深信服社区»版块 安全类 下一代防火墙NGAF 防火墙与阿里云的IPsec第二阶段协商成功,但内网ping不 ...

防火墙与阿里云的IPsec第二阶段协商成功,但内网ping不通

查看数: 2009 | 评论数: 5 | 收藏 0
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2020-2-17 17:56

正文摘要:

深信服AF8.0.7与阿里云交换机建立IPsec,第一阶段、第二阶段协商成功,但内网无法ping通。 图示: 求解决办法

回复

young_1003 发表于 2020-2-19 11:58
之前我有一个客户也是这样的环境,最后问题出现在阿里云那边有拦截,建议排查阿里云上的防护设备
游远远_北京办_渠道服务经理 发表于 2020-2-18 12:22
在第二阶段建立10s后就已经发送删除SA的请求,应该建立过程中的信息还是有异常,考虑一下算法的长度等等是否一致,阿里云一般是linux系统,可以选择建立的算法长度的。
另外,你可以尝试在出接口抓取一下数据包,进行通信内容的分析
沧海 发表于 2020-2-17 22:33
先用直通策略排除一下 是否是策略引起的   然后再抓包看看到哪丢了
adds 发表于 2020-2-17 18:48
1.在【IPSEC VPN设置】-【运行状态 】看有没有连接状态数。
可以尝试重启DLAN服务观察下。
2.从内网测试内网PC是否能ping通,是否由于PC的防火墙没有关闭导致无法ping通。
寒山古路 发表于 2020-2-17 18:03
1.保证出入站策略两端设置正确,需要访问的网段都有设置出入站策略
2.AF设备对一个测试IP开直通测试,且说明对开直通的IP地址对应的安全防护策略以及应用控制策略都不生效,所有的流控也会失效,内网的其他安全设备也将对应的测试IP加排除。
3.AF设备内网的PC去ping对端内网测试,不要在AF设备上测试,AF设备自身不会进VPN隧道。
内网PC测试的同时,在AF设备的命令行控制台抓包查看数据包是否有从AF设备发出去,看下是否为对端未回包。
抓包命令:tcpdump -i vpntun host 对端内网IP地址 and icmp -nn -c 50
4.若对端未回包,建议检查对端设置。