6.14.7. 内核 IPsec 子系统错误

内核 IPsec 子系统中的缺陷可能会导致它失去与 IKE 守护进程的同步。这可能会导致协商的安全关联和实际 IPsec 策略实施之间的差异，从而破坏了安全的网络通信。

要检查内核级错误，请显示转换(XFRM)统计信息：

# cat /proc/net/xfrm_stat

如果输出中的任何计数器（如 XfrmInError ）显示一个非零值，则这表示内核子系统存在问题。在这种情况下，开一个 支持问题单，并附加上命令的输出与相应的 IKE 日志。