IKEv2 устанавливает успешный IKE SA на обоих маршрутизаторах, но команда 'show crypto ipsec sa' не показывает дочерних SA и зашифрованного трафика. Какое единственное условие является наиболее вероятной причиной?

Если IKEv2 SA успешно установлен, но дочерние SA IPsec не создаются и трафик не шифруется, наиболее вероятная причина — несоответствие в селекторах трафика (crypto ACLs) на обоих маршрутизаторах. Дочерний SA устанавливается только тогда, когда оба пира соглашаются на основе этих селекторов, какой трафик должен быть защищен. Если ACLs не совпадают, то ни один из маршрутизаторов не может найти соответствующий трафик для защиты, и дочерний SA не будет установлен. Остальные варианты менее вероятны: Разница во времени жизни политики IKEv2 SA не помешает установке дочернего SA. Отключение NAT-T при отсутствии NAT на пути не является проблемой, так как NAT-T не требуется. Отсутствие разрешения DNS для имен хостов пиров не влияет на установку IKE SA, если пиры настроены по IP-адресам, или на установку дочернего SA после успешного IKE SA.