Problème
Lors de la connexion d'un appareil Cisco Meraki MX à Cato en utilisant une configuration VPN IPsec basée sur les routes (0.0.0.0/0), le tunnel peut échouer à s'établir lorsque la fonction de vérification de santé du VPN Meraki est activée.
Avec la vérification de la santé VPN active, le Meraki MX injecte plusieurs sélecteurs de trafic, incluant la sonde de vérification de santé 192.0.2.3 que Cato rejette avec TS_INACCEPTABLE. Cato attend une seule paire de Sélecteurs de Trafic de 0.0.0.0/0 ↔ 0.0.0.0/0 pour les tunnels basés sur les routes et rejette la SA avec une notification TS_INACCEPTABLE lorsqu'il reçoit plusieurs Sélecteurs de Trafic. En conséquence, le tunnel échoue à se lever.
Environnement
Cisco Meraki MX avec vérification de santé VPN activée.
IKEv2
Dépannage
Dans le tableau de bord Meraki, validez si la vérification de santé VPN est activée.
Dans le CMA, naviguez vers le site IPsec et vérifiez la chronologie. Cherchez des événements de tunnel indiquant TS_INACCEPTABLE comme raison de déconnexion.
Si activée, désactivez temporairement la vérification de santé VPN et vérifiez si le tunnel IPsec s'établit avec succès. Si c'est le cas, cela confirme le problème.
Solution
Il y a deux options :
Passer à l'IPsec basé sur les politiques : Reconfigurez le tunnel IPsec des deux côtés, Cato et le Meraki MX, pour utiliser un VPN basé sur les politiques au lieu de basé sur les routes. Avec une configuration basée sur les politiques, des plages réseau spécifiques sont définies en tant que Sélecteurs de Trafic des deux côtés, et l'IP de la sonde de vérification ne provoque plus de discordance. Ceci est la solution de contournement recommandée en libre-service.
Contactez le support Cato : Si passer à une configuration basée sur les politiques n'est pas réalisable, contactez le support Cato. Le support peut appliquer une configuration de backend spécifiquement pour cette limitation.