案例01 IPSEC异常,内网口异常频发DOWN
要害字
丢包、Line-quality
(一)故障征象形貌
某单位反响使用我司EG2000F作为出口装备,承载内网上网营业。突然泛起网络异常,专线IPSEC营业欠亨的故障。
网络拓扑简介:

拓扑形貌:EG作为出口和总部装备建设IPSECvpn,内网情形为三层结构。
(二)故障处置惩罚剖析
通过现场信息网络,剖析EG到运营商网关泛起丢包和延迟征象。
EG直连运营商的光猫,使用EG去会见运营商光猫的网关地址192.168.1.1时会泛起丢包,当泛起丢包时,由于装备使用line-quality track探测功效,当探测地址不可达时,会强制EG装备执行SHUTDOWN Gi0/0接口,影响下联营业使用。
如图:
当到运营商网关丢包时,探测的报文剖析嫌疑也泛起丢包问题,导致line-quality执行down操作。

1、装备通过运营商接口和总部建设IPSEC,也频发DPD超时故障。目今DPD设置时间为10s探测一次,当探测欠亨,举行5*3探测检测。若是3次都欠亨,就会提醒DPD超时。超时后隧道举行拆除,也会导致track探测报文无法通过隧道到总部举行探测,导致track down。

2、在故障2的基础上修改DPD超时时间,发明照旧保存SHUTDOWN 接口的问题,但没有在泛起DPD超时的故障了。
修改DPD超时时间
如图:
3、在EG的web界面使用抓包工具举行抓包,使用源地址192.168.1.2,目的地址IPSEC地址,抓取udp报文,并且使用console登录EG举行ping。
ping 192.168.68.1 source 172.20.38.12 length 1000 ntimes 1000,当泛起丢包时,192.168.1.2出去的包时正常的,可是运营商回来的包很少,回包的速率很慢,或许30s才回一个包。
4、当EG到运营商光猫的网关地址192.168.1.1恢复正常时,eg到装备到总行的ping也恢复正常。
说明运营商保存ESP报文丢包和延迟的情形
(三)故障根因剖析
当泛起丢包时,192.168.1.2出去的包时正常的,可是运营商回来的包很少,回包的速率很慢,或许30s才回一个包。
当EG到运营商光猫的网关地址192.168.1.1恢复正常时,eg到装备到总行的ping也恢复正常。
团结信息可以判断运营商侧保存ESP报文丢包和延迟的情形。
(四)故障解决计划
针对运营商丢包和延迟问题,协调运营商进一步剖析定位。
如遇该故障无法判断或解决的可点击:售后闪电兔 处置惩罚