| 参数不匹配 | ESP 算法或封装模式不一致 |
|---|---|
| PFS | 一端要求一端未配或 DH 组不同 |
| 选择符 | 两侧 ACL 或 local_ts/remote_ts 非镜像 |
| 触发 | 策略模式需要流量命中 ACL 才发起 |
查看与验证
查看与验证
show crypto ipsec sa
show crypto ipsec transform-set
# 华为
display ipsec sa
display ipsec policyIPsec 阶段二失败排查
阶段二协商子 SA：失败常见于 transform/proposal 不匹配、PFS 组不同、流量选择符不对等、或没有触发流量的兴趣流。
易错点
- 策略模式下无流量就不建 SA：先 ping 触发再查
- 两侧 ACL 互为镜像时源/目的写反：SA 建不起来
数据来源与参考
- Cisco: IPsec 排错指南
- RFC 4301: IPsec 架构