La Phase 1 est établie mais aucun SA Phase 2 utilisable n’est créé.
Causes probables
Les erreurs fréquentes sont des sous-réseaux inversés ou trop larges d’un côté, un PFS différent, une proposal non commune, une route absente ou une policy qui empêche de générer le trafic attendu. Un chevauchement de réseaux ou un NAT non prévu peut également compliquer le diagnostic. Ne modifiez pas plusieurs paramètres IKE simultanément : comparez d’abord la configuration des deux extrémités.
Vérifications
Vérifiez avec diagnose vpn tunnel list si des SA IPsec Phase 2 existent et quels réseaux sont négociés. Comparez ensuite les local/remote selectors des deux pairs, le chiffrement, l’authentification, le PFS et les durées de vie. Générez enfin un trafic qui correspond réellement aux selectors : certains tunnels ne créent la SA qu’au moment où un flux intéressant apparaît.
- Lire l’état du tunnel.
- Comparer selectors et proposals des deux côtés.
- Vérifier route et policy.
- Générer un trafic correspondant.
Commandes utiles
diagnose vpn tunnel listdiagnose debug application ike -1Solutions
Alignez un seul écart confirmé à la fois, puis générez de nouveau le trafic attendu et relisez les SA. Si un debug IKE est nécessaire, lancez-le pendant une fenêtre courte avec diagnose debug application ike -1 et désactivez le debug immédiatement après la capture. La validation finale doit inclure le flux applicatif réel dans les deux sens, pas seulement l’état « up » du tunnel.
Quand escalader ?
Escalader si le peer distant n’est pas administré ou si plusieurs tunnels se chevauchent.
FAQ — FortiGate IPsec Phase 2
Pourquoi la Phase 1 peut-elle être up sans Phase 2 ?
La Phase 1 valide la relation IKE ; la Phase 2 doit encore négocier les paramètres et selectors du trafic protégé.
Faut-il générer du trafic pour voir la Phase 2 ?
Selon la configuration, oui : un flux correspondant aux selectors peut déclencher la création de la SA.
Que comparer en priorité entre les deux pairs ?
Les selectors, proposals, PFS, durées de vie et le routage/policy permettant au trafic intéressant d’exister.