--- title: "XOps ネットワークプレイブック - IPsec Phase2 障害" slug: "xops-network-playbook-ipsec-phase2-failure" updated: 2026-07-30T01:36:05Z published: 2026-07-30T01:36:05Z canonical: "knowledge.catonetworks.com/xops-network-playbook-ipsec-phase2-failure" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # XOps ネットワークプレイブック - IPsec Phase2 障害 このプレイブックは、IPsec Phase2の障害が検出された際の問題解決手順を説明します。 ## 概要 このプレイブックは、IPsec Phase2の障害が発生したときの識別方法と問題解決手順を説明します。 ## 症状 - 接続性の喪失 - トラフィックの乱れ ## ステップ1 - 障害の発生確認 以下は、Cato 管理アプリケーションの管理者がIPsec Phase2 障害を確認するための異なる方法です。 ### ストーリーの詳細分析を利用する - **ストーリー作業台**ページに移動し、プロデューサーを**アカウント操作**に設定し、フィルター「示唆 **中** IPsec Phase2 障害**。**」を含むようにする。必要に応じて時間枠を調整する。 ![ipsec-story-drilldown.jpg](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/33308496358941.jpeg?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A03Z&se=2026-11-10T18%3A19%3A03Z&sr=c&sp=r&sig=OzTYpFLLj6IzRj%2BX6m4eQQ%2FNFgONVZFSKYgVAeeCD0c%3D) - 以下に示すようにストーリーが作成されたことを確認してください。 ![ipsec-story-example.jpg](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/33308508914461.jpeg?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A03Z&se=2026-11-10T18%3A19%3A03Z&sr=c&sp=r&sig=OzTYpFLLj6IzRj%2BX6m4eQQ%2FNFgONVZFSKYgVAeeCD0c%3D) - ストーリーをクリックして詳細に掘り下げてください。 これにはストーリーのステータス、インシデントのタイムラインに関する情報が提供されます。 ![story-drilldown.jpg](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/33308496359453.jpeg?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A03Z&se=2026-11-10T18%3A19%3A03Z&sr=c&sp=r&sig=OzTYpFLLj6IzRj%2BX6m4eQQ%2FNFgONVZFSKYgVAeeCD0c%3D) ### トンネルのタイムラインを確認 関連するサイトに移動し、IPSecタブでタイムラインをクリックしてCSVファイルをダウンロードしてください。 ファイルを確認し、ストーリーを確認してください。 ![ipsec-csv.jpg](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/33310816808093.jpeg?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A03Z&se=2026-11-10T18%3A19%3A03Z&sr=c&sp=r&sig=OzTYpFLLj6IzRj%2BX6m4eQQ%2FNFgONVZFSKYgVAeeCD0c%3D) 上記の例では、**NO_PROPOSAL_CHOSEN**エラーが表示されています。 ## ステップ2 - 発見された問題の解決 以下は、Cato 管理アプリケーションの管理者がIPsec Phase2 障害の発見された問題を解決するための異なる方法です。 ### 提案が選択されていない Cato管理アプリケーションで、サイトの**IPsec**タブに移動し、設定を確認してください。 - **IPsec IKEv1 (Cato発信)**トンネルでは、**Phase 2 パラメータ**がファイアウォールの設定に一致していることを確認してください。 - Catoが提案している具体的なパラメータを確認する必要がある場合は、PCAPファイルをダウンロードし、**提案ペイロード**内の**変換ペイロード**を調査してください。 これには、暗号化、インテグリティ、選択された認証、およびイニシエーターによって提供されたその他の属性が表示されます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/33460919493789.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A03Z&se=2026-11-10T18%3A19%3A03Z&sr=c&sp=r&sig=OzTYpFLLj6IzRj%2BX6m4eQQ%2FNFgONVZFSKYgVAeeCD0c%3D) - **IPsec IKEv2の場合** – Cato管理アプリケーションで、サイトのIPSecタブに移動し、**Init**および**Authメッセージパラメータ**を確認してください。 設定を調整して、ファイアウォールの設定に一致させるようにしてください。 - 提案されている各パラメータを正確に確認するには、PCAPファイルをダウンロードし、**CHILD_SAproposal**を含む**IKE_AUTH**メッセージを調査してください。 **セキュリティアソシエーション**ペイロード内で、**変換ペイロード**を確認し、提案しているピアによって提供された暗号化、インテグリティ、PFS（DHグループ）、およびその他の属性を確認してください。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/33463898737053.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A03Z&se=2026-11-10T18%3A19%3A03Z&sr=c&sp=r&sig=OzTYpFLLj6IzRj%2BX6m4eQQ%2FNFgONVZFSKYgVAeeCD0c%3D) - 接続モードが「応答者のみ」に設定されている場合、設定変更後にファイアウォールからセッションを再開してください。 ### TSが認められない Cato管理アプリケーションで、サイトIPsecタブに移動し、PCAPボタンをクリックしてファイルをダウンロードしてください。 - PCAPファイルを確認し、最後のイニシエータ/応答者応答ペイロードを**TS_UNACCEPTABLE**に対して検索します。![ts_unacceptable.jpg](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/33310816808861.jpeg?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A03Z&se=2026-11-10T18%3A19%3A03Z&sr=c&sp=r&sig=OzTYpFLLj6IzRj%2BX6m4eQQ%2FNFgONVZFSKYgVAeeCD0c%3D) - PCAP内で、以前の**IKE_AUTH_MID**パケットのトラフィックセレクターペイロード（イニシエータおよび応答者の両方）を確認し、Cato管理アプリケーションのサイトIPsecセクションのルーティングタブにリストされているIP範囲と比較してください。 - 問題を解決するには、必要なIP範囲を削除または追加してください。 - IKEv1を使用したIPsecでは、フェーズ2のネゴシエーション中に**無効なID情報**メッセージを受け取ることがあります。 これは通常、2 つのVPNピアがトンネルの異なるIP範囲を使用していることを示します。 双方が一致するローカルおよびリモートサブネットを設定することによってこの問題を解決し、接続を正常に確立できるようにします。 > [!NOTE] > 注： > > 子SAを作成するとき、CatoはRFC 7295に従って同じTSペイロードに複数のトラフィックセレクタを送信します。 Cisco ASA などの一部のサードパーティソリューションは、各子SAに 1 つのTS のみをサポートします。 Cisco ASAは、複数のTSを使用して子SAを作成するCato提案に対して**TS_UNACCEPTABLE**メッセージを送信します。 > > [アカウント](/v1/docs/working-with-advanced-configuration-for-the-account)または特定の[IPsec IKEv2サイト](/v1/docs/advanced-configurations-for-a-site)を構成して、これらのサードパーティソリューションとの互換性を持たせるためにこの構成を**サイト設定 > 高度な設定**で有効にして、それぞれTSを個別のパケットで送信するようにしてください。 ## Catoサポートへのケースの上げ方 このプレイブックに従っても問題が解決しない場合は、[サポートチケット](/v1/docs/submitting-a-support-ticket)を提出してください。 リクエストへの最も有益な対応を得るには、管理者は取り組んだトラブルシューティングの結果を提供する必要があります。