| 参数不匹配 | NO_PROPOSAL_CHOSEN，核对加密/哈希/DH |
|---|---|
| 认证失败 | PSK 不一致或身份不符，HMAC 校验报错 |
| 可达性 | UDP 500/4500 被 ACL 或防火墙拦截 |
| 版本 | 两端 V1/V2 设置不同 |
两侧命令对照
两侧命令对照
# Cisco
show crypto isakmp sa
debug crypto isakmp
# 华为
display ike sa
debugging ike allIKE 阶段一失败排查
阶段一失败集中在四类：参数集不匹配、认证失败、可达性阻断、身份/版本不符；从 IKE SA 状态与协商日志入手逐项排除。
易错点
- 只看一端日志：失败原因的提示通常在响应方
- debug 全开且长时间不关：日志刷屏遮蔽关键行
数据来源与参考
- Cisco: IKE 排错指南
- RFC 7296: IKEv2