分支IPsec隧道总是协商失败 AR路由器证书校验这样排查

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

上周有位做连锁门店的客户找到我们，说总部和三家分店的 IPsec 隧道只有一家能起来，另外两家一到协商阶段就断，日志里反反复复都是身份验证不通过。现场一看，两边用的都是 RSA 数字签名证书认证，证书本身也没过期，问题就卡在"证书有效性校验"这一步：总部私网里放着 OCSP 服务器和 CA 服务器，分支根本连不上它们，拿不到验证结果也拿不到最新的 CRL，于是分支认为总部证书无效，协商自然过不去。这类场景在中小企业总部加分支的组网里非常常见，不代表证书坏了，而是校验的路径断了。

证书有效性校验功能只针对 RSA 数字签名证书认证方式生效，并且只对通过基于 ACL 的 IPsec（ISAKMP 方式的 IPsec 策略、策略模板方式的 IPsec 策略）和基于路由的 IPsec（IPsec 安全框架）配置的 IPsec 生效。搞清这一点，再按下面的方式处理。

第一种做法，让分支用对端发来的 OCSP 验证结果来判断。分支连不上总部私网里的 OCSP 服务器时，可以改成通过 IKEv2 协议从总部拿到 OCSP 验证结果，结果为有效就说明证书有效，身份验证通过，隧道继续协商。

system-view

ike peer peer-name

inband ocsp

缺省情况下，未配置本端使用对端发送的OCSP验证结果校验对端证书有效性。

第二种做法，道理一样，只是换成 CRL。分支拿不到 CA 服务器的最新 CRL 时，让它通过 IKEv2 协议从总部获取 CRL，证书不在 CRL 中即为有效。

system-view

ike peer peer-name

inband crl

缺省情况下，未配置本端使用对端发送的CRL校验对端证书有效性。

还有一种情况是对端设备确实无法更新证书，证书已经失效但业务还得跑。这时候可以关闭证书有效性校验功能，但要清楚，不校验证书有效性是存在一定安全隐患的，属于临时过渡手段，不建议长期挂着。关闭可以全局做，也可以只针对单个 IKE 对等体做。

全局关闭：

system-view

ike certificate-check disable

缺省情况下，设备对所有IKE对等体下的证书进行有效性校验。

单个对等体关闭：

system-view

ike peer peer-name

certificate-check disable

缺省情况下，设备对IKE对等体下的证书进行有效性校验。

配置改完之后怎么确认有效？先看协商是否走到身份验证通过这一步，隧道能不能正常建立并保持；再对着分支和总部的配置逐条核对，确认 inband 相关配置落在正确的 IKE 对等体视图下，而不是配到了别的对等体上；如果用的是关闭校验的方案，务必确认只关掉了必要的范围，全局关闭后所有 IKE 对等体的证书都不再校验，这个影响面要提前跟业务方讲清楚。改完建议把改动前后的协商表现记一笔，方便后续回溯。

证书导致的隧道不通，九成不是证书本身的问题，而是校验链路在私网这一侧断了。贵州诚鑫致达科技长期做企业网络与数据中心这块的落地，这类总部加分支的 IPsec 场景踩过的坑不少，需要时可以一起看看配置。

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。