【SSL】ipsec vpn建立失败，vpntun口地址配置错误导致

更新时间：2019-03-23

所属模块 IPSEC | SANGFOR VPN

适用版本通用

ssl设备与第三方华为防火墙做标准ipsec vpn对接，ipsec vpn对接失败，日志提示：和网关的第一阶段SA 协商失败,连接建立失败.（本案例为内部实验环境）

1、检查两端配置的协商参数，参数一致

2、在ssl vpn的页面控制台，route -nn 查看对端用于ipsec协商的ip地址的路由指向vpntun口

ssl vpn设备的vpntun口配置成一个对端用于ipsec协商的ip地址，导致设备后台生成一条目的ip为对端用于ipsec的ip的直连路由指向设备的vpntun口，从而ipsec协商包走vpntun口，因此ipsec协商失败

修改设备vpntun口的ip地址为使用自动分配的VPN接口IP,点击确定（注意确定保存配置会重启IPSEC VPN服务）

低版本的设备可以使用网关升级工具查看路由

网关升级工具的下载地址如下

http://download.sangfor.com.cn/download/product/tools/某公司_Updater6.1.zip

网关升级工具基本使用教程如下

http://bbs.sangfor.com.cn/plugin.php?id=sangfor_databases:index&mod=viewdatabase&tid=7669

使用网关升级工具查看路由表操作如下

{{contentObj.name||'--'}}