1、深信服 IPSEC VPN常见问题排错思路,IPSEC常见问题排查指导,IPSEC常见问题排错指导,1. VPN无法建立连接,3. VPN不稳定，频繁断开,5. 通过VPN访问不到部分服务器,4. 通过VPN访问不到内网资源,2.Webagent无法更新成功,6. 通过VPN访问服务器慢,A、查看系统日志的提示B、检查设备的部署方式和配置；（例如排除VPN两端在同一局域网来连VPN；设备本身被限制无法上网等原因）C、检查VPN连接的配置(webagent、帐号等)；D、测试总部的VPN端口是否能通，总部单臂模式下，如果启用UDP传输，注意前置网络设备要做UDP4009端口的映射；E、检查是否两
2、端VPN设备上是否做了端口全映射或者映射了VPN连接的端口到内网；F、确认两端VPN设备的版本是否匹配G、测试两端VPN设备之间的网络是否可达(ping或收发包测试)；H、尝试修改VPN设备接口的MTU；,故障一 VPN无法建立连接,故障二 Webagent无法更新成功,A、确保VPN总部设备和分支设备均能上外网（设备配置的IP和DNS均正确，能解析到域名和访问公网）。 VPN总部设备需要上网更新webagent地址，而分支设备需要访问webagent地址获得总部VPN设备的公网IP地址。B、某些运营商封堵了80端口的访问，可以尝试把VPN总部webagent更新端口改成8080端口来更新。例
3、如：:8080/ssl/xxx.php 的形式。,故障三 VPN不稳定，频繁断开,A、尝试换传输模式（分支设备的连接管理处修改），看是否修复。B、修改总部VPN连接的端口，改成常用的低端口，如81等，避免运营商对高端口做了限制。C、如果有设置VPN的多线路策略，修改多线路策略看是否稳定D、反向连接，把原来的VPN分支端和总部端配置互换，改成由另一端发起连接，看是否稳定。,A、从最靠近内网资源的VPN设备上测试能否访问内网资源；（通过网关升级客户端登录到VPN设备上进行PING测试）B、PING对端设备的LAN口地址看是否能ping通C、检查配置(内网权限、VPN-LAN规则、时间计划)；D、两
4、端都检查路由设置，可以通过 tracert观察数据流走到了哪里，必须确保双向访问均能到达； 检查PC和内网资源服务器上的路由设置，看是否有错误的主机路由。或者把PC和内网资源的网关均指向VPN设备，测试是否能通信。E、关闭内网资源服务器上的杀毒软件和防火墙再测试一下。,故障四 VPN已经建立，但访问不到内网资源,A、检查VPN设备上的配置(内网权限、VPN-LAN规则、查看不能访问的服务器IP是否被设置到了虚拟IP池)；B、检查两端的路由设置，确认数据能到达服务器。 检查PC和服务器上的路由设置，看是否有错误的主机路由。C、把PC和服务器的网关均指向VPN设备，测试是否能通信。D、检查服务器或
5、PC上的杀毒软件和FW是否有限制。,故障五 通过VPN某些服务器不能访问，某些可以,A、ping对端VPN设备的公网IP和内网主机IP，比较延时 。(可ping大包测试)B、如果ping对端VPN设备公网IP的延时小于内网主机IP的延时，则修改传输模式看是否修复。C、修改VPN连接端口，修改成常用的端口，例如81等，避免公网运营商对高端口进行流控限制。D、检查VPN设备出口流量是否较大；在带宽有限的情况下，如果公网流量较大，也会导致VPN数据传输较慢的情况。E、检查内网通讯是否正常(内网是否有arp欺骗，电脑中病毒的情况)F、判断VPN设备是否性能不足(看CPU，内存占用情况等),故障六 觉得
6、VPN慢或VPN隧道内数据传输慢,其他常见问题排查指导,第一种情况：不知道设备的IP地址，登录不了SANGFOR设备的网关控制台。,一、登录不了SANGFOR设备网关控制台,A、PC直接连SANGFOR设备的LAN口，在PC上使用Findme或者网关升级客户端搜索SANGFOR设备的IP，通过搜索到的设备IP登录网关控制台（电脑要配置同网段的IP地址）B、PC配置同SANGFOR设备万能IP同网段的IP，使用万能IP登录设备控制台。 SANFOR AC/SG设备路由模式(网桥和旁路模式下均没有万能IP的说法)的LAN口万能IP为128.127.125.252/28，其他SANGFOR 产品LA
7、N口的万能IP是10.111.222.33/30 如果不确认AC/SG设备的工作模式，可以尝试用PC连接设备的DMZ口，使用DMZ口出厂IP（10.252.252.252/24）登录设备，很多时候客户没有使用DMZ口，故DMZ口的IP有可能还是保留出厂配置。,第一种情况：不知道设备的IP地址，登录不了SANGFOR设备的网关控制台。,一、登录不了SANGFOR设备网关控制台,C、如果使用上述两种方法都登录不了AC/SG的控制台，可以尝试使用交叉线接电口恢复默认配置的方法恢复AC/SG的出厂配置（请谨慎使用此方法，此方法会导致设备原有的配置丢失），恢复出厂配置后，使用出厂IP登录设备的控制台，L
8、AN口IP是10.251.251.251/24，DMZ口IP是10.252.252.252/24。,A、首先确认登录设备控制台的电脑IP是否和设备的IP同网段，如果不在同网段，确认是否路由可达B、如果电脑和设备是同网段或者路由可达的，尝试PING下设备的IP地址，看是否能PING通，如果不能PING通，可以尝试电脑直接接设备的LAN口，配置和设备LAN口同网段IP，看是否可以ping通和登录控制台，排除是否内网原因。 如果电脑直接接设备，PING不通设备的IP，可以尝试电脑换其他同网段的IP地址再试下，有可能是因为电脑的IP被包含在设备设置的虚拟IP池范围内，导致数据包被VPN抓走。,一、登录
9、不了SANGFOR设备网关控制台,第二种情况：确认设备的IP地址是正确的，但是登录不了控制台,C、如果电脑可以PING通设备的IP，但是登录不了控制台，那么从电脑上telnet设备控制台的端口（AC和加速是TCP 443，SSL控制台端口是TCP1000）看是否能通，如果不能通，telnet TCP51111(升级客户端的连接端口)端口看是否能通。 如果电脑接设备的LAN口telnet 设备控制台端口和51111端口均不通，有可能设备上做了错误的全端口映射导致，可以尝试电脑接设备的其他网口，再登录控制台试下，如果可以从其他网口登录设备控制台，检查防火墙端口映射配置，删除错误的全端口映射规则。,
10、一、登录不了SANGFOR设备网关控制台,第二种情况：确认设备的IP地址是正确的，但是登录不了控制台,如果使用SANGFOR设备拨号，发现拨号断的比较频繁，请检查拨号参数设置，ADSL拨号参数推荐设置成20，80，3，光纤拨号参数推荐设置成60，240，9,二、拨号常见问题排查和解决办法,1. 通过SANGFOR设备拨号经常断,2. 通过SANGFOR设备拨不上号，电脑可以拨上,SANGFOR S5100的网口不支持自动翻转，如果客户使用的是不支持线序自动翻转的modem（如华为MT800），并使用直通线连接设备和modem，则会出现设备拨不上号的情况。 解决办法是更换交叉线连接设备和mode
11、m，或者在设备和modem之间加个小交换机。,检查设备连接modem的WAN口（WAN1对应eth2）的MAC地址是否为00-00-00-00-00-00，如果是，重启设备，或者重启网卡，MAC地址仍然是全0的话，则可以认为是硬件故障需要返修。,二、拨号常见问题排查和解决办法,3. 一直处于等待中，无法拨号成功,4. 其他拨号不成功的原因，请详细参照拨号日志提示,1）Authentication failure. PAP authentication failed.PAP用户认证失败，请确保填写的是正确的用户名和密码。2）CHAP authentication failed.CHAP用户认证失
12、败，请确保填写的是正确的用户名和密码。,3） Login incorrect，PAP authentication failed.用户登录失败，不存在此用户，请检查用户名是否输入正确。4）LCP terminated by peer（peer refused to authentication）对端设备终止连接/拒绝连接，请重新拨号或者联系ISP5）No response to 3 echo-requests. Serial link appears to be disconnected.远端服务器没有相应本端的回声请求，线路可能断开，检查线路是否正常6）拨号时出现提示“out of range”之类，很有可能是运营商绑定了拨号设备的MAC地址，此时可以通过换一台PC拨号来证实。这种情况需联系运营商重新绑定SANGFOR设备WAN口的MAC地址7）提示出现 “ppp unit has been used”之类的，可能设备在重复拨号，可以重启下设备再拨号试下,二、拨号常见问题排查和解决办法,
