| 可用性 | IKE SA 状态与 DPD 状态 |
|---|---|
| 活性 | 双向计数对比，识别单向失败 |
| 事件 | 重协商频率与失败原因统计 |
| 告警 | 状态非 READY 或计数长时间不变触发 |
巡检骨架
巡检骨架
show crypto ikev2 sa | include READY
show crypto ipsec sa | include pkts|remaining
# 计算两次采样之间的增量
# strongSwan
swanctl --list-sas | grep -E 'INSTALLED|bytes'隧道监控：指标与巡检骨架
隧道上线后持续监控三个维度：SA 是否 READY、加解密计数是否增长、重协商与删除事件；计数长时间零增长是常见的隐性故障信号。
易错点
- 只看隧道状态不看流量计数：中间转发中断不易察觉
- 对重协商频率不设阈值：频繁重协商往往暴露参数不一致
数据来源与参考
- Cisco: IPsec 监控命令
- strongSwan: 状态输出