Соединение FlexVPN (IKEv2) типа "сайт-к-сайту" постоянно прерывается на фазе 1 IKE, когда пиры настроены на использование сертификатов. Криптографические логи локального маршрутизатора показывают ошибки проверки идентификации. Какая единственная проблема конфигурации, скорее всего, является причиной сбоя?

Правильный ответ — «Сертификат/идентификатор субъекта, представленный пиром, не соответствует идентификатору пира, настроенному на локальном устройстве». Ошибки проверки идентификации на фазе 1 IKE при использовании сертификатов указывают на то, что локальное устройство не может подтвердить личность удаленного пира на основе его сертификата. Это происходит, когда поле субъекта в сертификате удаленного пира не совпадает с ожидаемым идентификатором пира, настроенным на локальном маршрутизаторе (например, с помощью команды ikev2 remote identity). Остальные варианты не являются основной причиной данной проблемы: transform-set, настроенный для дочерних SA IPsec, не соответствует предложению IKE — это относится к фазе 2 IPsec, а не к фазе 1 IKE. NAT traversal включен на одной стороне, но отключен на другой — это может вызвать проблемы с установлением соединения, но не напрямую с ошибками проверки идентификации. Интерфейс, используемый в качестве слушателя IKEv2, не имеет настроенного IP-адреса — без IP-адреса интерфейс не сможет принимать входящие соединения, но это не приведет к ошибкам проверки идентификации после начала обмена IKE.