問題1:分支IPSEC智能選路之前好好的,今天發現電信那條路切不過去了,display ipsec smart-link policy 發現電信那條路LOSS 99%;
問題2:上面問題處理完后,下面又出新問題,在ipsec smart-link policy 手動切成電信正常通信,IPSEC SA也正常,手動切成移動,不能通信,IPSEC SA也正常。
問題1:分支IPSEC智能選路之前好好的,今天發現電信那條路切不過去了,display ipsec smart-link policy 發現電信那條路LOSS 99%;
問題2:上面問題處理完后,下面又出新問題,在ipsec smart-link policy 手動切成電信正常通信,IPSEC SA也正常,手動切成移動,不能通信,IPSEC SA也正常。
問題描述問題1:需要把電信那條鏈路為啥智能選路判定故障解決;
問題2:需要讓切換后隨便哪條正常。
過程分析問題1:首先Ping -a 1.1.1.10 3.3.3.10 , 發現正常,(這個地址為分部的公網地址,和總部公網地址),查看路由發現切換成電信鏈路時,IKE里的感興趣流ACL里沒有自動的一條,路由表里也沒有,這個我就不打字了,稍后在解決里貼圖。
問題2:查看分部IPSEC SA,一切正常,后面查看總部,display ipsec sa remote 1.1.1.1 和 2.2.2.2 發現分部的電信和移動都有IPSEC SA ,有用戶視圖下>reset ipsec sa remote 1.1.1.1 , 發現移動的就好了。
解決方法問題1:在ipsec里加入反向路由,reverse-route dynamic(還有一個路由表里不用加靜態路由,負載均衡會自動生成等價路由,我開始移動優先級用60,電信用69,然后電信那條還是會有問題,變成等價就好了)
問題2:知道是有殘留IPSEC sa,于是在總部配置了DPD檢測,這個手動切過,大概丟了5-10個包就恢復正常了。