ポリシーベースのVPNはフラップするがトンネルはダウンしない
search cancel

ポリシーベースのVPNはフラップするがトンネルはダウンしない

book

Article ID: 427972

calendar_today

Updated On:

Products

VMware NSX

Issue/Introduction

免責事項：これは英文の記事「Policy-Based VPN Flaps but the tunnel does not go down」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

 

  • VPNはポリシーベースのVPNです
  • リモートVPNエンドポイントはJuniper
  • VPNは2分ごとにSAを再ネゴシエートします
  • VPNトンネルは稼働したままです
  • IKEはバージョン2です
  • 2 分ごとに SA がネゴシエートされ、ダウンタイムは約 5 秒になります。


nsx-event.log
Up and down occur every 2 minutes  Down State lasts 5 seconds
2024-01-25T07:49:31.412Z EDGE-Node-FQDN status DOWN:
2024-01-25T07:49:36.564Z EDGE-Node-FQDN status UP","event_src_comp_id":"********-****-****-****-************","event_sources":{"id":"********-****-****-****-************","local_ip":"***.***.***.***","peer_ip":"***.***.***.***"}}
2024-01-25T07:51:31.407Z EDGE-Node-FQDN status DOWN:
2024-01-25T07:51:36.565Z EDGE-Node-FQDN status UP","event_src_comp_id":"********-****-****-****-************","event_sources":{"id":"8********-****-****-****-************","local_ip":"***.***.***.***","peer_ip":"***.***.***.***}}
2024-01-25T07:53:31.403Z EDGE-Node-FQDN status DOWN:
2024-01-25T07:53:36.710Z EDGE-Node-FQDN status UP","event_src_comp_id":"********-****-****-****-************","event_sources":{"id":"8b1ccdbe-58bc-44e3-ba7a-f00571ffab13","local_ip":"***.***.***.***","peer_ip":"***.***.***.***"}}
2024-01-25T07:55:31.407Z EDGE-Node-FQDN status DOWN:
2024-01-25T07:55:36.675Z EDGE-Node-FQDN status UP","event_src_comp_id":"********-****-****-****-************","event_sources":{"id":"********-****-****-****-************","local_ip":"***.***.***.***","peer_ip":"***.***.***.***"}}
2024-01-25T07:57:31.403Z EDGE-Node-FQDN status DOWN:
2024-01-25T07:57:36.566Z EDGE-Node-FQDN status UP","event_src_comp_id":"********-****-****-****-************","event_sources":{"id":"********-****-****-****-************","local_ip":"***.***.***.***","peer_ip":"***.***.***.***"}}

  • ログには、「IKE SA Ttimer の期限切れ」によってトリガーされていることも示されています。

NSXT_EdgeNode_/var/log/syslog.*
2024-01-24T15:21:16.491Z EDGE-Node-FQDN NSX 4060 SYSTEM [nsx@6876 comp="nsx-edge" subcomp="iked" s2comp="jsonrpc" level="DBG"] unix: send reply, result="[{\"History\":[{\"time\":\"23-Jan-2024 22:38:31\",\"status\":\"IKE_STATUS_NEGO\",\"reason\":\"\"},{\"time\":\"23-Jan-2024 22:38:25\",\"status\":\"IKE_STATUS_DOWN\",\"reason\":\"IKE SA timer expired\"},
{\"time\":\"17-Jan-2024 22:11:15\",\"status\":\"IKE_STATUS_UP\",\"reason\":\"\"},
{\"time\":\"17-Jan-2024 22:11:15\",\"status\":\"IKE_STATUS_NEGO\",\"reason\":\"\"},
{\"time\":\"17-Jan-2024 22:11:15\",\"status\":\"IKE_STATUS_DOWN\",\"reason\":\"Peer not responding\"},
{\"time\":\"17-Jan-2024 22:05:54\",\"status\":\"IKE_STATUS_UP\",\"reason\":\"\"},
{\"time\":\"17-Jan-2024 22:05:54\",\"status\":\"IKE_STATUS_NEGO\",\"reason\":\"\"},
{\"time\":\"17-Jan-2024 22:05:53\",\"status\":\"IKE_STATUS_DOWN\",\"reason\":\"IKE SA timer expired\"},
 
NSXT_EdgeNode_/var/log/li-syslog.1
<183>1 2024-01-25T19:05:32.862Z EDGE-Node-FQDN NSX 4060 SYSTEM [nsx@6876 comp="nsx-edge" subcomp="iked" s2comp="jsonrpc" level="DBG"] unix: send reply, result="[{\"History\":[{\"time\":\"23-Jan-2024 22:38:31\",\"status\":\"IKE_STATUS_NEGO\",\"reason\":\"\"},{\"time\":\"23-Jan-2024 22:38:25\",\"status\":\"IKE_STATUS_DOWN\",\"reason\":\"IKE SA timer expired\"},{\"time\":\"17-Jan-2024 22:11:15\",\"status\":\"IKE_STATUS_UP\",\"reason\":\"\"},{\"time\":\"17-Jan-2024 22:11:15\",\"status\":\"IKE_STATUS_NEGO\",\"reason\":\"\"},{\"time\":\"17-Jan-2024 22:11:15\",\"status\":\"IKE_STATUS_DOWN\",\"reason\":\"Peer not responding\"},{\"time\":\"17-Jan-2024 22:05:54\",\"status\":\"IKE_STATUS_UP\",\"reason\":\"\"},{\"time\":\"17-Jan-2024 22:05:54\",\"status\":\"IKE_STATUS_NEGO\",\"reason\":\"\"},{\"time\":\"17-Jan-2024 22:05:53\",\"status\":\"IKE_STATUS_DOWN\",\"reason\":\"IKE SA timer expired\"},{\"time\":\"17-Jan-2024 18:29:54\",\"status\":\"IKE_STATUS_UP\",\"reason\":\"\"},{\"time\":\"17-Jan-2024 18:29:54\",\"status\":\"IKE_STATUS_NEGO\",\"reason\":\"\"}],\"Enabled\":true,\"id\":\"********-****-****-****-************\",\"HA_Status\":\"Active\",\"Session_Refcount\":1,\"Compliance_Suite\":\"NONE\",\"Session_Down_Reason\":\"\",\"Type\":\"POLICY_BASED_SESSION\",\"Peer_Endpoint_Profile\":{\"Peer_ID\":\"192.168.1.45\",\"DPD_Profile\":{\"Enabled\":true,\"DPD_Probe_Mode\":\"Periodic\",\"id\":\"********-****-****-****-************\",\"Retry_Count\":10,\"DPD_Probe_Interval\":60},\"id\":\"********-****-****-****-************\",\"Peer_Address\":\"192.168.1.45\",\"Auth_Mode\":\"AUTH_MODE_PSK\",\"IKE_Profile\":{\"Encryption Algorithm\":[\"CRYPT_AES_128_CBC\"],\"IKE_Version\":\"IKE_V2\",\"id\":\"********-****-****-****-************\",\"HMAC_Algorithm\":[\"MAC_HMAC_SHA256\"],\"DH_Group\":[\"DH_GROUP_14\"],\"SA_Expiry_Time\":86400},\"IKE_Role\":\"IKE_ROLE_INITIATOR\",\"Peer_Type\":\"IPSEC_IP_ADDR_TYPE\",\"IPSec_Tunnel_Profile\":{\"Encryption Algorithm\":[\"CRYPT_AES_256_CBC\"],\"DF_Policy\":\"DF_COPY\",\"id\":
 

  • 履歴を見ると、VPN セッションのダウン状態の理由として IKE SA タイマーの期限切れが示されています。

NSXT_EdgeNode_/edge/vpn-session
[
    {
        "History":[
            {
                "time": "23-Jan-2024 22:38:31",
                "status": "IKE_STATUS_NEGO",
                "reason": ""
            },
            {
                "time": "23-Jan-2024 22:38:25",
                "status": "IKE_STATUS_DOWN",
                "reason": "IKE SA timer expired"
            },
            {
                "time": "17-Jan-2024 22:11:15",
                "status": "IKE_STATUS_UP",
                "reason": ""
            },
            {
                "time": "17-Jan-2024 22:11:15",
                "status": "IKE_STATUS_NEGO",
                "reason": ""
            },
            {
                "time": "17-Jan-2024 22:11:15",
                "status": "IKE_STATUS_DOWN",
                "reason": "Peer not responding"
            },
            {
                "time": "17-Jan-2024 22:05:54",
                "status": "IKE_STATUS_UP",
                "reason": ""
            },
            {
                "time": "17-Jan-2024 22:05:54",
                "status": "IKE_STATUS_NEGO",
                "reason": ""
            },
            {
                "time": "17-Jan-2024 22:05:53",
                "status": "IKE_STATUS_DOWN",
                "reason": "IKE SA timer expired"
            },
            {
                "time": "17-Jan-2024 18:29:54",
                "status": "IKE_STATUS_UP",
                "reason": ""
            },
            {
                "time": "17-Jan-2024 18:29:54",
                "status": "IKE_STATUS_NEGO",
                "reason": ""
            }
        ],
        "Enabled": true,
        "id": "********-****-****-****-************",
        "HA_Status": "Active",
        "Session_Refcount": 1,
        "Compliance_Suite": "NONE",
        "Session_Down_Reason": "",
        "Type": "POLICY_BASED_SESSION",
        "Peer_Endpoint_Profile": {
            "Peer_ID": "***.***.***.***", <===Juniper Endpoint
            "DPD_Profile": {
                "Enabled": true,
                "DPD_Probe_Mode": "Periodic",
                "id": "********-****-****-****-************",
                "Retry_Count": 10,
                "DPD_Probe_Interval": 60

Environment

VMware NSX 4.x
VMware NSX-T Data Center 3.x

Cause

Juniper のドキュメントによると、IKEv2 を使用したポリシーベース VPN はサポートされていません。

複数のリモートサイト間でVPNを構成する場合は、ルートベースVPNの使用をお勧めします。ルートベースVPNは、ポリシーベースVPNと同じ機能を提供できます。

IPsec VPN ユーザーガイドの
制限事項:

  • ポリシーベースの IPSec VPN は IKEv2 ではサポートされません。

Policy-Based IPsec VPNs

Resolution

IKEv1 に切り替えると問題は解決します。

Powered by Wolken Software