任何人都可以推荐一种通过 SNMP 设置 IPsec 隧道监控的好方法吗？VTI 隧道非常容易监控，因为与任何其他虚拟接口没有区别，但是对于 IPsec 隧道，我还没有找到好的方法。通常我所做的是通过隧道监控另一端的一些设备。
亲切的问候， 安德烈亚斯
一种监视 IPsec 隧道的方法？
网络工程
监控
网络安全
2021-07-26 20:58:47
2个回答
您是否考虑过在远端路由器/防火墙（无论另一端隧道设备是什么）上制作一个环回接口并对其进行监控？您可以将其设为 RFC 1918 地址，并且只能通过 VPN 隧道访问。这应该为您提供不受远端设备/网络不稳定影响的监控内容。
根据我的经验，这取决于创建 IPSec 隧道的设备以及它是基于路由还是基于策略。
对于基于路由的 IPSec 隧道，设备通常会将其添加为另一个接口，您可以直接在 MIB2 中对其进行监控。
对于基于策略的...监控远端的东西，比如远端的内部 IP，可能是最好的。环回可以避免出现远端网络掉线但设备仍在运行的误报，但在基于策略的隧道中，创建的工作量可能比不创建的工作量多，并且隧道只有在有事情讨论时才有用。
我只是继续监视远端。很简单，如果远端在监控中关闭，您就知道隧道没有工作（隧道关闭或远端设备问题；无论哪种方式隧道都没有通过流量）。