SANGFOR IPSEC常见问题排查.ppt

1、SANGFOR IPSEC 常见问题排错思路,IPSEC常见问题排查 指导,IPSEC常见问题排错指导,1. VPN无法建立连接,3. VPN不稳定，频繁断开,5. 通过VPN访问不到部分服务器,4. 通过VPN访问不到内网资源,2.Webagent无法更新成功,6. 通过VPN访问服务器慢,故障一 VPN无法建立连接,A、查看系统日志的提示 B、检查设备的部署方式和配置；（例如排除VPN两端在同一局域网来连VPN；设备本身被限制无法上网等原因） C、检查VPN连接的配置(webagent、帐号等)； D、测试总部的VPN端口是否能通，总部单臂模式下，如果启用UDP传输，注意前置网络设备要做U

2、DP4009端口的映射； E、检查是否两端VPN设备上是否做了端口全映射或者映射了VPN连接的端口到内网； F、确认两端VPN设备的版本是否匹配 G、测试两端VPN设备之间的网络是否可达(ping或收发包测试)； H、尝试修改VPN设备接口的MTU；,故障二 Webagent无法更新成功,A、确保VPN总部设备和分支设备均能上外网（设备配置的IP和DNS均正确，能解析到域名和访问公网）。 VPN总部设备需要上网更新webagent地址，而分支设备需要访问webagent地址获得总部VPN设备的公网IP地址。 B、某些运营商封堵了80端口的访问，可以尝试把VPN总部webagent更新端口改成8

3、080端口来更新。例如：:8080/ssl/xxx.php 的形式。,故障三 VPN不稳定，频繁断开,A、尝试换传输模式（分支设备的连接管理处修改），看是否修复。 B、修改总部VPN连接的端口，改成常用的低端口，如81等，避免运营商对高端口做了限制。 C、如果有设置VPN的多线路策略，修改多线路策略看是否稳定 D、反向连接，把原来的VPN分支端和总部端配置互换，改成由另一端发起连接，看是否稳定。,故障四 VPN已经建立，但访问不到内网资源,A、从最靠近内网资源的VPN设备上测试能否访问内网资源；（通过网关升级客户端登录到VPN设备上进行PING测试） B、PING对端设备的LAN口地址看是否能

4、ping通 C、检查配置(内网权限、VPN-LAN规则、时间计划)； D、两端都检查路由设置，可以通过 tracert观察数据流走到了哪里，必须确保双向访问均能到达； 检查PC和内网资源服务器上的路由设置，看是否有错误的主机路由。或者把PC和内网资源的网关均指向VPN设备，测试是否能通信。 E、关闭内网资源服务器上的杀毒软件和防火墙再测试一下。,故障五 通过VPN某些服务器不能访问，某些可以,A、检查VPN设备上的配置(内网权限、VPN-LAN规则、查看不能访问的服务器IP是否被设置到了虚拟IP池)； B、检查两端的路由设置，确认数据能到达服务器。 检查PC和服务器上的路由设置，看是否有错误的

5、主机路由。 C、把PC和服务器的网关均指向VPN设备，测试是否能通信。 D、检查服务器或PC上的杀毒软件和FW是否有限制。,故障六 觉得VPN慢或VPN隧道内数据传输慢,A、ping对端VPN设备的公网IP和内网主机IP，比较延时 。(可ping大包测试) B、如果ping对端VPN设备公网IP的延时小于内网主机IP的延时，则修改传输模式看是否修复。 C、修改VPN连接端口，修改成常用的端口，例如81等，避免公网运营商对高端口进行流控限制。 D、检查VPN设备出口流量是否较大；在带宽有限的情况下，如果公网流量较大，也会导致VPN数据传输较慢的情况。 E、检查内网通讯是否正常(内网是否有arp欺

6、骗，电脑中病毒的情况) F、判断VPN设备是否性能不足(看CPU，内存占用情况等),其他常见问题排查指导,第一种情况：不知道设备的IP地址，登录不了SANGFOR设备的网关控制台。,一、登录不了SANGFOR设备网关控制台,A、PC直接连SANGFOR设备的LAN口，在PC上使用Findme或者网关升级客户端搜索SANGFOR设备的IP，通过搜索到的设备IP登录网关控制台（电脑要配置同网段的IP地址） B、PC配置同SANGFOR设备万能IP同网段的IP，使用万能IP登录设备控制台。 SANFOR AC/SG设备路由模式(网桥和旁路模式下均没有万能IP的说法)的LAN口万能IP为128.127

7、.125.252/28，其他SANGFOR 产品LAN口的万能IP是10.111.222.33/30 如果不确认AC/SG设备的工作模式，可以尝试用PC连接设备的DMZ口，使用DMZ口出厂IP（10.252.252.252/24）登录设备，很多时候客户没有使用DMZ口，故DMZ口的IP有可能还是保留出厂配置。,第一种情况：不知道设备的IP地址，登录不了SANGFOR设备的网关控制台。,一、登录不了SANGFOR设备网关控制台,C、如果使用上述两种方法都登录不了AC/SG的控制台，可以尝试使用交叉线接电口恢复默认配置的方法恢复AC/SG的出厂配置（请谨慎使用此方法，此方法会导致设备原有的配置丢失

8、），恢复出厂配置后，使用出厂IP登录设备的控制台，LAN口IP是10.251.251.251/24，DMZ口IP是10.252.252.252/24。,一、登录不了SANGFOR设备网关控制台,A、首先确认登录设备控制台的电脑IP是否和设备的IP同网段，如果不在同网段，确认是否路由可达 B、如果电脑和设备是同网段或者路由可达的，尝试PING下设备的IP地址，看是否能PING通，如果不能PING通，可以尝试电脑直接接设备的LAN口，配置和设备LAN口同网段IP，看是否可以ping通和登录控制台，排除是否内网原因。 如果电脑直接接设备，PING不通设备的IP，可以尝试电脑换其他同网段的IP地址再试

9、下，有可能是因为电脑的IP被包含在设备设置的虚拟IP池范围内，导致数据包被VPN抓走。,第二种情况：确认设备的IP地址是正确的，但是登录不了控制台,一、登录不了SANGFOR设备网关控制台,C、如果电脑可以PING通设备的IP，但是登录不了控制台，那么从电脑上telnet设备控制台的端口（AC和加速是TCP 443，SSL控制台端口是TCP1000）看是否能通，如果不能通，telnet TCP51111(升级客户端的连接端口)端口看是否能通。 如果电脑接设备的LAN口telnet 设备控制台端口和51111端口均不通，有可能设备上做了错误的全端口映射导致，可以尝试电脑接设备的其他网口，再登录控

10、制台试下，如果可以从其他网口登录设备控制台，检查防火墙端口映射配置，删除错误的全端口映射规则。,第二种情况：确认设备的IP地址是正确的，但是登录不了控制台,二、拨号常见问题排查和解决办法,如果使用SANGFOR设备拨号，发现拨号断的比较频繁，请检查拨号参数设置，ADSL拨号参数推荐设置成20，80，3，光纤拨号参数推荐设置成60，240，9,1. 通过SANGFOR设备拨号经常断,2. 通过SANGFOR设备拨不上号，电脑可以拨上,SANGFOR S5100的网口不支持自动翻转，如果客户使用的是不支持线序自动翻转的modem（如华为MT800），并使用直通线连接设备和modem，则会出现设备拨

11、不上号的情况。 解决办法是更换交叉线连接设备和modem，或者在设备和modem之间加个小交换机。,二、拨号常见问题排查和解决办法,检查设备连接modem的WAN口（WAN1对应eth2）的MAC地址是否为 00-00-00-00-00-00，如果是，重启设备，或者重启网卡，MAC地址仍然 是全0的话，则可以认为是硬件故障需要返修。,3. 一直处于等待中，无法拨号成功,4. 其他拨号不成功的原因，请详细参照拨号日志提示,1）Authentication failure. PAP authentication failed. PAP用户认证失败，请确保填写的是正确的用户名和密码。 2）CHAP

12、authentication failed. CHAP用户认证失败，请确保填写的是正确的用户名和密码。,二、拨号常见问题排查和解决办法,3） Login incorrect，PAP authentication failed. 用户登录失败，不存在此用户，请检查用户名是否输入正确。 4）LCP terminated by peer（peer refused to authentication） 对端设备终止连接/拒绝连接，请重新拨号或者联系ISP 5）No response to 3 echo-requests. Serial link appears to be disconnected. 远