VPN IPSec typu site-to-site — nie znaleziono konfiguracji CHILD_SA „<name> ”

W tym artykule wyjaśniono, kiedy błąd CHILD_SA config '' not found może pojawić się w zaporach sieciowych Zyxel, dlaczego tak się dzieje i jakie kroki można podjąć, aby go rozwiązać. Problem ten zazwyczaj nie jest spowodowany nieprawidłowymi ustawieniami VPN, ale sposobem, w jaki zapora sieciowa tworzy wewnętrznie konfigurację fazy 2 (Child SA).

Opis błędu

Podczas próby ustanowienia połączenia Site-to-Site IPSec VPN na zaporze Zyxel pojawia się następujący komunikat o błędzie

Polecenie nie powiodło się: Nie znaleziono konfiguracji CHILD_SA „ ”.

Błąd ten występuje najczęściej po kliknięciu przycisku „Połącz”, nawet jeśli wszystkie parametry VPN wyglądają poprawnie w interfejsie graficznym.

Co oznacza ten błąd?

Błąd ten oznacza, że faza 2 (Child SA) — część konfiguracji VPN, która definiuje lokalne i zdalne podsieci — nie została utworzona lub nie została poprawnie zapisana w zaporze sieciowej.

Ważne uwagi:

• Nawet jeśli w interfejsie wyświetlane są prawidłowe sieci

• Nawet jeśli wybrano te same adresy IP z książki adresowej

Wewnętrzny obiekt Child SA może być brakujący lub uszkodzony.

Kiedy ten problem występuje najczęściej?

Ten błąd występuje częściej w następujących sytuacjach:

• Pierwszy tunel VPN na nowej lub niedawno zainstalowanej zaporze ogniowej

• Korzystanie z obiektów książki adresowej dla selektorów fazy 2

• Środowiska mieszane, na przykład:

  • Seria H (zarządzana przez Nebula) ↔ USG Flex (samodzielna)

• VPN skonfigurowany za pomocą Nebula, podczas gdy urządzenie zdalne nie należy do serii H

• Konfiguracja VPN została utworzona, ale nie została prawidłowo zastosowana (Zastosuj)

Dlaczego tak się dzieje

Zapora sieciowa wewnętrznie konwertuje ustawienia fazy 2 (sieci lokalne i zdalne) na wpisy Child SA.

W niektórych przypadkach:

• Wpisy Child SA nie są tworzone

• Lub są tworzone nieprawidłowo

• Lub nie są zapisywane podczas pierwszej konfiguracji

Z tego powodu, gdy zapora sieciowa próbuje się połączyć, nie może znaleźć wymaganego Child SA i wyświetla błąd.

Zalecane rozwiązanie (krok po kroku)

• Usuń istniejącą konfigurację VPN typu Site-to-Site na obu urządzeniach

• Utwórz VPN od podstaw (użyj tych samych parametrów PSK, algorytmów, sieci)

Zalecana metoda konfiguracji

Jeśli urządzeniem zdalnym jest USG Flex (nie z serii H, samodzielne):

• Skonfiguruj VPN za pomocą lokalnego interfejsu GUI

• Użyj klasycznego IPSec opartego na zasadach

Ta metoda zapewnia lepszą kompatybilność i bardziej stabilne działanie niż konfiguracja sieci VPN za pomocą Nebula.

Sprawdź ustawienia fazy 2

Upewnij się, że:

• Lokalne i zdalne podsieci są poprawne

• Podsieci nie nakładają się

Można używać obiektów książki adresowej, ale jeśli problem nadal występuje:

• Tymczasowo zdefiniuj sieci ręcznie, bez obiektów książki adresowej

Ponownie połącz tunel

• Kliknij Połącz

• W większości przypadków błąd znika natychmiast po ponownym utworzeniu tunelu