SANGFOR IPSEC常见问题排查

SANGFORIPSEC常见问题排错思路IPSEC常见问题排查指导IPSEC常见问题排错指导1.VPN无法建立连接3.VPN不稳定，频繁断开5.通过VPN访问不到部分服务器4.通过VPN访问不到内网资源2.Webagent无法更新成功6.通过VPN访问服务器慢故障一VPN无法建立连接A、查看系统日志的提示B、检查设备的部署方式和配置；（例如排除VPN两端在同一局域网来连VPN；设备本身被限制无法上网等原因）C、检查VPN连接的配置(webagent、帐号等)；D、测试总部的VPN端口是否能通，总部单臂模式下，如果启用UDP传输，注意前置网络设备要做UDP4009端口的映射；E、检查是否两端VPN设备上是否做了端口全映射或者映射了VPN连接的端口到内网；F、确认两端VPN设备的版本是否匹配G、测试两端VPN设备之间的网络是否可达(ping或收发包测试)；H、尝试修改VPN设备接口的MTU；故障二Webagent无法更新成功A、确保VPN总部设备和分支设备均能上外网（设备配置的IP和DNS均正确，能解析到域名和访问公网）。VPN总部设备需要上网更新webagent地址，而分支设备需要访问webagent地址获得总部VPN设备的公网IP地址。B、某些运营商封堵了80端口的访问，可以尝试把VPN总部webagent更新端口改成8080端口来更新。例如：的形式。故障三VPN不稳定，频繁断开A、尝试换传输模式（分支设备的连接管理处修改），看是否修复。B、修改总部VPN连接的端口，改成常用的低端口，如81等，避免运营商对高端口做了限制。C、如果有设置VPN的多线路策略，修改多线路策略看是否稳定D、反向连接，把原来的VPN分支端和总部端配置互换，改成由另一端发起连接，看是否稳定。故障四VPN已经建立，但访问不到内网资源A、从最靠近内网资源的VPN设备上测试能否访问内网资源；（通过网关升级客户端登录到VPN设备上进行PING测试）B、PING对端设备的LAN口地址看是否能ping通C、检查配置(内网权限、VPN-LAN规则、时间计划)；D、两端都检查路由设置，可以通过tracert观察数据流走到了哪里，必须确保双向访问均能到达；检查PC和内网资源服务器上的路由设置，看是否有错误的主机路由。或者把PC和内网资源的网关均指向VPN设备，测试是否能通信。E、关闭内网资源服务器上的杀毒软件和防火墙再测试一下。故障五通过VPN某些服务器不能访问，某些可以A、检查VPN设备上的配置(内网权限、VPN-LAN规则、查看不能访问的服务器IP是否被设置到了虚拟IP池)；B、检查两端的路由设置，确认数据能到达服务器。检查PC和服务器上的路由设置，看是否有错误的主机路由。C、把PC和服务器的网关均指向VPN设备，测试是否能通信。D、检查服务器或PC上的杀毒软件和FW是否有限制。故障六觉得VPN慢或VPN隧道内数据传输慢A、ping对端VPN设备的公网IP和内网主机IP，比较延时。(可ping大包测试)B、如果ping对端VPN设备公网IP的延时小于内网主机IP的延时，则修改传输模式看是否修复。C、修改VPN连接端口，修改成常用的端口，例如81等，避免公网运营商对高端口进行流控限制。D、检查VPN设备出口流量是否较大；在带宽有限的情况下，如果公网流量较大，也会导致VPN数据传输较慢的情况。E、检查内网通讯是否正常(内网是否有arp欺骗，电脑中病毒的情况)F、判断VPN设备是否性能不足(看CPU，内存占用情况等)其他常见问题排查指导第一种情况：不知道设备的IP地址，登录不了SANGFOR设备的网关控制台。一、登录不了SANGFOR设备网关控制台A、PC直接连SANGFOR设备的LAN口，在PC上使用Findme或者网关升级客户端搜索SANGFOR设备的IP，通过搜索到的设备IP登录网关控制台（电脑要配置同网段的IP地址）B、PC配置同SANGFOR设备万能IP同网段的IP，使用万能IP登录设备控制台。SANFORAC/SG设备路由模式(网桥和旁路模式下均没有万能IP的说法)的LAN口万能IP为128.127.125.252/28，其他SANGFOR产品LAN口的万能IP是10.111.222.33/30如果不确认AC/SG设备的工作模式，可以尝试用PC连接设备的DMZ口，使用DMZ口出厂IP（10.252.252.252/24）登录设备，很多时候客户没有使用DMZ口，故DMZ口的IP有可能还是保留出厂配置。第一种情况：不知道设备的IP地址，登录不了SANGFOR设备的网关控制台。一、登录不了SANGFOR设备网关控制台C、如果使用上述两种方法都登录不了AC/SG的控制台，可以尝试使用交叉线接电口恢复默认配置的方法恢复AC/SG的出厂配置（请谨慎使用此方法，此方法会导致设备原有的配置丢失），恢复出厂配置后，使用出厂IP登录设备的控制台，LAN口IP是10.251.251.251/24，DMZ口IP是10.252.252.252/24。一、登录不了SANGFOR设备网关控制台A、首先确认登录设备控制台的电脑IP是否和设备的IP同网段，如果不在同网段，确认是否路由可达B、如果电脑和设备是同网段或者路由可达的，尝试PING下设备的IP地址，看是否能PING通，如果不能PING通，可以尝试电脑直接接设备的LAN口，配置和设备LAN口同网段IP，看是否可以ping通和登录控制台，排除是否内网原因。如果电脑直接接设备，PING不通设备的IP，可以尝试电脑换其他同网段的IP地址再试下，有可能是因为电脑的IP被包含在设备设置的虚拟IP池范围内，导致数据包被VPN抓走。第二种情况：确认设备的IP地址是正确的，但是登录不了控制台一、登录不了SANGFOR设备网关控制台C、如果电脑可以PING通设备的IP，但是登录不了控制台，那么从电脑上telnet设备控制台的端口（AC和加速是TCP443，SSL控制台端口是TCP1000）看是否能通，如果不能通，telnetTCP51111(升级客户端的连接端口)端口看是否能通。如果电脑接设备的LAN口telnet设备控制台端口和51111端口均不通，有可能设备上做了错误的全端口映射导致，可以尝试电脑接设备的其他网口，再登录控制台试下，如果可以从其他网口登录设备控制台，检查防火墙端口映射配置，删除错误的全端口映射规则。第二种情况：确认设备的IP地址是正确的，但是登录不了控制台二、拨号常见问题排查和解决办法如果使用SANGFOR设备拨号，发现拨号断的比较频繁，请检查拨号参数设置，ADSL拨号参数推荐设置成20，80，3，光纤拨号参数推荐设置成60，240，91.通过SANGFOR设备拨号经常断2.通过SANGFOR设备拨不上号，电脑可以拨上SANGFORS5100的网口不支持自动翻转，如果客户使用的是不支持线序自动翻转的modem（如华为MT800），并使用直通线连接设备和modem，则会出现设备拨不上号的情况。解决办法是更换交叉线连接设备和modem，或者在设备和modem之间加个小交换机。二、拨号常见问题排查和解决办法检查设备连接modem的WAN口（WAN1对应eth2）的MAC地址是否为00-00-00-00-00-00，如果是，重启设备，或者重启网卡，MAC地址仍然是全0的话，则可以认为是硬件故障需要返修。3.一直处于等待中，无法拨号成功4.其他拨号不成功的原因，请详细参照拨号日志提示1）Authenticationfailure.PAPauthenticationfailed.PAP用户认证失败，请确保填写的是正确的用户名和密码。2）CHAPauthenticationfailed.CHAP用户认证失败，请确保填写的是正确的用户名和密码。二、拨号常见问题排查和解决办法3）Loginincorrect，PAPauthenticationfailed.用户登录失败，不存在此用户，请检查用户名是否输入正确。4）LCPterminatedbypeer（peerrefusedtoauthentication）对端设备终止连接/拒绝连接，请重新拨号或者联系ISP5）Noresponseto3echo-requests.Seriallinkappearstobedisconnected.远端服务器没有相应本端的回声请求，线路可能断开，检查线路是否正常6）拨号时出现提示“outofrange”之类，很有可能是运营商绑定了拨号设备的MAC地址，此时可以通过换一台PC拨号来证实。这种情况需联系运营商重新绑定SANGFOR设备WAN口的MAC地址7）提示出现“pppunithasbeenused”之类的，可能设备在重复拨号，可以重启下设备再拨号试下