IPsec-Site-to-Site-VPN-Verbindungsabbrüche am SDN-RAS-Gateway alle 8 Stunden

Hallo,

Das Verhalten, dass die Site‑to‑Site‑IPsec‑Tunnel über das SDN‑RAS‑Gateway alle acht Stunden beim Phase‑2‑Re‑Keying den Verkehr verlieren, weist klar auf ein Mismatch in den kryptografischen Parametern der Quick Mode SA hin. Phase‑2‑Parameter wie Verschlüsselungsalgorithmus, Hash‑Algorithmus, PFS‑Gruppen und Lebensdauer müssen auf beiden Seiten exakt übereinstimmen. Wenn die SDN‑Gateway‑Richtlinie andere Werte vorgibt als die Gegenstelle, wird zwar eine Neuverhandlung gestartet, aber die SA bricht ab, weil keine gemeinsame Policy gefunden wird.

Die Diagnose erfolgt am besten mit den PowerShell‑Cmdlets des SDN‑Gateways (Get‑VpnS2SInterface und Get‑VpnS2SInterfaceStatistics) sowie mit den klassischen IPsec‑Logs (Event Viewer → Applications and Services Logs → Microsoft → Windows → IKEEXT). Dort sieht man, welche Proposal‑Sets angeboten und abgelehnt wurden. Auf der Gegenseite sollte ebenfalls geprüft werden, ob die Phase‑2‑Proposal‑Liste identisch ist.

Die saubere Lösung besteht darin, die Phase‑2‑Parameter zentral über die SDN‑Gateway‑Richtlinien zu harmonisieren. In der SDN‑RAS‑Gateway‑Konfiguration werden die Quick Mode Parameter über die Richtlinienobjekte definiert, typischerweise mit PowerShell:

Code

Set‑VpnS2SInterface ‑Name <TunnelName> `
  ‑EncryptionMethod AES256 `
  ‑IntegrityCheckMethod SHA256 `
  ‑PfsGroup PFS2048 `
  ‑SADataSizeForRenegotiation 0 `
  ‑SALifeTimeSeconds 28800

Wichtig ist, dass die Werte für EncryptionMethod, IntegrityCheckMethod, PfsGroup und SALifeTimeSeconds exakt mit der Gegenstelle übereinstimmen. Die Lebensdauer von 28800 Sekunden entspricht acht Stunden; wenn die Gegenseite einen anderen Wert nutzt, muss dieser angepasst werden, sonst kommt es bei jeder Neuverhandlung zum Abbruch.

Zusätzlich sollte geprüft werden, ob die SDN‑Gateway‑Richtlinien konsistent über alle Gateways repliziert sind. In großen Umgebungen kann es vorkommen, dass einzelne Gateways unterschiedliche Policy‑Sets haben. Ein Abgleich mit Get‑VpnS2SInterface auf allen Gateways stellt sicher, dass die Parameter identisch sind.

Kurz gesagt: die Ursache ist ein Parameter‑Mismatch in Phase‑2. Die Lösung ist die exakte Angleichung der Quick Mode SA‑Parameter über die SDN‑Gateway‑Richtlinien und die Gegenstelle. Erst wenn beide Seiten dieselben Algorithmen und Lebensdauern nutzen, bleibt der Tunnel auch nach dem Re‑Keying stabil.

Domic Vo.