华为防火墙，客户端无法连接，建立连接超时，配置错误或网络故障

之前为某客户的华为防火墙配置了L2TP OVER IPSEC，突然发现无法连接了，UniVPN报错：与对方建立连接超时，配置错误或网络故障。

根据华为官方的解释是，配置的认证模式和设备侧配置的L2TP认证模式不匹配，例如一边是PAP，另外一边却是CHAP，但是看了UniVPN和华为防火墙里面的配置，都是PAP，很明显，官方的解释与实际的故障原因不匹配，哈哈。

当然还得继续排查，发现在防火墙的用户里面，搜索不到域账号，细看一眼，发现只有用户组同步过来了，域用户是一个也没有同步过来，尝试手动同步，报错：管理员绑定失败。

由于L2TP使用的是域账号认证，所以，没有域用户信息，是不可能拨入成功的，首先得解决这个问题才行。

“修改AD服务器”，以前配置的时候添加过了，如果没有，这里需要先添加AD服务器。

随便选一个域账户来检测，结果失败了，同样提示：管理员绑定失败。

根据这个提示，修改此处的域管理员账号和密码，确认与域控上面一致，重新检测时，提示通过了。

原因分析：应该就是防火墙里面绑定的域管理员密码过期了，域服务器修改过了，而防火墙上没有及时更新所致。

修正域管理员的密码后，再次用域账号检测服务器的连通性，顺利通过。

回到“服务器导入策略”，重新手动导入域账号，虽说不再提示管理员绑定失败，但是也没有导入成功，而是改为提示：导入失败。

最近解决问题总是诸多磨难，就没有一次是单纯的故障，能一次就解决的，所以还是继续排查吧。

查看详情，导入失败的是域管理员：administrator，然后真正的域用户一个也没有导入。

根据之前的经验，导入失败基本上是因为防火墙本地也有同名的账号，比如说域服务器上有个admin账号，防火墙本地也有个admin账号，那就会导入失败，但是administrator账号貌似防火墙上并没有。

算了，也没有太多的时间分析问题了，赶紧先解决客户的问题才是正事儿。

于是，“修改服务器导入策略”，把全部导入改为只导入OU，这样域控上自带的用户和组就不会导入了，直接避开报错的管理员账户。

“确定”后，再次尝试手动导入域用户，总算提示导入成功。

小小地兴奋了一下，客户端用UniVPN软件再次远程拨入，倒霉啊，故障依旧，没道理啊，仔细看配置的ike和ipsec参数，与防火墙端完全一致啊，郁闷。

又回到防火墙，dis ike sa，只看到分公司的防火墙IPSec远程接入，并没有看到客户端UniVPN拨入的信息。

Dis ike error

Malformed payload，华为官网解释为：非法载荷，但是没有写具体的处理方式，光看这个名词解释，肯定是一头雾水，好在有之前的经验，应该是预共享密码的问题，可能是手贱，不小心改动了预共享密码吧。

UniVPN里面是看不到预共享密码的，所以只能重新输入，保存。

再次点击连接，输入域账号和对应的密码，并且“保存密码”、“自动连接”都勾选上，下次打开软件，就能自动连接了。

如上图所示，功夫不负有心人，客户端远程拨入成功，出差在外的人，又可以方便地访问内网资源了。

松了口气，赶紧保存防火墙配置，并且下载一份配置文件到我的云主机，这都是多年的习惯了，客户设备出问题，或者掉配置的时候，直接导入恢复即可，方便了自己，也提高了客户的满意度，毕竟为客户提供IT外包服务，除了技术本身以外，效率和态度也是非常关键的。