Dovresti rivedere queste correzioni consigliate se l’errore di risoluzione dei problemi di Cisco nhrp sta procedendo sul tuo computer.
Approvato: Fortect
Presentazione
Questo documento contiene le soluzioni più comuni quando hai bisogno di problemi con Dynamic Multipoint VPN (DMVPN). Molte della maggior parte delle soluzioni possono essere prese prima di qualsiasi approfondita risoluzione dei problemi di connettività DMVPN. Si consiglia di utilizzare questo documento come un elenco di controllo delle pratiche comuni per provare a iniziare la risoluzione dei problemi basata sulla connettività e chiamare il supporto tecnico Cisco.
Se hai bisogno di un’istanza della configurazione del documento riguardo a DMVPN, vedi gli esempi di configurazione DMVPN e le eventuali note.
Nota. Vedere la sezione “Risoluzione dei problemi IPsec – Comprensione e utilizzo dei comandi di debug” per una spiegazione dettagliata di questi comandi di debug comuni utilizzati per risolvere i problemi relativi a IPsec.
Requisiti
Requisiti
Cisco consiglia di avere esperienza pratica con la configurazione di dmvpn sui router Cisco IOS ® .
Componenti utilizzati
Informazione
Questo documento si basa sulle seguenti opzioni desktop e versioni hardware:
Cisco IOS
Informazione
I dispositivi descritti in questo documento sono stati creati in condizioni di laboratorio eccezionali. Tutti i dispositivi utilizzati in questo documento sono stati avviati con una configurazione funzionale remota (standard). Se soffri di una rete nella tua rete, assicurati di comprendere effettivamente le possibili implicazioni dell’ordine.
Convenzioni
Per ulteriori informazioni sempre sulle convenzioni sui documenti, vedere Convenzioni sui suggerimenti tecnici Cisco.
La configurazione DMVPN funziona, non funziona
Problema
Soluzioni
Queste soluzioni (in un particolare comando) possono essere utilizzate come una lista di controllo personalizzata dietro gli elementi da considerare o utilizzare prima di immergersi nel processo di risoluzione dei problemi:
-
Problemi generali
-
ConvincereVedi i pacchetti ISAKMP bloccati dal tuo ISP
-
Assicurati che GRE funzioni correttamente tramite un tunnel non protetto
-
NHRP commette errori
-
Assicurati che i mondi siano impostati bene
-
Fai in modo che tutto il traffico vada in un unico annuncio
-
Assicurati che sia disponibile un nuovo protocollo di routing vicino
Sincronizza tutti i timestamp tra gli hub oltre a Spoke
Abilita il debugging msec e segnala un timbro casuale:
Router (config) #service timestamps Debug datetime msec
Come risponde l’hub a una particolare richiesta NhRP?
L’hub accetta le richieste di registrazione NHRP oltre a inviare anche una risposta di registrazione NHRP come all’interno di come il problema conferma che lo spoke che ha un tunnel valido e informazioni di contatto multiporta non trasmesse (NBMA). Il raggio riceve questa risposta di registrazione NHRP, che completa il processo di registrazione.
Router ( config) #service timestamps log datetime business
Chi sono gli autori di un particolare documento NhRP?
Disclaimer NHRP (di nuovo!): questo contenuto è stato creato in modo errato da – Alex Honoré, Graham Barlet, Raffaele Brancaleoni di Cisco. Introduzione. Questo documento ha lo scopo di mostrarti come risolvere i problemi della tua configurazione DMVPN. Verrebbero discusse anche le responsabilità delle varie componenti, ma non i dettagli interni.
Abilita il timestamp del prompt di Terminal Exec per le sessioni di debug:
Cosa fa il prossimo Bounce Resolution Protocol (NhRP)?
Il Next Hop Resolution Protocol (NHRP) viene utilizzato per cercare in genere gli indirizzi di altri router e la rete collegata ai router che sono collegati a una rete NBMA (non Broadcast Abbondanza di accesso).
Router # Terminal Exec quick timestamp
Nota. In questo modo, la tua azienda può probabilmente collegare facilmente il debug alla fornitura del nuovo output del comando show.
Name = “common”> Problemi comuni
Verifica connessione di base
Eseguire il ping del principale ai reparti con indirizzi di ritorno NBMA.
Questi ping devono passare direttamente attraverso l’interfaccia fisica fisica, non a causa di un tunnel DMVPN. Si spera che nessun firewall mantenga i pacchetti ping. Se non funziona, controlla il routing e i firewall tra l’hub e tutto il router vocale.
traceroute per controllare il percorso durante il quale i pacchetti criptati del tunnel sembrano viaggiare.
- Debug-IP-ICMP
- eseguire il debug del pacchetto del protocollo Internet
Nota. Il comando del pacchetto del protocollo Internet debug produce molto output e consuma risorse di sistema eccessive. È consigliabile utilizzare questo comando con cautela nei frame di supporto della produzione. Utilizzare sempre con il comando access-list.
Nota. Per ulteriori informazioni sull’utilizzo di un elenco di visualizzazione con un pacchetto IP di debug, vedere Risoluzione dei problemi relativi agli indirizzi IP dell’elenco di accesso.
Verifica criterio ISAKMP incompatibile
Se le direttive ISAKMP ottimizzate non corrispondono alla nostra direttiva del terminale remoto previsto, il modem proverà alla direttiva standard 65535. Se anche questo non è significativo, la negoziazione ISAKMP viene interrotta.
La richiesta Show crypto isakmp sa dice a ISAKMP SA di avviare MM_NO_STATE, quale metodo ha avuto un errore nella modalità principale.
Controlla il segreto condiviso completo
Se i segreti precedentemente fino a quando non corrispondono su entrambi i lati, in genere l’affare fallisce.
Controlla altrove la fantastica suite IPsec incompatibile
Se il set di trasformazioni IPsec è solitamente incompatibile o semplicemente non è lo stesso sui due dispositivi IPsec, la contrattazione IPsec fallirà.
The Hub restituisce la lezione Attacchi non consentiti per la nostra offerta IPsec.
Verifica se i pacchetti ISAKMP sono realmente bloccati dall’ISP
Qual è il corretto voce per la mappatura multicast NhRP dinamica?
Un esempio di configurazione con una voce eccellente specificatamente corretta per i multicast dinamici di nhrp: Interface Tunnel0 indirizzo IP 10.0.0.1 255.255.255.0 indirizzo protocollo internet mtu 1400 no internet next-hop-self eigrp 10 indirizzo protocollo internet nhrp verifica test ip scheda nhrp multicast dinamico sul protocollo web nhrp – ID di rete 10 Nessun protocollo Internet Split-Horizon Eigrp 10 Gre Modalità di tunneling multipunto! —! — Uscita disabilitata! —
Router # show televisivo crypto isakmp saCrittografia IPv4 ISAKMP SASrc Dst rivendica lo stato della posizione conn-id172.17.0.1 172.16.1.1 MM_NO_STATE 0 0 ATTIVO172.17.0.1 172.16.1.1 MM_NO_STATE 0 0 ATTIVO (cancellato)172.17.0. ci sono solo cinque 172.16.1.1 MM_NO_STATE 0 ATTIVO172.17.0. 5 172.16.1.1 MM_NO_STATE 0 4 ATTIVO (cancellato)
Dai anche un’occhiata a Debug Crypto isakmp per individuare se il router sta inviando una fornitura UDP-500:
Router # esegue il debug di crypto isakmp
Fortect è lo strumento di riparazione PC più popolare ed efficace al mondo. Milioni di persone si affidano a milioni di persone per mantenere i loro sistemi in esecuzione veloci, fluidi e privi di errori. Grazie alla sua semplice interfaccia utente e al potente motore di scansione, Fortect trova e risolve rapidamente un'ampia gamma di problemi di Windows, dall'instabilità del sistema e problemi di sicurezza alla gestione della memoria e ai colli di bottiglia delle prestazioni.Approvato: Fortect
04: 14: 44.450: ISAKMP: (0): stato indesiderato = IKE_READY Nuovo stato = IKE_I_MM104: 14: 44.450: Avvia isakmp: (0): passa alla modalità principale04: 14: 44.450: ISAKMP: (0): Invia effettivamente nel pacchetto 172.17.0.1 my_port 500 peer_port poche centinaia (I) MM_NO_STATE04: 14: 44.450: ISAKMP: (0): Invia pacchetto IPv4 ike.04: 14: 54.450: ISAKMP: (0): Fase 1 ritrasmessa MM_NO_STATE ...04: 14: 54.450: ISAKMP (0: 0): Aumenta il contatore di corruzione a sa, Esperimento 1 Idee: Fase un'intera staffetta04: 14: 54.450: ISAKMP: (0): fase di ritorno MM_NO_STATE04: 14: 54.450: ISAKMP: (0): invia a due 172.17.0.1 my_port 550 peer_port 500 (I) MM_NO_STATE04: 14: 54.450: ISAKMP: (0): Invia pacchetto IPv4 ike.04: 15: 04.450: ISAKMP: (0): 2 fase di ritrasmissione MM_NO_STATE ...04: 15: 04.450: ISAKMP: (0): Fase 1 ritrasmessa MM_NO_STATE ...04: 15: 04.450: ISAKMP (0: 0): Aumenta contatore errori per sa, Inizio 2 di sei: Reinvia 104:15:04 fase.450: ISAKMP: (0): fase di ritrasmissione MM_NO_STATE
L’output di debug precedente mostra che il router vocale invia un pacchetto UDP-500 ogni dieci bit minimi.
Verifica con tutto il tuo ISP che il router finale sia immediatamente collegato al router fornitoVerifica l’orario del tuo servizio Internet per assicurarti che consenta il traffico UDP-Five.
Dopo che questo provider ha accettato UDP 500, aggiungere l’output interno dell’ACL alla GUI. Questa è la fonte del tubo per il supporto udp 500 per l’accesso al router dei client udp 500 con garanzia estesa. Usa ora questo comando show access-list per mostrare anal
Accelera ora le prestazioni del tuo computer con questo semplice download.
