دليل استكشاف أخطاء IPSec في Palo Alto Networks

مقدمة

IPSec هو مجموعة من البروتوكولات المصممة لضمان الاتصال الآمن عبر شبكات IP. وهو يوفر السرية والتكامل والمصادقة من خلال آليات مثل التشفير وتبادل المفاتيح. ومع ذلك، نظرًا لتعقيده والمكونات المتعددة المشاركة، يمكن أن يكون تشخيص مشاكل IPSec VPN تحديًا.

منهجية استكشاف الأخطاء الأساسية

السؤال الأول: هل هذا تكوين جديد أم موجود؟

🔹 إذا كان تكوينًا جديدًا: المشكلة غالبًا ما تكون سوء تكوين على أحد الجانبين
🔹 إذا كان تكوينًا موجودًا: قد تكون مشكلة في الشبكة أو تغيير في التكوين

الخطوات الأساسية لاستكشاف الأخطاء

الخطوة 1: فحص نظام السجلات (System Logs)

Monitor > System Logs

ابحث عن أخطاء متعلقة بـ IKE أو IPSec أو VPN

الخطوة 2: فحص سجلات IKE من CLI

> less mp-log ikemgr.log

الخطوة 3: استخدام أوامر CLI للفحص

> show vpn ike-sa gateway <gateway-name>

> show vpn ipsec-sa tunnel <tunnel-name>

> show vpn flow

الخطوة 4: التقاط الحزم (Packet Capture)

Monitor > Packet Capture

قم بفلترة UDP 500 لعناوين IP الخاصة بـ VPN peers

المشاكل الشائعة وحلولها

🔴 1. عدم تطابق Pre-Shared Key

الأعراض:

• IKEv2 SA negotiation is failed likely due to pre-shared key mismatch

• AUTHENTICATION_FAILED

الحل:

• تأكد من أن Pre-shared keys متطابقة تمامًا على كلا الجانبين

• راجع كل حرف ورقم ورمز خاص

🔴 2. عدم تطابق معاملات IKE Phase 1

الأعراض:

• NO_PROPOSAL_CHOSEN

• trns_id mismatched

الحل:

Network > IKE Crypto Profile

تحقق من:

• Encryption Algorithm: AES-128, AES-192, AES-256, 3DES

• Hash Algorithm: SHA1, SHA256, SHA384, SHA512, MD5

• DH Group: Group 1, 2, 5, 14, 19, 20, etc.

• IKE Version: IKEv1 أو IKEv2

🔴 3. عدم تطابق معاملات IPSec Phase 2

الأعراض:

• IKE phase-2 negotiation failed

• no suitable proposal found

الحل:

Network > IPSec Crypto Profile

تحقق من:

• Encryption: AES-128, AES-192, AES-256, 3DES, DES

• Authentication: SHA1, SHA256, SHA384, SHA512, MD5

• DH Group: None, Group 1, 2, 5, 14, 19, 20

• PFS (Perfect Forward Secrecy): يجب أن يتطابق على كلا الجانبين

🔴 4. مشاكل Proxy IDs

الأعراض:

• message lacks IDr payload

• نفق يعمل لكن البيانات لا تمر

الحل:

Network > IPSec Tunnels > Proxy IDs

• تأكد من أن كل Proxy ID هو انعكاس دقيق للجانب الآخر

• Local: 192.168.1.0/24 ←→ Remote: 10.0.0.0/24

• Remote: 192.168.1.0/24 ←→ Local: 10.0.0.0/24

🔴 5. مشاكل NAT-Traversal (NAT-T)

الأعراض:

• النفق يسقط بعد فترة قصيرة

• مشاكل مع devices خلف NAT

الحل:

Network > IKE Gateways > Advanced Options

- ☑ Enable NAT Traversal

- NAT-T Keep-alive: 20 seconds

أوامر CLI الأساسية

أوامر المراقبة

# عرض حالة IKE Phase 1

> show vpn ike-sa gateway <gateway-name>

# عرض حالة IPSec Phase 2

> show vpn ipsec-sa tunnel <tunnel-name>

# عرض جميع الأنفاق

> show vpn flow

# فحص routing table

> show routing route

# اختبار الاتصال

> ping source <interface> host <remote-ip>

أوامر Debug

# تفعيل IKE debugging

> debug ike global on debug

# تفعيل debugging لنفق محدد

> debug ike tunnel <tunnel-name> on debug

# تفعيل debugging لـ gateway محدد  

> debug ike gateway <gateway-name> on debug

# مراقبة السجلات في الوقت الفعلي

> tail follow yes mp-log ikemgr.log

# إيقاف debugging

> debug ike global off

> debug ike tunnel <tunnel-name> off

> debug ike gateway <gateway-name> off

أوامر Packet Capture

# تفعيل packet capture لـ IKE

> debug ike pcap on

# عرض packet capture

> view-pcap no-dns-lookup yes no-port-lookup yes debug-pcap ikemgr.pcap

# إيقاف packet capture

> debug ike pcap off

أوامر اختبار النفق

# اختبار IKE Phase 1

> test vpn ike-sa gateway <gateway-name>

# اختبار IPSec Phase 2  

> test vpn ipsec-sa tunnel <tunnel-name>

# إعادة تشغيل النفق

> clear vpn ike-sa gateway <gateway-name>

تحليل السجلات (Log Analysis)

رسائل خطأ Phase 1

رسالة الخطأ

السبب

الحل

AUTHENTICATION_FAILED

خطأ في Pre-shared key

راجع PSK على كلا الجانبين

NO_PROPOSAL_CHOSEN

عدم تطابق crypto parameters

راجع IKE crypto profile

INVALID_PAYLOAD_TYPE

مشكلة في IKE payload

راجع IKE version

PAYLOAD_MALFORMED

خطأ في تنسيق البيانات

راجع MTU و fragmentation

رسائل خطأ Phase 2

رسالة الخطأ

السبب

الحل

no suitable proposal found

عدم تطابق IPSec parameters

راجع IPSec crypto profile

pfs group mismatched

عدم تطابق PFS settings

راجع DH Group في Phase 2

proxy ID mismatch

خطأ في Proxy IDs

راجع Traffic Selectors

سيناريوهات استكشاف الأخطاء

السيناريو 1: النفق لا يرتفع نهائياً

خطوات الفحص:

فحص الاتصال الأساسي:

> ping source <outside-interface> host <peer-ip>

فحص IKE Phase 1:

> show vpn ike-sa gateway <gateway-name>

فحص السجلات:

> less mp-log ikemgr.log

3. 
   

4. فحص Security Policies:
   
   

   • تأكد من وجود rule للسماح بـ IKE (UDP 500)

   • تأكد من وجود rule للسماح بـ IPSec (ESP)

السيناريو 2: النفق يرتفع لكن البيانات لا تمر

خطوات الفحص:

فحص Proxy IDs:

Network > IPSec Tunnels > Proxy IDs

فحص الـ Routing:

> show routing route

2. 
   

3. فحص Security Policies:
   
   

   • تأكد من وجود policy للسماح بالبيانات عبر النفق

فحص NAT Policies:

Network > NAT

السيناريو 3: النفق يسقط بشكل متكرر

الأسباب المحتملة:

• DPD (Dead Peer Detection) mismatch

• Rekey timing issues

• NAT-T problems

• MTU issues

الحلول:

# فحص DPD settings

Network > IKE Gateways > Advanced Options > Dead Peer Detection

# فحص Rekey settings  

Network > IKE Gateways > Advanced Options > IKE Crypto Profile

Network > IPSec Tunnels > Advanced Options > IPSec Crypto Profile

# فحص MTU

> show interface <interface-name>

مشاكل التوافق مع Vendors أخرى

Cisco ASA ↔ Palo Alto

إعدادات مطلوبة:

• استخدم IKEv1 للتوافق الأفضل

• فعّل NAT Traversal إذا كان أحد الأجهزة خلف NAT

• استخدم Proxy IDs دقيقة

FortiGate ↔ Palo Alto

إعدادات مطلوبة:

• راجع DH Groups - بعض FortiGate models لها قيود

• استخدم SHA256 بدلاً من SHA1

• فعّل DPD على كلا الجانبين

SonicWall ↔ Palo Alto

إعدادات مطلوبة:

• استخدم IKEv1 Aggressive Mode

• فعّل NAT-T حتى لو لم يكن هناك NAT

• راجع Proposal Order

إعدادات الأمان والأداء

إعدادات مُوصى بها للأمان

IKE Crypto Profile:

- Encryption: AES-256

- Hash: SHA256

- DH Group: Group 14 أو أعلى

- Lifetime: 8 hours

IPSec Crypto Profile:

- Encryption: AES-256

- Authentication: SHA256  

- DH Group: Group 14 (PFS enabled)

- Lifetime: 1 hour

إعدادات الأداء

Advanced Options:

- Enable Replay Protection: ☑

- Copy ToS Header: ☑ (للـ QoS)

- Enable Tunnel Monitor: ☑

- Tunnel Monitor Profile: default

أدوات إضافية للاستكشاف

1. Monitor Dashboard

Monitor > Dashboard

- عرض حالة جميع الأنفاق

- إحصائيات البيانات المرسلة/المستقبلة

2. Traffic Logs

Monitor > Traffic  

- فلتر حسب tunnel interface

- راجع allow/deny decisions

3. GlobalProtect Portal (إذا كان متاحاً)

Network > GlobalProtect > Portals

- مراقبة user connections

- إعدادات client tunnels

نصائح لتجنب المشاكل

1. التوثيق الدقيق

• احتفظ بـ configuration templates

• وثّق جميع IP addresses والـ subnets

• احتفظ بسجل للتغييرات

2. الاختبار المنتظم

• استخدم ping tests بانتظام

• راقب tunnel statistics

• فعّل tunnel monitoring

3. إعدادات Backup

• احتفظ بـ backup configurations

• استخدم redundant tunnels إذا أمكن

• فعّل automatic failover

خاتمة

استكشاف أخطاء IPSec في Palo Alto يتطلب نهجًا منهجيًا وفهمًا جيدًا للبروتوكول. تذكر أن معظم المشاكل في الأنفاق الجديدة تعود إلى عدم تطابق التكوين، بينما مشاكل الأنفاق الموجودة قد تكون بسبب تغييرات في الشبكة أو انتهاء صلاحية المفاتيح.

القاعدة الذهبية: ابدأ بالأساسيات - تحقق من الاتصال، راجع السجلات، وتأكد من تطابق التكوين على كلا الجانبين.

مراجع مفيدة

• Palo Alto Networks Documentation

• Palo Alto Live Community

• IPSec VPN Configuration Guides

تم إعداد هذا الدليل بواسطة: فريق TechClick
تاريخ التحديث: يناير 2025
النسخة: 1.0