Cisco ASA IKE接收机:端口500上丢弃的Runt ISAKMP数据包

Question

我有很多ikev1隧道运行在我们的生产思科ASA5585和今天我已经为我们的一个新客户配置了ikev2隧道，我已经开始看到以下错误，不确定是怎么回事。顺便说一句，我们在Cisco ASA上有公共IP地址，在路径上没有任何NAT。

70.xx.xx.220这是远程终端，它是云提供商VPN来访问VPC。

Oct 08 2019 16:31:44 ASA-01 : %ASA-4-713903: IKE Receiver: Runt ISAKMP packet discarded on Port 500 from 70.xx.xx.200:500
Oct 08 2019 16:31:45 ASA-01 : %ASA-4-713903: IKE Receiver: Runt ISAKMP packet discarded on Port 500 from 70.xx.xx.200:500
Oct 08 2019 16:31:45 ASA-01 : %ASA-4-713903: IKE Receiver: Runt ISAKMP packet discarded on Port 500 from 70.xx.xx.200:500
Oct 08 2019 16:31:45 ASA-01 : %ASA-4-713903: IKE Receiver: Runt ISAKMP packet discarded on Port 500 from 70.xx.xx.200:500
Oct 08 2019 16:31:46 ASA-01 : %ASA-4-713903: IKE Receiver: Runt ISAKMP packet discarded on Port 500 from 70.xx.xx.200:500
Oct 08 2019 16:31:47 ASA-01 : %ASA-4-713903: IKE Receiver: Runt ISAKMP packet discarded on Port 500 from 70.xx.xx.200:500

Answer 1

这就是我所发现的，我们在这个远程对等IP地址上丢失了很多数据包，导致isakmp不能正确地形成SA (它可以是任何变量)，但是当我在云上创建新的VPN网关时，使用相同的配置，它可以工作，我们在那个新网关上没有丢包。

ASA# show crypto isakmp sa
..
..
IKEv2 SAs:

Session-id:21, Status:UP-ACTIVE, IKE count:1, CHILD count:2

Tunnel-id                                         Local                                        Remote     Status         Role
288826595                           74.xx.xx.10/4500                           70.xx.xx.220/4500      READY    RESPONDER
      Encr: AES-CBC, keysize: 128, Hash: MD596, DH Grp:1, Auth sign: PSK, Auth verify: PSK
      Life/Active Time: 86400/861 sec
Child sa: local selector  10.0.0.0/0 - 10.63.255.255/65535
          remote selector 10.20.1.0/0 - 10.200.1.255/65535
          ESP spi in/out: 0x9a93fe79/0xedd4ddbd
Child sa: local selector  10.0.0.0/0 - 10.63.255.255/65535
          remote selector 10.20.2.0/0 - 10.200.2.255/65535
          ESP spi in/out: 0x6e2b9547/0xdde82764

Answer 2

我在这里猜一下。

ASA-4-713903:是VPN的对等行为。在描述上有跟踪记录。

在您的情况下，您将看到与对等方相关的由于数据包大小而丢弃的信息。我相信这是一场Ikev2围棋比赛。

看来，您的隧道结束与隧道的末端不匹配，以保持数据包的存活。Keepalives只会像ping一样是头，并且缺少数据部分，因此它们不会是以太网Runt，但它们将是Runt ISAKMP。

这似乎是合理的，因为您有大量的工作Ikev1，但在您的第一个Ikev2，您开始看到这个问题。因此，您可能有不同的处理方式。因此，VPC将有一个保持活力，因为它必须知道隧道已下降到故障转移等。