提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

进阶排查-步骤二:查看VPN中断日志判断断开的原因

|

问题描述

进阶排查-步骤二:查看VPN中断日志判断断开是由哪方导致的

解决方案

一、查看是哪边先断开的VPN
1、查看VPN日志,判断日志断开连接的一方是哪边,如果是对方主动断开连接的,就需要找第三方的设备优先排查为什么对方会主动断开IPSEC连接
2、常见IPSEC断开的日志
(1)对方DPD超时,我方主动断开连接,能看到我方主动send delete spi,即我方主动删除SPI



二、查看是否有SA超时的情况
      VPN一般都是进行二阶段的sa超时重连,在重连期间VPN确实会中断,因为要进行隧道清理和协商,因此这个sa时间不建议配置太短,一般建议配置28800s;
1、查看设备历史日志,有调试日志更好,直接看调试日志(woc设备可查看设备冲掉日志),看看VPN中断前是否有SA超时


       VPN一般都是进行二阶段的sa超时重连,在重连期间VPN确实会中断,因为要进行隧道清理和协商,因此这个sa时间不建议配置太短,一般建议配置28800s;
2、SA超时场景(一)
     SA时间到期,本端VPN状态隧道未断开,对端已经断开;
     原因是开始发起二阶段协商包,一直协商不成功,此时由于中间网络原因导致这个二阶段协商包丢包或者超过对端等待收到协商的时间,此时对端就会断开整个VPN,重新等待接受一阶段的协商数据包,但是本端第一阶段没有断开也不会发送协商第一阶段的报文。
      解决办法:
      1)协调对端设备,分析双方设备的历史日志;
      2)如果存在跨运营商场景,建议协调更换成同运营商;
      3)调整DPD时间,可缩小DPD超时时间;
3、SA超时场景(二)
      查看调试日志,SA二阶段sa时间到期,从调试日志中发现我司设备发送协商包之后,第一次协商失败,后续我司设备不发送sa协商包,第一阶段也不发送。
      原因是dlan6.0版本之前,ipsec重协商失败后需要流量触发才会重新发起协商,dlan6.0开始增加60s一次,发现链接不再就主动发起协商机制。
      解决办法 :
      1)让对端主动来连接我司设备;
      2)升级到dlan6.0版本及以后版本。

我要分享
文档编号: 223889
作者: admin
更新时间: 2023-01-05 17:29
适用版本: