Meraki对接GCP VPN认证失败无接收数据包故障排查问询

核心故障定位 #

从提供的VPN运行日志可以看到明确的认证失败报错：received AUTHENTICATION_FAILED notify error，IKE协商第一阶段IKE_SA_INIT握手已完成，第二阶段身份校验环节失败，导致VPN隧道无法建立，因此无业务数据包接收。

故障原因及对应解决方案 #

用户已确认预共享密钥配置无误的前提下，按优先级排查以下问题：

• 身份标识（IDi/IDr）配置不匹配
  日志提示remote host is behind NAT，说明Meraki设备处于NAT网络后，GCP VPN默认使用公网IP作为身份标识，而Meraki侧可能默认使用内网IP、设备序列号、自定义字符串作为身份标识，两端标识不一致会直接触发认证失败。
  处理步骤：
  1. 登录Meraki管理后台，进入VPN站点配置页，找到「本地标识」「远端标识」配置项
  2. 两端统一使用IP地址类型作为身份标识：GCP侧本地标识填GCP VPN网关公网IP 35.230.187.120，远端标识填Meraki公网出口IP 23.31.252.118；Meraki侧对应反向配置即可
  3. 不要使用FQDN、用户域名、设备名称等其他类型的身份标识，避免匹配失败
• IKE协商参数不匹配
  IKE_SA_INIT阶段仅完成基础能力协商，如果后续IKE_AUTH阶段的加密算法、完整性算法、DH组、生命周期参数两端配置不一致，也会返回认证失败错误。
  处理步骤：
  1. 统一两端IKE版本：GCP VPN默认支持IKEv2，确认Meraki侧VPN配置的IKE版本为v2，不要混用IKEv1
  2. 协商参数保持完全一致，推荐使用GCP默认兼容配置：加密算法AES-256、完整性算法SHA2-256、DH组14、IKE SA生命周期86400秒
• 预共享密钥隐藏字符问题
  复制粘贴密钥时很容易带入首尾空格、换行符，或者使用了中文全角符号，虽然肉眼看起来一致，但实际校验不通过。
  处理步骤：
  两端均手动重新输入预共享密钥，不要复制粘贴，密钥仅使用英文字母、数字、英文半角符号组合。

内容的提问来源于stack exchange，提问作者Art