CRYPTO-4-IKMP_NO_SA の発生原因と対処方法

[cja56910tf]

Cisco ASR 1002-X、Cisco899Gで頻繁にではありませんが、CRYPTO-4-IKMP_NO_SA が出力されます。

一旦発生するとしばらくのあいだ出続けますが、しばらくすると止まります。

当該メッセージはどんな場合に発生するのか、コンフィグのどこをチェックしたら良いか、改善方法として実施したもの等がありましたら、何でも良いのでご教授いただけると助かります。

[shimenoy · Accepted solution]

cja56910tf さん、こんにちは :)

CRYPTO-4-IKMP_NO_SA は、SAが存在してないのにipsecのパケットがきたり、
それがpeerを確立するための最初のオファーでもないときに発生する･･･と思います。
(すみません、若干自信ないです)

ひとつ質問させて頂きたいのですが、

そのメッセージは、実際は

%CRYPTO-4-IKMP_NO_SA: IKE message from x.x.x.x has no SA

のように出力されているかと思うのですが、IPアドレス(x.x.x.xの部分)は
vpnの接続先のIPアドレスだったり、管理された・把握しているIPアドレスでしょうか？

[cja56910tf]

shimenoy様

ご連絡(投稿)いただきまして誠にありがとうございます。

「SAが存在してないのにipsecのパケットがきたり、それがpeerを確立するための最初のオファーでもないときに発生する」については全く知らなかったので、大変助かりました。

ご質問いただいている件についてですが、まずメッセージの出力形式は記載していただいている通りです。
次にIPアドレスの部分は管理・把握しているIPアドレスですので、DoS攻撃ではない認識です。

追加の情報等ありましたら、ご連絡いただけると有難いです。

以上、よろしくお願い致します。

[shimenoy]

cja56910tf さん

> 次にIPアドレスの部分は管理・把握しているIPアドレスですので、DoS攻撃ではない認識です。

ということでしたら、改善･･･このメッセージを極力減らす！にあたっては
まずそれぞれの対向との phase1/phase2 のパラメータを比較してみるのが良いかと思います。
（lifetime あたりにズレがあるのではないかな、と予想しています）

★(cisco側の)phase1 の lifetime
crypto isakmp policy (n)
lifetime ～

★(cisco側の)phase2 の lifetime
crypto ipsec security-association lifetime ～

後は keepalive(DPD) を使っていなければ、使うことを検討してみるのも効果的かと思います。

crypto isakmp keepalive ～


もしくは現状特に影響が無いのであれば、そっとしておくのもひとつの手段、でしょうか。

[cja56910tf]

shimenoy様

ご回答ありがとうございます。

ご教授いただいた内容についてですが、まず phase1/phase2 のパラメータは何度も見て一致しているのを確認しています。私も最初はlifetimeを疑ったのですが、こちらはデフォルト値を使っているはずなので、一致していると思っているのですが・・・

※show runではlifetimeに関する表示がされないので、デフォルト値を使っている認識です。

　IPSecVTIを使っているのですが、lifetimeに関するコンフィグは下記ぐらいです。

crypto ipsec profile Sample
 set security-association lifetime seconds 43200

!

次に、DPDも既に使用しており、下記のコマンドを投入しています。
crypto isakmp keepalive 30 periodic

crypto isakmp invalid-spi-recovery
crypto ipsec security-association replay disable
!

ただ、IPSecVTIのTunnel I/Fの中でEIGRPを透過させてネイバーを張っているのですが、show loggingの出力を見ると、先にEIGRPがdownしてから、TunnelがDownするのではなく、TunnelがDownした直後にEIGRPがDownします。（タイマー値としてはEIGRPの方が短いので、先にEIGRPがDownしそうなのですが・・・もしかしてkeepaliveの方だけ落ちてる？)

今回の投稿とは無関係な気もしますが、もしかしたらと思い、記載しました。

ちなみに、clear crypto isakmp sa コマンドを実行すると安定（事象発生しない）しますので、放置＆様子見でも良いのですが、悩ましいところです。

[shimenoy]

cja56910tf さん

念の為、実際の数値を確認するのがベターかと思います。
(疑い深くてすみません)

# show run all
とか、
# show crypto isakmp policy
# show crypto ipsec sa
あたりで見えるかと思います。

43200 だけデフォルトから変更しているようですが、
両端で揃っているなら問題ないかと思います。

また EIGRP の事象については VPN が前提なので、
一旦は切り離して考えてよいかと思いますが、
伺っている限りの情報ですと、そう判断するのは早計かもしれません･･･。

根が深そうな気がしてきましたが、追究するならば、
可能であれば両端で isakmp および ipsec でdebug かけるのが近道かなと思います。

あまりお役に立てておらず、すみません :'(

[cja56910tf]

shimenoy様

ご回答ありがとうございます。

ご指摘はごもっとものことですので、ご教授いただいたコマンドで確認しました。

が・・・、やはりパラメータは一致しておりました。

debugは実施したいところなのですが、実運用（サービスイン）してしまっているのと、いつ発生するか分からないので、debugを仕掛けたままの運用になるのは避けたいので難しいです。

網内輻輳・遅延による破棄の線も残っているので、そちらも調査したいと思います。

（必要に応じてCiscoTACとも連携します)

本件、ご教授・お付き合いいただきましたこと、心より御礼申し上げます。