Une erreur Phase 1 signifie que les pairs IPsec ne parviennent pas à établir correctement l’IKE avant même de négocier les sélecteurs Phase 2.
Étapes
- Confirmer les IP publiques — Vérifiez l’IP source et la destination réellement utilisées.
- Comparer les paramètres IKE — Mode, version IKE, proposals, DH group et clé partagée doivent être compatibles.
- Vérifier le routage WAN — Confirmez que le trafic part par la bonne interface.
- Observer le debug — Activez un debug IKE ciblé sur le peer pendant une courte fenêtre.
- Corréler les deux côtés — Comparez l’heure et le message exact sur les deux firewalls.
Commandes utiles
diagnose vpn ike gateway listdiagnose debug application ike -1diagnose debug enableÀ retenir
- Désactivez le debug après le test.
- Une erreur de Phase 1 ne se résout pas en modifiant les sélecteurs Phase 2.
- Vérifiez aussi les changements opérateur, NAT amont et IP publique.