linux - Cisco ASA与Linux IPSec(racoon)之间的IPSec隧道停止工作

我有一个vpn集中器vm，它使用ipsec工具0.7.3运行linux 2.6.18（rhelversion2.6.18-274.12.1.el5）。
我和各种集中器有很多联系，但有一个一直在我身上。遥控器是Cisco ASA。
第一阶段和第二阶段出现正确，一切似乎都很顺利，但突然遥控器停止响应。我可以看到ipsec数据包输出，但没有响应返回。在那之前dpd似乎一直运行良好（我看到每10秒发送一次数据包）。这种情况也不是经常发生，有时会持续很长时间。
在遥控器上，隧道在那一点上不再是活动的，但是浣熊仍然认为它的第1阶段+第2阶段正在进行。有没有什么信息是ASA发送给浣熊忽略的？
我也不明白的是，dpd逻辑并没有破坏连接。
这是我的racoon.conf：

remote x.x.x.x {
                            exchange_mode main;
                            lifetime time 8 hours;
                            dpd_delay 10;

                            proposal {
                                    authentication_method pre_shared_key;
                                    encryption_algorithm aes 256;
                                    hash_algorithm sha1;
                                    dh_group 2;
                            }
                            proposal_check obey;
            }
sainfo subnet y.y.y.y/32[0] any subnet z.z.z.0/26 any {
                            pfs_group 2;
                            lifetime time 1 hour;
                            encryption_algorithm aes 256;
                            authentication_algorithm hmac_sha1;
                            compression_algorithm deflate;
                    }

最佳答案

有人问起这个问题已经有一段时间了，但是您可以尝试更新版本的ipsec工具。在较新的版本中有许多协议互操作修复程序。另外，仔细检查您的参数是否与ASA匹配，特别是有关各种生存期设置的参数。在浣熊的“远程”部分，我也用“rekey force”取得了很好的成功。以下是我用于与asas互操作的相关配置部分：

remote w.x.y.z
{
    exchange_mode main;
    lifetime time 28800 seconds;
    proposal_check obey;
    rekey force;
    proposal {
     encryption_algorithm aes 256;
     hash_algorithm sha1;
     authentication_method pre_shared_key;
     dh_group 2;
    }
}

sainfo subnet a.b.c.d/n any subnet e.f.g.h/n any
{
    lifetime time 1 hour ;
    encryption_algorithm aes 256;
    authentication_algorithm hmac_sha1;
    compression_algorithm deflate ;
}

关于linux - Cisco ASA与Linux IPSec(racoon)之间的IPSec隧道停止工作，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/19587019/