SA 建不起来怎么查
IPsec SA 协商失败的排查顺序是先证网络、再查参数：一方面确认两端公网可达，中间的云防火墙与运营商设备没有拦截 UDP 500、UDP 4500 与 IP 协议号 50 的 ESP 报文；另一方面逐项核对 PSK、IKE 版本、加密与认证算法、DH 组、本端与对端标识。顺序反了容易在参数上反复试错，浪费时间。
基本信息
| 网络层 | UDP 500、UDP 4500 与 ESP（IP 协议号 50）不被中间设备阻断 |
|---|---|
| 参数层 | PSK、IKE 版本、算法、DH 组、生存周期两端一致 |
| 标识层 | 本端与对端 ID 要匹配对端期望值 |
| 日志层 | 设备日志通常会指出不匹配的参数项 |
| 排查原则 | 一次只改一个参数，改完记录并复验 |
排查步骤
- 确认两端公网地址可达，先做基础连通性验证
- 确认中间网络放行 UDP 500、UDP 4500 与 ESP 协议
- 核对预共享密钥与 IKE 版本是否一致
- 逐项核对加密算法、认证算法与 DH 组
- 核对本端与对端标识配置
- 读取设备日志定位具体不匹配项
结合云侧状态与日志排查
结合云侧状态与日志排查
# 阿里云：查看 IPsec 连接状态与协商信息
aliyun vpc DescribeVpnConnection --RegionId cn-hangzhou --VpnConnectionId vco-xxxx
# 腾讯云：查看 VPN 通道状态
tccli vpc DescribeVpnConnections --Region ap-guangzhou
# 设备侧同时打开 IKE 调试日志，两端日志要一起看才能定位不匹配项现象与原因
| 现象 | 常见原因 | 验证方式 |
|---|---|---|
| 反复重试无进展 | 网络拦截 ESP 或 4500 | 两端与中间设备逐一放行验证 |
| 协商到一半失败 | 算法或 DH 组不一致 | 对照两端配置逐项比对 |
| 提示身份不匹配 | 对端 ID 配置错误 | 核对标识与 PSK |
| 周期性断开重连 | 生存周期差异过大 | 统一两端生命周期 |
云防火墙或中间网络拦截 ESP 与 UDP 4500 时，现象是对端反复重试；先证明网络放行，再怀疑参数，可以省掉大量试错。
跨厂商对接时参数命名不同但含义相近，比对时要按含义而非字面名称对应，例如加密算法与认证算法在各家界面上的位置并不一致。