Site-to-Site IPSec VPN – CHILD_SA config „<name> “ nenalezeno na

Denne artikel forklarer, hvornår fejlen CHILD_SA config '' not found kan forekomme på Zyxel-firewalls, hvorfor det sker, og hvilke skridt der kan tages for at løse det. Problemet skyldes normalt ikke forkerte VPN-indstillinger, men måden, hvorpå firewallen internt opretter fase 2-konfigurationen (Child SA).

Fejlbeskrivelse

Når du forsøger at oprette en Site-to-Site IPSec VPN på en Zyxel-firewall, vises følgende fejlmeddelelse

Kommando mislykkedes: CHILD_SA-konfiguration '' ikke fundet

Fejlen opstår oftest, når man klikker på knappen "Connect", selvom alle VPN-parametre ser korrekte ud i GUI'en.

Hvad betyder denne fejl?

Denne fejl indikerer, at fase 2 (Child SA) – den del af VPN-konfigurationen, der definerer de lokale og fjerne undernet – ikke blev oprettet eller gemt korrekt i firewallen.

Vigtige bemærkninger:

• Selvom de korrekte netværk vises i grænsefladen

• Selvom de samme IP-adresser er valgt fra adressebogen

Det interne Child SA-objekt kan mangle eller være beskadiget.

Hvornår opstår dette problem oftest?

Denne fejl er mere almindelig i følgende scenarier:

• Den første VPN-tunnel på en ny eller nyligt installeret firewall

• Brug af adressebogobjekter til fase 2-selektorer

• Blandede miljøer, for eksempel:

  • H-serien (Nebula-administreret) ↔ USG Flex (standalone)

• VPN konfigureret via Nebula, mens den eksterne enhed ikke er H-serien

• VPN-konfigurationen blev oprettet, men ikke anvendt korrekt (Anvend)

Hvorfor dette sker

Firewallen konverterer internt fase 2-indstillinger (lokale og fjernnetværk) til Child SA-poster.

I nogle tilfælde:

• Child SA-posterne oprettes ikke

• Eller de oprettes forkert

• Eller de gemmes ikke under den første opsætning

På grund af dette kan firewallen ikke finde den nødvendige Child SA, når den forsøger at oprette forbindelse, og viser derfor en fejlmeddelelse.

Anbefalet løsning (trin for trin)

• Fjern den eksisterende Site-to-Site VPN-konfiguration på begge enheder

• Opret VPN fra bunden (brug de samme parametre PSK, algoritmer, netværk)

Anbefalet konfigurationsmetode

Hvis den eksterne enhed er USG Flex (ikke H-serien, standalone):

• Konfigurer VPN ved hjælp af den lokale web-GUI

• Brug klassisk politikbaseret IPSec

Denne metode giver bedre kompatibilitet og mere stabil adfærd end konfiguration af VPN via Nebula.

Kontroller fase 2-indstillinger

Sørg for, at:

• Lokale og fjerne undernet er korrekte

• Undernetværkene ikke overlapper hinanden

Adressebogobjekter kan bruges, men hvis problemet fortsætter:

• Definer midlertidigt netværkene manuelt uden adressebogobjekter

Tilslut tunnelen igen

• Klik på Opret forbindelse

• I de fleste tilfælde forsvinder fejlen straks efter, at tunnelen er oprettet igen