“对端保护网段”为 192.168.200.0/24(与AC的本地保护网段一致)。
2. 同步IPSec参数
统一双方加密算法(如AES-256-CBC)、认证算法(如SHA-256)、DH组(如DH group 14)和封装模式(隧道模式)。
3. 验证配置
在AC和H3C上执行以下命令,检查IPSec SA状态:
AC:display ipsec sa(或通过Web界面查看“IPSec安全联盟信息”)。
H3C:display ipsec sa。
若SA成功建立,使用 ping 测试内网互通性。
王老师 发表于 2026-2-6 07:57
针对IPSec实验中第二阶段协商失败的问题,结合AC日志和拓扑结构,核心问题在于AC与H3C路由器之间的流量选择符(ACL)不匹配,导致无法建立子SA(安全关联)。