对非 Meraki 站点到站点 VPN 对等点进行故障排除

思科 Meraki VPN 设置和要求

请参阅以下知识库文章，其中概述了 VPN 概念：IPSec 和 IKE

思科 Meraki 设备对其到非 Meraki 对等点的 VPN 连接有以下要求：

• 预共享密钥（无证书）。
• 局域网静态路由（没有 VPN 接口路由协议）。
• 主模式（不支持攻击性模式）下的 IKEv1（不支持 IKEv2）。
• 通过 UDP 端口 500 和 4500 接入。

以下 IKE 和 Ipsec 参数是 MX 使用的默认设置：

• 第 1 阶段（IKE 策略）：3DES、SHA1、DH 组 2、有效期 8 小时（28800 秒）。

• 第 2 阶段（IPsec 规则）：任意 3DES、DES 或 AES 任意；MD5 或 SHA1；已禁用 PFS；有效期 8 小时（28800 秒）。

建议尽可能将这些设置保留为默认设置。如果远程对等点需要，可以通过实施自定义 Ipsec 策略更改这些参数。

注意：非 Meraki VPN 对等点是组织范围的对等点，因此，将针对组织中的所有此类 MX 设备配置对等点。如果您希望多个 MX 连接到同一个第三方 VPN 对等点，它们将有相同的共享密钥。

使用主互联网上行链路建立非 Meraki VPN 连接。如果主上行链路发生故障，VPN 连接将使用辅助互联网上行链路。请记住，如果发生故障转移，第三方对等点将需要辅助上行链路 IP 地址的相应配置。您可以在配置 > 流量整形 > 上行链路配置下找到主上行链路设置。

为了在不同组织的两个 MX 设备之间建立 VPN，必须使用非 Meraki VPN 对等点连接。请参阅我们的文档，了解更多信息。

使用事件日志进行故障排除

您可以从监控 > 事件日志中查看事件日志。取消选中除 VPN 外的所有事件日志类型，然后点击“搜索”按钮。同时，如果您需要了解问题发生的特定事件，还可以定义特定的时间范围来缩小结果范围。

以下日志条目显示 MX (IP: 1.1.1.1) 和非 Meraki VPN 设备 (IP:2.2.2.2) 之间成功的 VPN 连接：

Jan 1 06:50:05 VPN msg: IPsec-SA established: ESP/Tunnel 1.1.1.1[4500]->2.2.2.2[4500] spi=122738512(0x750d750)
Jan 1 06:50:04 VPN msg: initiate new phase 2 negotiation: 1.1.1.1[4500]<=>2.2.2.2[4500]
Jan 1 06:50:04 VPN msg: ISAKMP-SA established 1.1.1.1[4500]-2.2.2.2[4500] spi:91f7c94b98a41ce8:85abf36d937b096f
Jan 1 06:50:03 VPN msg: initiate new phase 1 negotiation: 1.1.1.1[500]<=>2.2.2.2[500]

查看事件日志，找到表示第 1 阶段或第 2 阶段协商过程中发生故障的条目。以下是第 1 阶段故障日志条目示例：

May 8 07:23:53 VPN msg: failed to get valid proposal.
May 8 07:23:53 VPN msg: no suitable proposal found.
May 8 07:23:43 VPN msg: phase1 negotiation failed.

结论和供应商特定示例

事件日志可用于确定是否成功建立非 Meraki VPN 连接，故障条目有助于快速识别设备之间的哪些设置有可能不匹配。在确保设备之间的设置匹配后，成功协商消息表示已成功建立 VPN 隧道。请参考以下链接，了解供应商特定配置示例：

• 思科 ASA
• • 注意：我们建议运行 ASA 8.3 或更高版本，因为运行早期版本有可能导致隧道过早断开。
• Netgear Prosafe
• Watchguard XTM
• Sonicwall