FortiGate IPsec VPN Tüneli Kurulmuyor: Phase 1, Phase 2 ve IKE Debug
Site-to-site IPsec VPN kurulmadığında önce hangi aşamanın başarısız olduğunu ayırın. IKE SA kurulmamışsa peer erişimi ve Phase 1 parametrelerine bakın. IKE SA var ama IPsec SA yoksa Phase 2 seçicilerine geçin. Her iki SA da kurulmuşsa veri yolunu inceleyin. Bu rehber FortiOS 7.2 ve üzerini ele alır. IP adresleri ve tünel adı temsilidir.
1. Doğru tüneli ve rotayı bulun
Örnek senaryoda VPN-MERKEZ tüneli üzerinden 10.40.20.15 adresindeki sunucuya erişilmesi bekleniyor. Uzak VPN eşinin WAN adresi 203.0.113.25. Komutları VPN’in bulunduğu VDOM’da çalıştırın.
get router info routing-table details 10.40.20.15
get vpn ipsec tunnel summaryHedefe seçilen çıkışı kontrol edin. Beklenen tünel yerine WAN ya da blackhole rota görünüyorsa tünelin durumuyla birlikte rota seçimini inceleyin. Özet çıktısında selectors(total,up) değeri 2/1 ise iki seçiciden yalnızca biri aktif. Sorunlu ağ çiftini belirlemeden genel tünel durumuna göre karar vermeyin.
2. Phase 1 kuruluyor mu?
diagnose vpn ike gateway list name VPN-MERKEZDurum connecting olarak kalıyorsa ilk adımda ulaşımı sınayın. WAN tarafında UDP 500 ve 4500 trafiğini iki yönde arayın. UDP 4500, NAT-T devrede olduğunda özellikle önemlidir.
diagnose sniffer packet any 'host 203.0.113.25 and udp and (port 500 or port 4500)' 4 20 lYerel istek çıkıyor ama yanıt görünmüyorsa uzak uç, ara güvenlik duvarı ve NAT yolunu kontrol edin. İki yönde paket varsa IKE sürümü, kimlik doğrulama, peer ID ve Phase 1 tekliflerini iki uçta karşılaştırın. Yakalamayı erken durdurmak için Ctrl+C kullanın.
3. IKE debug ile müzakereyi okuyun
Aşağıdaki filtre yeni CLI sözdizimini kullanır. Eski 7.2 sürümlerinde log-filter ve dst-addr4 biçimi görülebilir. Kendi sürümünüzde ? yardımıyla doğrulayın. Debug başlatmadan önce cihazda başka bir teşhis oturumu çalışmadığını kontrol edin. Sadece hedef peer’i filtreleyin ve tek bir bağlantı denemesi alın.
diagnose vpn ike log filter clear
diagnose vpn ike log filter rem-addr4 203.0.113.25
diagnose debug console timestamp enable
diagnose debug application ike -1
diagnose debug enableTekrarlanan isteklerde karşı uçtan cevap yoksa önce paket yakalamayla taşıma yoluna dönün. Teklif uyuşmazlığı varsa logun hangi müzakere aşamasında geldiğine bakıp ilgili algoritma ve DH/PFS ayarlarını karşılaştırın. Kimlik doğrulama hatasında PSK, sertifika veya peer ID’yi tasarıma göre kontrol edin. Çıktıyı paylaşmadan önce hassas bilgileri maskeleyin.
diagnose debug disable
diagnose debug reset
diagnose vpn ike log filter clear4. Phase 2 ve veri yolunu ayırın
diagnose vpn tunnel list name VPN-MERKEZİlgili seçicide yerel ve uzak ağ çiftini, karşı uçtaki ters yönlü tanımla karşılaştırın. sa=0 görürseniz önce seçiciye uyan trafik üretin. Ardından Phase 2 tekliflerini ve PFS ayarını karşılaştırın. Bir SA görünüyorsa test öncesi ve sonrası şifreleme ve çözme sayaçlarını iki uçta okuyun. Tek yönlü artış, paketin hangi aşamaya kadar ulaştığını daraltmanıza yardımcı olur.
Her iki SA da kurulmuşsa IPsec tüneli UP ama trafik geçmiyor rehberindeki rota, politika ve dönüş yolu kontrollerine geçin.