[参考译文] 66AK2E02：PA2添加/删除 ESP 条目出现问题

您好！

我已通知 RTOS 团队。 他们的反馈将在此处发布。

此致、
Yordan

您好！

我们已将 PA LLD 更新为最新版本的 SDK (pdk_k2e_4_0_4)。 问题 仍然存在。  您是否有来自 RTOS 团队的反馈？

谢谢

您好！
我已在安全网关和 k2e 设备之间建立了 IPsec 隧道。 我使用 IKEv2进行密钥管理。 IKEv2定期更改 IPsec 隧道的密钥。 当 IKEv2更改 IPsec 密钥时，通过 IPsec 隧道的 ESP 数据包的 SPI 会发生变化。 因此、我必须删除旧的 PA 条目(包括旧的 ESP SPI)并将新的 ESP SPI 条目添加到 PA lut1_1表中。 当我添加新条目时、只有 SPI 发生更改、IP 地址不会更改。

我添加一个 IP 地址1和 SPI1条目、然后添加另一个 IP 地址1和 SPI2条目、然后删除具有 IP 地址1和 SPI1的条目。 当 IKEv2更改 IPsec 隧道的密钥时，我添加一个包含 IP 地址1和 SPI3的条目，然后删除具有 IP 地址1和 SPI2的条目。 如果添加和删除计数不超过256、PA 会将数据包定向到 SA 的队列。

在256个添加和删除呼叫之后或之前、LLD 未返回任何错误代码。 在256个呼叫之前、添加和删除成功路由到 SA 队列的 ESP 数据包。 但在256个添加和删除呼叫后、ESP 数据包(具有 SPI257等最新 SPI)不会定向到 SA 的队列。

当我向 k2e 器件发送带有旧 SPI 的 ESP 数据包(我通过在任何错误代码中使用 PA_delHandle()删除该数据包)时、数据包会定向到 SA 的队列。 因此、这意味着我无法从 PA 的 lut1_1表中删除 entrys、但我可以将 entrys 添加到 PA 的 lut1_1表中、直到它完全填满为止。

您好！

感谢您的解释！ 从"因此、这意味着我无法从 PA 的 lut1_1表中删除 entrys、但我可以将 entrys 添加到 PA 的 lut1_1表中、直到它完全填充。"=== >不执行全部256项添加，然后删除，

• 如果您首先添加 IP 地址1和 SPI1
• 然后、我添加另一个包含 IP 地址1和 SPI2的条目
• 然后我删除具有 IP 地址1和 SPI1的条目。

在此阶段，您能否将 IP 地址为1和 SPI 1的 ESP 数据包(我通过使用带有任何错误代码的 PA_delHandle()删除)发送到 k2e 设备， 这是否会传送到 SA 队列？ 如果已发送、则表示之前的删除完全没有删除该条目。 如果未发送到 SA，则表示旧条目已删除。

此致、Eric