Проблема
При подключении устройства Cisco Meraki MX к Cato с использованием конфигурации VPN IPsec на основе маршрута (0.0.0.0/0), туннель может не установиться, если включена функция проверки состояния VPN Meraki.
При активной проверке состояния VPN Meraki MX внедряет несколько селекторов трафика, включая зонд проверки состояния 192.0.2.3, который Cato отклоняет с помощью сообщения об ошибке TS_UNACCEPTABLE. Cato ожидает одну пару селекторов трафика 0.0.0.0/0 ↔ 0.0.0.0/0 для туннелей на основе маршрута и отклоняет SA с уведомлением TS_UNACCEPTABLE, когда получает несколько селекторов трафика. В результате туннель не может быть установлен.
Среда
Cisco Meraki MX с включенной проверкой состояния VPN
IKEv2
Диагностика
На панели управления Meraki проверьте, включена ли проверка состояния VPN.
На CMA перейдите к сайту IPsec и проверьте Хронологию. Найдите события туннеля, показывающие TS_UNACCEPTABLE как причину отключения.
Если включено, временно отключите проверку состояния VPN и проверьте, успешно ли устанавливается туннель IPsec. Если туннель устанавливается, это подтверждает наличие проблемы.
Решение
Есть два варианта:
Переключитесь на IPsec, основанный на политике: Настройте туннель IPsec как на стороне Cato, так и на Meraki MX для использования VPN, основанного на политике, вместо маршрута. С конфигурацией на основе политики конкретные диапазоны сетей определяются как селекторы трафика с обеих сторон, и IP зонда проверки состояния больше не вызывает несоответствие. Это рекомендуемый способ обхода проблемы самими пользователями.
Связаться с поддержкой Cato: Если переключение на политику невозможно, свяжитесь с поддержкой Cato. Поддержка может применить конфигурацию бэкенда специально для этого ограничения.