| 建立事件 | SA established，记录对端与算法 |
|---|---|
| 删除事件 | SA deleted，注意删除原因字段 |
| 明文告警 | RECVD_PKT_NOT_IPSEC：收到未加密包被丢 |
| 时间线 | 与链路抖动、路由切换时间点对齐 |
常见线索
常见线索
# Cisco 日志关键字
show logging | include CRYPTO|ISAKMP|IPSEC
# 典型告警: %CRYPTO-4-RECVD_PKT_NOT_IPSEC
# strongSwan
journalctl -u strongswan | grep -E 'established|deleted|timeout'