四类失败原因
阶段一失败通常集中在四类：参数集不匹配（加密、完整性、DH 组）、认证失败（预共享密钥不一致或身份不符）、可达性阻断（UDP 500 与 4500 被 ACL 或防火墙拦）、版本不符。排查顺序建议是版本 → 可达性 → 参数集 → 认证与身份，从 IKE SA 状态与协商日志入手逐项排除，不要一次把参数全改一遍。
基本信息
| 参数不匹配 | 提示无可用提议，核对加密、完整性与 DH 组 |
|---|---|
| 认证失败 | 预共享密钥不一致或身份不符，校验报错 |
| 可达性阻断 | UDP 500 与 UDP 4500 被 ACL 或防火墙拦截 |
| 版本不符 | 两端 IKEv1/IKEv2 设置不同，协商无从开始 |
| 取证方式 | SA 状态、协商日志、必要时短时抓包看通知 |
| 排查顺序 | 版本 → 可达性 → 参数集 → 认证与身份 |
典型排查场景
- 新建隧道协商失败：从状态与日志入手定位到具体环节
- 预共享密钥场景：两侧口令不一致最常见，比对时要逐字符核对
- 穿越 NAT 场景：确认 4500 是否放行、NAT-T 是否生效
- 参数核对：加密、完整性、DH 组与生存周期逐项比对
- 抓包取证：日志不足时看报文中的提议与通知内容
两侧命令对照
两侧命令对照
# Cisco 侧
show crypto isakmp sa # 看 IKEv1 的 SA 状态
show crypto ikev2 sa # 看 IKEv2 的 SA 状态
debug crypto isakmp # 短时开启，注意日志量与 CPU
# 华为侧
display ike sa # 看 IKE SA 状态
debugging ike all # 短时开启，排查完立即关闭四类失败与判据
| 类别 | 典型提示 | 核对动作 |
|---|---|---|
| 参数不匹配 | 无可用提议 | 逐项核对加密、完整性、DH 组 |
| 认证失败 | 校验错误、认证不通过 | 核对预共享密钥与身份设置 |
| 可达性阻断 | 无响应、协商超时 | 检查 UDP 500/4500 与防火墙策略 |
| 版本不符 | 提议无效或直接失败 | 核对两端 IKE 版本设置 |
失败原因的提示通常在响应方：只看本端日志往往只能看到超时，需要两端同时取证，必要时抓包看通知报文说了什么。
调试开关要短时开启：全量日志会刷屏并吃掉 CPU，排障窗口结束后立即关闭，并注意两端日志时间戳是否对齐，否则事件顺序无法对应。