我正在两个站点之间配置 VPN 连接。站点 A 有一个 ASA (9.8.2)，另一个站点有一个 ISR 2911（我认为是 15.4 - 我必须仔细检查）。我将 VTI 用于路由 VPN。隧道两侧向上/向上。
从站点 B 的角度来看，当我尝试从一个隧道接口 ping 到另一个隧道接口时，我看到了解码和解密。但是，没有其他方式的封装/加密。甚至当我尝试从站点 B ping 到站点 A 时也不行。
Site B的配置如下：
crypto ipsec security-association replay window-size 128
crypto ipsec fragmentation before-encryption
crypto ipsec df-bit clear
! Note: Use IKEv2 Smart Defaults for proposal
! Note: Use IKEv2 Smart Defaults for policy
crypto ikev2 keyring myV1-keyring
peer remote-peer
address 190.191.192.193
identity address 190.191.192.193
pre-shared-key local sideb-psk
pre-shared-key remote sidea-psk
crypto ikev2 profile sideb-ikev2
match identity remote address 190.191.192.193 255.255.255.255
ivrf employeeVrf
authentication local pre-share
authentication remote pre-share
dpd 1000 60 periodic
identity local address 100.101.102.103
keyring local myV1-keyring
! Note: Use default lifetime settings
crypto ipsec transform-set my-tansform esp-aes 256 esp-sha512-hmac
mode tunnel
crypto ipsec profile sideb-ipsec
set pfs group5
set transform-set my-tansform
set ikev2-profile sideb-ikev2
interface tunnel 0
ip vrf forwarding employeeVrf
ip address 10.10.10.3 255.255.255.248
tunnel mode ipsec ipv4
tunnel source GigabitEthernet0/0
tunnel destination 190.191.192.193
tunnel protection ipsec profile sideb-ipsec
我没有包括站点 A，因为此时它似乎无关紧要。隧道在站点 A 启动/启动，它正在封装要在远程端（站点 B）解封装的数据包。无论站点 A 是否能够解封装，站点 B 的数据包封装都应该发生，但事实并非如此。因此，我的结论是我可以忽略站点 A，至少在我看到站点 B 发生封装之前。
注意：ivrf 是employeeVrf，而fvrf 是默认/全局。
随着隧道的报告为 up/up...
从站点 A，ping 10.10.10.3 没有回复（100% 丢失） 从站点 B，ping vrf employeeVrf 10.10.10.1 导致没有回复（100% 丢失）
然而，
interface: Tunnel0
Crypto map tag: Tunnel0-head-0, local addr 100.101.102.103
protected vrf: employeeVrf
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
current_peer 190.191.192.193 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 5, #pkts decrypt: 5, #pkts verify: 5
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#pkts no sa (send) 0, #pkts invalid sa (rcv) 0
#pkts encaps failed (send) 0, #pkts decaps failed (rcv) 0
#pkts invalid prot (recv) 0, #pkts verify failed: 0
#pkts invalid identity (recv) 0, #pkts invalid len (rcv) 0
#pkts replay rollover (send): 0, #pkts replay rollover (rcv) 0
##pkts replay failed (rcv): 0
#pkts tagged (send): 0, #pkts untagged (rcv): 0
#pkts not tagged (send): 0, #pkts not untagged (rcv): 0
#pkts internal err (send): 0, #pkts internal err (recv) 0
local crypto endpt.: 100.101.102.103, remote crypto endpt.: 190.191.192.193
plaintext mtu 1422, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet0/0
current outbound spi: 0xD7D32882(3620939906)
PFS (Y/N): N, DH group: none
inbound esp sas:
spi: 0x19478282(424116866)
transform: esp-256-aes esp-sha512-hmac ,
in use settings ={Tunnel, }
conn id: 3893, flow_id: Onboard VPN:1893, sibling_flags 80000040, crypto map: Tunnel0-head-0
sa timing: remaining key lifetime (k/sec): (4292784/3200)
IV size: 16 bytes
replay detection support: Y replay window size: 128
Status: ACTIVE(ACTIVE)
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xD7D32882(3620939906)
transform: esp-256-aes esp-sha512-hmac ,
in use settings ={Tunnel, }
conn id: 3894, flow_id: Onboard VPN:1894, sibling_flags 80000040, crypto map: Tunnel0-head-0
sa timing: remaining key lifetime (k/sec): (4292784/3200)
IV size: 16 bytes
replay detection support: Y replay window size: 128
Status: ACTIVE(ACTIVE)
outbound ah sas:
outbound pcp sas:
请注意，我们看到从站点 A 到站点 B ping 的 5 次去盖和解密。回复或从站点 B 到站点 A 的 ping 没有加密。
注意到“PFS (Y/N): N, DH group: none”也很有趣。我不明白这一点，因为我在我的 ipsec 配置文件中将 PFS 指定为第 5 组。远程端（站点 A）上的 SA 确实按预期报告了 PFS。
非常感谢有关错误配置或解决方案的任何帮助或见解。