IKEv2 stellt auf beiden Routern eine erfolgreiche IKE SA her, aber 'show crypto ipsec sa' zeigt keine Child SAs und keinen verschlüsselten Datenverkehr an. Welche einzelne Bedingung ist die wahrscheinlichste Ursache?

Wenn die IKE SA erfolgreich aufgebaut wurde, aber keine Child SAs existieren und kein Datenverkehr verschlüsselt wird, deutet dies stark auf eine Nichtübereinstimmung der IPsec-Traffic-Selektoren (Krypto-ACLs) hin. Die IKE SA ist für die Authentifizierung und den Schlüsselaustausch zuständig, während die Child SA (oder IPsec SA) die tatsächliche Verschlüsselung und Entschlüsselung des Datenverkehrs basierend auf den definierten Traffic-Selektoren regelt. Wenn die Traffic-Selektoren auf den beiden Routern nicht übereinstimmen, wissen die Router nicht, welcher Datenverkehr verschlüsselt werden soll, und können daher keine Child SA aufbauen. Die IKEv2-Policy-Lifetimes beeinflussen die Erneuerung der SA, nicht deren initialen Aufbau. NAT-T ist relevant, wenn NAT auf dem Pfad existiert; wenn nicht, ist es irrelevant. Fehlende DNS-Auflösung würde den Aufbau der IKE SA selbst verhindern, was hier nicht der Fall ist.