上周一个客户那里碰到要临时做IPSEC VPN的问题,客户一端用的华为USG6630,另一端是深信服老的AF版本是5.1的。按照常规配置完成后,发现二端IPSEC 起不来。在深信服上看到的日志显示: 查看深信服配置也没问题:
但是就是阶段1起不来。
华为侧诊断发现也是收不到阶段1的数据包: 华为查看下会话表: display firewall session table verbose destination-port global B.B.B.B HRP_A[USG6600-diagnose] ================================================== ===============display ike sa=============== ================================================== 17:35:35 2020/12/18 current ike sa number: 1 -------------------------------------------------------------------------------------------------- conn-id peer flag phase vpn -------------------------------------------------------------------------------------------------- 8000359 <unnamed> NONE|M v1:1 public
发现起不来,最终抓取华为的诊断日志给二线工程师诊断牙没有找出问题。
后来无意中我突发奇想把预共享密钥改成123456试一下,一下子就通了。 开始配置的共享秘钥是字母+数字的复杂模式,一直起不来后来改成简单密码就可以了。这里我总结出来应该就是密钥的问题。有些老版本设备和第三方对接的共享秘钥尽量配置成简单化。 |