Site-to-Site IPSec VPN - CHILD_SA yapılandırması '<name>' bulunamadı

Bu makale, Zyxel Güvenlik Duvarlarında CHILD_SA config '' not found hatasının ne zaman ortaya çıkabileceğini, neden oluştuğunu ve bunu çözmek için hangi adımların atılabileceğini açıklamaktadır. Sorun genellikle yanlış VPN ayarlarından değil, güvenlik duvarının dahili olarak Phase 2 (Child SA) yapılandırmasını oluşturma şeklinden kaynaklanır.

Hata açıklaması

Zyxel Güvenlik Duvarı'nda Site-to-Site IPSec VPN kurmaya çalışırken aşağıdaki hata mesajı görüntülenir

Komut başarısız: CHILD_SA yapılandırması '' bulunamadı

Bu hata, GUI'de tüm VPN parametreleri doğru görünse bile, çoğunlukla "Bağlan" düğmesine tıklandığında ortaya çıkar.

Bu hata ne anlama geliyor?

Bu hata, VPN yapılandırmasının yerel ve uzak alt ağları tanımlayan kısmı olan Aşama 2 (Child SA) 'nın güvenlik duvarı içinde oluşturulmadığını veya doğru şekilde kaydedilmediğini gösterir.

Önemli notlar:

• Arayüzde doğru ağlar gösterilse bile

• Adres Defterinden aynı IP adresleri seçilmiş olsa bile

Dahili Alt SA nesnesi eksik veya bozuk olabilir.

Bu sorun en sık ne zaman ortaya çıkar?

Bu hata, aşağıdaki senaryolarda daha sık görülür:

• Yeni veya yakın zamanda yüklenen bir güvenlik duvarındaki ilk VPN tüneli

• Aşama 2 seçiciler için Adres Defteri nesnelerinin kullanılması

• Karışık ortamlar, örneğin:

  • H Serisi (Nebula tarafından yönetilen) ↔ USG Flex (bağımsız)

• VPN, Nebula aracılığıyla yapılandırılırken, uzak cihaz H Serisi değildir

• VPN yapılandırması oluşturuldu ancak düzgün bir şekilde uygulanmadı (Uygula)

Bunun nedeni

Güvenlik duvarı, Faz 2 ayarlarını (yerel ve uzak ağlar) dahili olarak Alt SA girişlerine dönüştürür.

Bazı durumlarda:

• Alt SA girişleri oluşturulmaz

• Veya yanlış oluşturulur

• Veya ilk kurulum sırasında kaydedilmez

Bu nedenle, güvenlik duvarı bağlantı kurmaya çalıştığında gerekli Alt SA'yı bulamaz ve hata gösterir.

Önerilen çözüm (adım adım)

• Her iki cihazda mevcut Site-to-Site VPN yapılandırmasını kaldırın

• VPN'yi sıfırdanoluşturun (Aynı PSK parametrelerini, algoritmaları ve ağları kullanın)

Önerilen yapılandırma yöntemi

Uzak cihaz USG Flex (H Serisi olmayan, bağımsız) ise:

• VPN'yi Yerel Web GUI kullanarak yapılandırın

• Klasik politika tabanlı IPSec kullanın

Bu yöntem, VPN'yi Nebula aracılığıyla yapılandırmaya göre daha iyi uyumluluk ve daha kararlı davranış sağlar.

Aşama 2 ayarlarını kontrol edin

Şunlardan emin olun:

• Yerel ve uzak alt ağların doğru olduğundan

• Alt ağlar çakışmıyor

Adres Defteri nesneleri kullanılabilir, ancak sorun devam ederse:

• Adres Defteri nesneleri olmadan ağları geçici olarak manuel olarak tanımlayın

Tüneli yeniden bağlayın

• Bağlan'ı tıklayın

• Çoğu durumda, tünel yeniden oluşturulduktan hemen sonra hata kaybolur