FortiGate diagnose vpn tunnel list

Visão geral

diagnose vpn tunnel list apresenta o estado dos túneis IPsec e informação sobre security associations no VDOM atual.

É um dos principais comandos para determinar se existem Phase 2 SAs instaladas e se os contadores de pacotes se alteram quando é gerado tráfego controlado.

Comandos

Lista túneis IPsec:

diagnose vpn tunnel list

Filtra pelo nome do túnel quando suportado:

diagnose vpn tunnel list name <tunnel-name>

Exemplo:

diagnose vpn tunnel list name IPSEC-SITE-B

O que procurar

O output exato varia consoante a versão de FortiOS e o desenho da VPN, mas campos comuns incluem:

• Nome do túnel
• Informação dos gateways local e remoto
• Interface associada
• Tunnel mode/state
• Informação de Proxy ID / selector
• Estado da security association
• Contadores de pacotes e bytes
• Estado de DPD
• Informação NAT-T

Porque são importantes os contadores de pacotes

O comando pode mostrar contadores de pacotes receive/transmit.

Regista os valores antes de um teste controlado, gera tráfego e volta a executar o comando.

TX aumenta, RX não

O FortiGate local está a enviar tráfego para o túnel, mas não recebe return traffic correspondente.

Investiga o lado remoto, return routing, selectors, remote policy e o serviço de destino.

RX aumenta, TX não

Está a chegar tráfego do peer remoto, mas a resposta local esperada não está a ser transmitida através do túnel.

Investiga local routing, firewall policy, reachability do endpoint e o fluxo de retorno da aplicação.

Nenhum dos dois aumenta

O tráfego testado pode nem sequer estar a entrar neste túnel.

Verifica:

• Seleção de rota
• Firewall policy
• Endereços de origem/destino
• Phase 2 selectors
• Packet sniffer
• Debug flow

Validação de Phase 2 / selectors

Inspeciona os detalhes de proxy ID / selector e confirma que as redes de origem e destino esperadas estão representadas.

Um túnel pode estar established enquanto um determinado par de tráfego continua fora do desenho de Phase 2 pretendido.

Consideração sobre VDOM

Executa o comando no VDOM que é proprietário da VPN.

Se estiveres no VDOM errado, o túnel esperado pode não aparecer.

O que este comando não prova

Uma SA instalada não prova que:

• A routing table seleciona o túnel para o destino.
• A firewall policy permite o tráfego de teste.
• NAT está corretamente configurado.
• A rede remota tem return route.
• A aplicação de destino está em listening.

Trata o estado do túnel como uma camada de evidência, não como diagnóstico final.

Riscos e considerações

diagnose vpn tunnel list é read-only e seguro para troubleshooting de rotina.

Não o confundas com comandos de controlo do túnel, como diagnose vpn tunnel down ou diagnose vpn tunnel flush, que podem interromper conectividade ativa.

Artigos relacionados

• FortiGate IPsec tunnel is up but traffic does not pass
• FortiGate packet sniffer
• FortiGate debug flow
• FortiGate routing table

Fontes

Consulta as referências oficiais da Fortinet indicadas nos metadados do artigo.