Een branch router toont een toename van 'encap pkts' in 'show crypto ipsec sa', maar 'decap pkts' blijft nul op de peer. Welke enkele conclusie voor probleemoplossing is het meest plausibel?

De correcte conclusie is dat de peer de versleutelde pakketten ontvangt, maar deze niet kan ontsleutelen. Dit wordt bevestigd door de toename van 'encap pkts' op de lokale router (wat aangeeft dat er verkeer wordt versleuteld en verzonden) en 'decap pkts' dat nul blijft op de peer (wat aangeeft dat de peer geen succesvolle ontsleutelingen uitvoert). De meest voorkomende oorzaken hiervoor zijn niet-overeenkomende IPsec transform sets (bijvoorbeeld verschillende encryptie- of authenticatiealgoritmen) of onjuiste pre-shared keys/certificaten tussen de twee VPN-peers. De andere opties zijn onjuist: "De route naar de peer is onjuist omdat er geen ingekapselde pakketten zijn" is onjuist, omdat er wel ingekapselde pakketten zijn ('encap pkts' neemt toe). "De ingekapselde pakketten worden gefragmenteerd en alleen op de lokale router gedropt" is onwaarschijnlijk, aangezien de 'encap pkts' toenemen, wat duidt op succesvolle inkapseling en verzending. Fragmentatieproblemen zouden eerder leiden tot verlies van pakketten onderweg, niet tot nul 'decap pkts' bij ontvangst. "De lokale router heeft geen crypto ACL, dus selecteert deze geen verkeer om te versleutelen" is onjuist, omdat de 'encap pkts' toenemen, wat juist bewijst dat de crypto ACL correct verkeer selecteert voor versleuteling.