ipsec丢包处理

背景：

省级单位和中央做ipsec，省级使用过的是ssl vpn设备，中央使用AF设备，配置ipsec vpn，采用野蛮模式，目前是隧道已经成功建立，但是省级ping中央地址会出现部分丢包，大约百分之一的丢包率吧

排查思路：

第一步：

中央单位自己ping内网服务器地址，发现没有丢包

第二步：

从省级单位ping 中央内网服务器286个包有丢一个包，分别在中央VPN设备（AF）的WAN口、LAN口和VPN通道抓包，以及在省级VPN的WAN口、VPN通道口和电脑抓包。

中央内网口收到572个包没有丢包是正常的

  通过中央VPN的隧道口收发共572个包，没有丢包

中央VPN的WAN口收发共572个包，收到的包也都有回包

省级VPN的WAN口收发571个包，丢了一个回包

省级VPN的隧道口收发571个包，也没收到那个回包

结论：

通过抓包来看，数据包在专线过程中丢了。需要维护专线的人去排查一下。因为通过VPN封装的数据包不是普通的IP数据包，是带有UDP500头部的数据包，需要查一下路由或者对这种数据包的网络策略。

上来就省级 又是中央的 这么高大上 我要好好学 tcpdump

感谢楼主的分享，遇到丢包的问题，从每个数据包可能经过的接口都抓了包，附带截图也非常的详细，最终定位到线路问题，这种排查思路非常值得学习，VPN隧道UDO500头部的数据包确实需要这么详细的分析，期待楼主下次精彩的分享:感恩:

感谢分享

专线问题?

感谢分享

感谢分享                           

楼主，是你让我深深地理解了‘人外有人，天外有天’这句话。谢谢你!在看完这帖子以后，我没有立即回复，因为我生怕我庸俗不堪的回复会玷污了这社区少有的帖子。但是我还是回复了，因为觉得如果不能在如此精彩的帖子后面留下自己的网名，那我会遗憾终生的!

这么说tcpdump还是很不错的，这个抓包命令

我在社区摸爬滚打这么多年，所谓阅人无数，就算没有见过猪走路，也总明白猪肉是啥味道的。一看到楼主的气势，我就觉得楼主同在社区里灌水的那帮小混子有着本质的差别，你一定就是传说中的最强技术牛。