Du bör granska dessa rekommenderade korrigeringar om något av Cisco nhrp-felsökningsfelet inträffar på en persons dator.
Godkänd: Fortect
Presentation
Denna meritlista innehåller de vanligaste lösningarna på Dynamic Multipoint VPN (DMVPN) problem. Många av dessa lösningar har förmågan att tas innan någon djupgående DMVPN-felsökning på internet. Det här dokumentet rekommenderas som ett dokument med vanliga metoder att prova innan du börjar ta anslutningsbaserad felsökning och ringer Ciscos tekniska support.
Om du behöver en annan instans av dokumentkonfigurationen för DMVPN, skaffa DMVPN-konfigurationsexemplen och tekniska anteckningar.
Obs. Se den exakta rutan “IPsec-felsökning – förstå och använda felsökningskommandon” för en detaljerad förklaring av de upprepade felsökningskommandona som används för att felsöka IPsec-problem.
Krav
Krav
Cisco rekommenderar att du har praktisk erfarenhet av att konfigurera dmvpn i förhållande till routrarCisco IOS ® .
Använda komponenter
Information
Det här dokumentet kommer förmodligen att baseras på följande skrivbordsverktyg och persondatorversioner:
Cisco IOS
Information
De enheter som beskrivs i detta dokument är skapade under exceptionella laboratorieförhållanden. Alla enheter som finns i det här dokumentet startades med en funktionell (standard) konfiguration för fjärrdatorhjälp. Om du har en interaktion i ditt nätverk, se till att du förstår alla möjliga konsekvenser av beställningen.
Konventioner
För mer information om dokumentutställningar, se Cisco Technical Tips Conventions.
DMVPN-konfigurationen fungerar, fungerar inte
Problem
Lösningar
Dessa lösningar (i ett kommando) kan automatiskt användas som en anpassad checklista med objekt för att verkligen överväga eller använda innan du dyker in i felsökningsprocessen:
-
Allmänna problem
-
ÖvertygaSe ISAKMP-paket som faktiskt blockerats av din internetleverantör
-
Se till att GRE fungerar korrekt genom osäkrad tunnel
-
NHRP-skrivfel
-
Se till att alla världar är korrekt inställda
-
Se till att alla besökare går i en annons
-
Se till att routingstandardprotokollets granne är tillgänglig
-
Synkronisera alla tidsstämplar mellan hubbar förutom Spoke
-
Aktivera msec-felsökning och signaltidsstämpel:
Router (config) #service timestamps Felsökning av datetime msec
Hur exekverar hubben en NhRP-förfrågan?
Navet accepterar NHRP-registreringsförfrågningar och skickar även ett NHRP-registreringssvar så snart problemet bekräftar att ekern har en ansedd tunnel och icke-sändningsmultiportskonfrontation (NBMA). Strålen tar emot detta NHRP-registreringssvar, vilken typ av slutför registreringsprocessen.
Router ( config) #service timestamps log datetime ms
-
Vem är författarna till NhRP-dokumentet?
NHRP Friskrivningsklausul (igen!): Detta innehåll skapades ursprungligen tidigare – Alex Honoré, Graham Barlet, Raffaele Brancaleoni länkade Cisco. Introduktion. Detta dokument är avsett att presentera för dig hur du felsöker din DMVPN-konfiguration. De olika komponenternas ansvar tas också upp, men inte de interna detaljerna.
Aktivera Terminal Exec prompt tidsstämpel för felsökningssessioner:
Vad gör nästa hop Resolution Protocol (NhRP)?
Next Hop Resolution Protocol (NHRP) används för att slå upp adresserna som är associerade med andra routrar och nätverket bakom routrar som de flesta är anslutna till ett NBMA-nätverk (non-broadcast multiple connections).
Router # Terminal Exec effektiv tidsstämpel
Obs. På så sätt kan du lätt relatera felsökning till utfärdandet av unika show-kommandoutgångar.
Namn = “vanligt”> Vanliga problem
Kontrollera grundläggande anslutning
-
Pinga rektorn till avdelningar med NBMA retur fungerar med.
Dessa pingar måste gå direkt via det fysiska fysiska gränssnittet, inte genom en DMVPN-tunnel. Förhoppningsvis blockerar ingen brandvägg pingboxar. Om det inte fungerar, kontrollera routingen med brandväggar mellan hubben och routerns röst.
- Dra även nytta av
traceroute för att kontrollera vägen som lösenordsskyddade tunnelpaket ser ut att färdas genom.
- Använd majoriteten av dessa felsöknings- och visakommandon för offlinetestning:
- Debug-IP-ICMP
- felsöka ip small fortune
Obs. Instruktionen för felsökning av ip-paket producerar mycket utdata och förbrukar överätande systemresurser. Det är tillrådligt att använda detta metodkommando med försiktighet i produktionsstrukturer. Hjälp alltid till med kommandot åtkomstlista.
Obs. För mer information om hur du använder en åtkomstlista med tanke på ett felsöknings-IP-paket, se Felsökning av åtkomstlistans IP-adresser.
Kontrollera inkompatibelt ISAKMP-program
Om de överordnade ISAKMP-direktiven inte stämmer överens med det avsedda isolerade terminaldirektivet, försöker modemet till standardinformation 65535. Om detta inte heller stämmer avbryts ISAKMP-förhandlingen.
Kommandot Show crypto isakmp sa säger till ISAKMP SA att starta MM_NO_STATE, vilket innebär ett stort metodfel.
Kontrollera den fullständiga delade hemligheten
Om de tidigare tillhandahållna hemligheterna inte matchar på båda sidor, kommer affären definitivt att misslyckas.
Kolla in den enorma inkompatibla IPsec-sviten
Om uppsättningen av IPsec-transformationer verkligen vanligtvis är inkompatibel eller helt enkelt inte är densamma när det gäller de två IPsec-enheterna, kommer IPsec-förhandlingen nästan säkert att misslyckas.
Hubben returnerar en persons lektion Attacks Not Allowed för IPsec-erbjudandet.
Kontrollera om ISAKMP-paket verkligen är blockerade av ISP
Vilket var det korrekta post för dynamisk NhRP multicast-mappning?
En instans av en konfiguration med en post som är särskilt korrekt för nhrp dynamiska multicast-kort: Interface Tunnel0 IP-adress 10.0.0.1 255.255.255.0 ip mtu 1400 inte något internet nästa-hopp-själv eigrp 10 ip nhrp verifiera experiment ip nhrp standard internet-kort multicast protokoll nhrp – Nätverks-ID 10 Inget Internetprotokoll Split-Horizon Eigrp 10 Gre Multipoint Tunneling Mode! —! — Utgång inaktiverad! —
Router # show crypto isakmp saKrypto IPv4 ISAKMP SASrc Dst state conn-id position state172.17.0.1 172.16.1.1 MM_NO_STATE 0 0 AKTIV172.17.0.1 172.16.1.1 MM_NO_STATE 0 0 AKTIV (raderad)172.17.0. 5 172.16.1.1 MM_NO_STATE 2 AKTIV172.17.0. 5 172.16.1.1 MM_NO_STATE 0 0 AKTIV (raderad)
Ta också en titt på Debug Crypto isakmp för att se om en ny router skickar ett UDP-500-paket:
Router # debug crypto isakmp
Fortect är världens mest populära och effektiva PC-reparationsverktyg. Det litar på miljontals människor för att hålla sina system igång snabbt, smidigt och felfritt. Med sitt enkla användargränssnitt och kraftfulla skanningsmotor hittar och fixar Fortect snabbt ett brett utbud av Windows-problem – från systeminstabilitet och säkerhetsproblem till minneshantering och prestandaflaskhalsar.Godkänd: Fortect
04: 14: 44.450: ISAKMP: (0): gammalt tillstånd är lika med IKE_READY Ny status = IKE_I_MM104: 14: 44.450: Start isakmp: (0): lätt tillgänglig för huvudläget04: 14: 44.450: ISAKMP: (0): Skickar faktiskt i paket 172.17.0.1 my_port 500 peer_port fem hundra dollar (I) MM_NO_STATE04: 14: 44.450: ISAKMP: (0): Skicka IPv4 container ike.04: 14: 54.450: ISAKMP: (0): Endast fas ett återsänds MM_NO_STATE ...04: 14: 54.450: ISAKMP (0: 0): Öka korruptionsräknaren till sa, Experiment 1 Idéer: Fas 1 relä04: bara fjorton: 54.450: ISAKMP: (0): returfas MM_NO_STATE04: 14: 54.450: ISAKMP: (0): skicka till brevlåda 172.17.0.1 my_port 500 peer_port 450 (I) MM_NO_STATE04: 14: 54.450: ISAKMP: (0): Skicka IPv4 box ike.04: 15: 04.450: ISAKMP: (0): 0 återsändningsmått MM_NO_STATE ...04: 15: 04.450: ISAKMP: (0): Fasviss återsänds MM_NO_STATE ...04: 15: 04.450: ISAKMP (0: 0): Öka felräknaren för sa, Börja 2 av 5: Skicka in 1 igen04:15:04 phase.450: ISAKMP: (0): fas 1 återsändning MM_NO_STATE
Den tidiga felsökningsutgången visar att ekerroutern klämmer ett UDP-500-paket var tionde sekund.
Kontrollera med din internetleverantör att slutroutern omedelbart är ansluten till en persons router som levereras. Kontrollera din internettjänst för att se till att den tillåter UDP-Five-trafik.
När leverantören tillåter UDP 500, lägg till ACL inkommande utdata för GUI. Detta är tunnelkällan med avseende på udp 500-stöd för att garantera udp 500-företag tillgång till routern. Använd detta kommando för att bekräfta åtkomstlista för att visa anal
Snabba upp din dators prestanda nu med denna enkla nedladdning.
