# Analisador de divergências de fase IPsec do FortiGate > Descreva os dois pares IPsec e obtenha a divergência nomeada, e qual fase falharia. Fase 1 e fase 2 falham por razões diferentes e levam a diagnósticos diferentes. - Tool: https://ronutz.com/pt-BR/tools/fortigate-ipsec-phase-mismatch-analyzer - Family: Segurança e WAF --- ## O que faz Descreva as duas pontas de um túnel IPsec e esta ferramenta nomeia sobre o que elas divergem e, a parte que de fato importa, **qual fase falharia**. Roda inteiramente no seu navegador. ## Por que a fase é todo o diagnóstico A fase 1 autentica os pares e protege a negociação. A fase 2 roda dentro desse canal protegido e negocia as associações de segurança e os seletores. Essa divisão é por que saber a fase estreita um defeito de imediato. Uma falha de fase 1 é sobre identidade ou proposta, e fase 2 alguma é tentada, então a ausência dela nos logs é esperada, e não um segundo problema. Uma falha de fase 2 significa que os pares se autenticaram com sucesso e *então* discordaram sobre o que proteger, o que aponta para seletores, transformações ou PFS e nada mais. Inverter isso manda o engenheiro para a metade errada da configuração, e é por isso que esta ferramenta lidera com o veredito, e não com uma tabela campo a campo. ## Os três falsos positivos que ela se recusa a produzir Um analisador de divergências que reporta configurações saudáveis como quebradas é pior que analisador nenhum, porque as pessoas param de ler. Três diferenças parecem falhas e não são: **Listas de propostas não precisam ser idênticas.** O FortiOS aceita uma lista, e o túnel sobe se qualquer valor for comum. Comparar `aes256` com `aes128 aes256` e chamar de divergência estaria errado, então isto calcula a interseção e informa um valor compartilhado como adequado. **Tempos de vida não precisam coincidir.** O menor vence. A ferramenta nomeia o valor efetivo e diz explicitamente que isso não é falha. Valores muito diferentes significam apenas renegociações em intervalos incômodos. **Seletores são espelhados.** A sub-rede local de um par é a remota do outro, então comparar local com local sinalizaria todo túnel corretamente montado. A comparação é deliberadamente cruzada. Os achados são separados entre divergências que bloqueiam e diferenças que não são falhas, e mantidos visualmente apartados. Apresentar "seus tempos de vida diferem" com o mesmo peso de "nenhuma criptografia comum" é como a saída vira ruído. ## O que ela detecta Fase 1: versão do IKE, método de autenticação, modo do IKEv1, e ausência de criptografia, hash ou grupo DH comuns. O modo só é comparado quando a versão é v1, porque sinalizar main contra aggressive em IKEv2 seria um falso positivo exatamente do tipo acima. Fase 2: ausência de transformação comum, PFS habilitado de um lado só, divergência de grupo DH do PFS quando os dois o têm ligado, e divergências de seletor nos dois sentidos. O caso do PFS merece menção própria: a mensagem de log dessa falha em geral não diz PFS, e é por isso que ela custa tanto tempo e por que vale ter uma ferramenta que a nomeia. ## Seletores são exatos, não aproximados `10.1.0.0/16` contra `10.1.0.0/24` é **divergência**, e não quase-correspondência. Os dois lados precisam concordar exatamente sobre as redes que o túnel carrega. Quando um par é um equipamento com suporte estreito a seletores, as duas pontas precisam ser configuradas de forma simétrica, e não conveniente. ## O que ela não vai dizer Ela compara o que você fornece. Um campo presente de um lado e ausente do outro é tratado como *não declarado*, e não como divergência, porque uma colagem parcial não é evidência de falha. Ela também não diagnostica o caso que mais desperdiça tempo na prática: um túnel que reporta **ativo e não passa tráfego**. Isso não é problema de IPsec: é rota ausente ou política de firewall ausente, e a ferramenta diz isso quando não encontra divergência fatal. ## Onde ela se encaixa Forma par com o artigo de VPN IPsec do FortiGate, organizado em torno da mesma pergunta e que cobre as escolhas de topologia que esta ferramenta não modela. Para candidatos ao NSE 4, apoia o objetivo 5.01. ## Standards and references - [Fortinet FortiGate Administration Guide: IPsec VPN concepts (phase 1 and phase 2, proposals, PFS, selectors)](https://docs.fortinet.com/document/fortigate/latest/administration-guide/565968/ipsec-vpn-concepts) - [Fortinet FortiGate Administration Guide: IPsec VPN troubleshooting (which phase failed and why)](https://docs.fortinet.com/document/fortigate/latest/administration-guide/565655/troubleshooting) ## Related reading - [VPN IPsec no FortiGate: fase 1, fase 2 e topologias redundantes](https://ronutz.com/pt-BR/learn/fortigate-ipsec-vpn-topologies.md): Um túnel IPsec é negociado em duas fases, e saber qual fase falhou estreita imediatamente um defeito. Além de um túnel isolado, a escolha entre malha completa, hub and spoke e projetos parcialmente redundantes é uma troca entre o número de túneis a administrar e o caminho que o tráfego de fato toma. Este artigo cobre as fases, as divergências que quebram cada uma, e como a redundância é expressa.