错误消息 %ASA-7-701001: alloc_user() out of Tcp_user objects

说明：如果用户身份验证频率太高而导致模块无法处理新的 AAA 请求，系统将显示 AAA 消息。

建议的操作：通过 floodguard enable 命令启用 Flood Defender 。

错误消息 %ASA-7-701002: alloc_user() out of Tcp_proxy objects

说明：如果用户身份验证频率太高而导致模块无法处理新的 AAA 请求，系统将显示 AAA 消息。

建议的操作：通过 floodguard enable 命令启用 Flood Defender 。

错误消息：%ASA-3-702305: IPSEC: An direction tunnel_type SA (SPI=spi ) between local_IP and remote_IP (username ) is rekeying due to sequence number rollover.

说明：已在 IPsec 隧道接收 40 多亿个数据包，并且正在协商新隧道。

• direction - SA 方向（入站或出站）
• tunnel_type - SA 类型（远程访问或 L2L）
• spi - Ipsec 安全参数索引
• local_IP - 隧道本地终端的 IP 地址
• remote_IP - 隧道远程终端的 IP 地址
• >username - 与 IPsec 隧道关联的用户名

建议的操作：联系对等体管理员比较 SA 生命周期设置。

错误消息：%ASA-7-702307: IPSEC: An direction tunnel_type SA (SPI=spi ) between local_IP and remote_IP (username ) is rekeying due to data rollover.

说明：SA 数据生命周期已过期。与此 SA 一起传输的数据量致使 IPsec SA 正在进行密钥更新。此信息对于调试密钥更新问题有用。

• direction - SA 方向（入站或出站）
• tunnel_type - SA 类型（远程访问或 L2L）
• spi - Ipsec 安全参数索引
• local_IP - 隧道本地终端的 IP 地址
• remote_IP - 隧道远程终端的 IP 地址
• >username - 与 IPsec 隧道关联的用户名

建议的操作：无需执行任何操作。

错误消息 %ASA-7-703001: H.225 message received from interface_name :IP_address /port to interface_name :IP_address /port is using an unsupported version number

说明：ASA收到 H.323 数据包，其中包含不受支持的版本号。ASA可能将数据包的协议版本字段重新编码为最高支持版本。

建议的操作：使用 ASA在 VoIP 网络中支持的 H.323 版本。

错误消息 %ASA-7-703002: Received H.225 Release Complete with newConnectionNeeded for interface_name :IP_address to interface_name :IP_address /port

说明：ASA 收到了指定的 H.225 消息，ASA为两个指定的 H.323 终端打开了新的信令连接对象。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-703008: Allowing early-message: %s before SETUP from %s:%Q/%d to %s:%Q/%d

说明：此消息表示，外部终端请求向内部主机进行传入呼叫，并且希望内部主机向网守先发送 FACILITY 消息再发送 SETUP 消息，同时希望遵循 H.460.18 的要求。

建议的操作：确保设置的确计划根据 H.640.18 中的说明，在传入 H323 呼叫中先允许 FACILITY 消息再允许 SETUP 消息。

错误消息 %ASA-7-709001: FO replication failed: cmd=command returned=code

错误消息 %ASA-7-709002: FO unreplicable: cmd=command

说明：系统仅在开发调试和测试阶段显示故障切换消息。

建议的操作：无需执行任何操作。

错误消息 %ASA-1-709003: (Primary) Beginning configuration replication: Sending to mate.

说明：主用设备开始向备用设备复制配置时，系统会显示此故障切换消息。主设备也可列为辅助设备的辅助设备。

建议的操作：无需执行任何操作。

错误消息 %ASA-1-709004: (Primary) End Configuration Replication (ACT)

说明：主用设备完成将自身配置复制到备用设备上时，系统会显示此故障切换消息。主设备也可列为辅助设备的辅助设备。

建议的操作：无需执行任何操作。

错误消息 %ASA-1-709005: (Primary) Beginning configuration replication: Receiving from mate.

说明：备用 ASA从主用 ASA接收了配置复制的第一部分。主设备也可列为辅助设备的辅助设备。

建议的操作：无需执行任何操作。

错误消息 %ASA-1-709006: (Primary) End Configuration Replication (STB)

说明：备用设备完成复制主用设备发送的配置后，系统会显示此故障切换消息。主设备也可列为辅助设备的辅助设备。

建议的操作：无需执行任何操作。

错误消息 %ASA-2-709007: Configuration replication failed for command

说明：当备用设备无法完成复制主用设备发送的配置时，系统会显示此故障切换消息。消息结尾处将显示导致故障的命令。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-4-709008: (Primary | Secondary) Configuration sync in progress. Command: ‘command ’ executed from (terminal/http) will not be replicated to or executed by the standby unit.

说明：在配置同步期间发出了一条命令，这将触发交互式提示，指出系统不会在备用设备上发出此命令。要继续操作，请注意，系统只会在主用设备上发出此命令，而且不会在备用设备上复制该命令。

• Primary | Secondary - 这是主设备或辅助设备
• command - 在配置同步期间发出的命令
• terminal/http - 从终端或通过 HTTP 发出。

建议的操作：无。

错误消息 %ASA-7-710001: TCP access requested from source_address /source_port to interface_name :dest_address /service

说明：发往 ASA的第一个 TCP 数据包请求建立 TCP 会话。此数据包是三次握手中的第一个 SYN 数据包。当各方（Telnet、HTTP 或 SSH）允许该数据包时，系统将显示此消息。但是，SYN cookie 验证尚未完成，状态未保留。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-710002: {TCP|UDP} access permitted from source_address /source_port to interface_name :dest_address /service

说明：对于 TCP 连接，发往 ASA的第二个 TCP 数据包请求建立 TCP 会话。此数据包是三次握手中的最终 ACK。各方（Telnet、HTTP 或 SSH）已允许该数据包。此外，SYN cookie 验证成功并为 TCP 会话保留了该状态。

对于 UDP 连接，系统已允许连接。例如，该模块从授权的 SNMP 管理站收到一条 SNMP 请求，并且已处理请求。此消息的速率限制为每 10 秒一条消息。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-710003: {TCP|UDP} access denied by ACL from source_IP/source_port to interface_name :dest_IP/service

说明：ASA已拒绝与接口服务的连接尝试。例如，ASA从未授权的 SNMP 管理站收到 SNMP 请求。如果此消息经常出现，则可能表示发生了攻击。

例如：

%ASA-3-710003: UDP access denied by ACL from 95.1.1.14/5000 to outside:95.1.1.13/1005

建议的操作：使用 show run http、show run ssh 或 show run telnet 命令验证是否已将 ASA配置为允许来自主机或网络的服务访问。

错误消息 %ASA-7-710004: TCP connection limit exceeded from Src_ip /Src_port to In_name :Dest_ip /Dest_port (current connections/connection limit = Curr_conn/Conn_lmt)

说明：现已超过服务的 ASA管理连接最大数量。ASA允许每项管理服务最多五个并发管理连接。或者，传入连接计数器中可能发生了错误。

• Src_ip - 数据包的源 IP 地址
• Src_por t - 数据包源端口
• In_ifc - 输入接口
• Dest_ip - 数据包的目的 IP 地址
• Dest_port - 数据包的目的端口
• Curr_conn - 当前传入管理连接数量
• Conn_lmt - 连接限制

建议的操作：在控制台中使用 kill 命令释放不需要的会话。如果由于传入计数器错误而导致生成此消息，请运行 show conn all 命令显示连接详细信息。

错误消息 %ASA-7-710005: {TCP|UDP|SCTP} request discarded from source_address /source_port to interface_name :dest_address /service

说明：ASA没有为 UDP 请求提供服务的 UDP 服务器。而且，不属于 ASA上任何会话的 TCP 数据包可能被丢弃。此外，当 ASA收到具有空负载的 SNMP 请求时，即使请求来自授权主机，也会出现此消息（对于 SNMP 服务）。对于 SNMP 服务，消息最多每 10 秒出现一次，防止日志接收器被淹没。此消息也适用于 SCTP 数据包。

建议的操作：在广泛使用广播服务（例如 DHCP、RIP 或 NetBIOS）的网络中可能经常出现此消息。如果此消息过于频繁出现，则可能表示发生了攻击。

错误消息 %ASA-7-710006: protocol request discarded from source_address to interface_name :dest_address

说明：ASA不具备为 IP 协议请求提供服务的 IP 服务器；例如，ASA接收非 TCP 或 UDP 的 IP 数据包，但 ASA无法为请求提供服务。

建议的操作：在广泛使用广播服务（例如 DHCP、RIP 或 NetBIOS）的网络中可能经常出现此消息。如果此消息过于频繁出现，则可能表示发生了攻击。

错误消息 %ASA-7-710007: NAT-T keepalive received from 86.1.161.1/1028 to outside:86:1.129.1/4500

说明：ASA收到了 NAT-T 保持连接消息。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-711001: debug_trace_msg

说明：您为日志记录功能输入了 logging debug-trace 命令。启用 logging debug-trace 命令后，所有调试消息将重定向至待处理消息。出于安全原因，消息输出必须加密或通过安全的带外网络发送。

建议的操作：无需执行任何操作。

错误消息 %ASA-4-711002: Task ran for elapsed_time msecs, process = process_name , PC = PC Tracebeback = traceback

说明：进程使用 CPU 超过 100 毫秒。此消息用于调试 CPU，并且对于每个违规进程每隔 5 秒显示一次。

• PC - CPU 占用进程的指令指针。
• traceback - CPU 占用进程的堆叠跟踪，最多可以包含 12 个地址

建议的操作：无需执行任何操作。

错误消息 ASA-7-711003: Unknown/Invalid interface identifier(vpifnum ) detected.

说明：发生了正常操作期间本不应发生的内部不一致。但是，此类消息偶尔出现并无危害。如果经常发生，则可能需要调试。

• vpifnum - 与接口对应的 32 位值

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-4-711004: Task ran for msec msec, Process = process_name , PC = pc , Call stack = call stack

说明：进程使用 CPU 超过 100 毫秒。此消息用于调试 CPU，并且对于每个违规进程每隔 5 秒显示一次。

• msec - 检测到的 CPU 占用长度（以毫秒为单位）
• process_name - 占用进程的名称
• pc - CPU 占用进程的指令指针。
• call stack - CPU 占用进程的堆叠跟踪，最多可以包含 12 个地址

建议的操作：无需执行任何操作。

错误消息 %ASA-5-711005: Traceback: call_stack

说明：发生了本不应出现的内部软件问题。设备通常可以从此错误中恢复，而且不会影响设备结果。

• call_stack - 调用堆叠的 EIP

建议的操作：联系思科 TAC。

错误消息 %ASA-7-711006: CPU profiling has started for n-samples samples. Reason: reason-string .

说明：CPU 分析已启动。

• n-samples - 指定的 CPU 分析样本数量
• reason-string - 可能的值包括：

“CPU utilization passed cpu-utilization %”

“Process process-name CPU utilization passed cpu-utilization %”

建议的操作：“未指定”

建议的操作：收集 CPU 分析结果，并将其提供给思科 TAC。

错误消息 %ASA-3-713004: device scheduled for reboot or shutdown, IKE key acquire message on interface interface num , for Peer IP_address ignored

说明：ASA从尝试启动隧道的远程实体收到 IKE 数据包。因为系统计划重新启动或关闭 ASA，因此不允许建立更多隧道。IKE 数据包被忽略并丢弃。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713201: Duplicate Phase Phase packet detected. Action

说明：ASA收到了与先前的第 1 阶段或第 2 阶段重复的数据包，并将传输最后一条消息。可能发生了网络性能或连接问题，导致对等体未及时接收已发送的数据包。

• Phase - 第 1 或第 2 阶段
• Action - 正在重新传输最后一个数据包，或者没有要传输的最后一个数据包。

建议的操作：验证网络性能或连接。

错误消息 %ASA-6-713202: Duplicate IP_addr packet detected.

说明：ASA已收到 ASA已经获知并正在协商的隧道的重复第一个数据包，这表示 ASA可能从对等体收到了重新传输的数据包。

• IP_addr - 发出重复第一个数据包的对等体 IP 地址

建议的操作：除非连接尝试失败，否则无需执行任何操作。如果连接尝试失败，请进一步调试并诊断问题。

错误消息 %ASA-5-713006: Failed to obtain state for message Id message_number , Peer Address: IP_address

说明：ASA不了解接收的消息 ID。此消息 ID 用于标识特定 IKE 第 2 阶段协商。ASA中可能出现了错误情况，也可能是两个 IKE 对等体不同步。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713008: Key ID in ID payload too big for pre-shared IKE tunnel

说明：ID 负载中收到的密钥 ID 值超过了此 IKE 会话（使用预共享密钥身份验证）组名称的最大允许大小。这是无效值，并且此会话将被拒绝。请注意，由于无法在 ASA中创建如此大小的组名称，因此指定密钥 ID 无法运行。

建议的操作：确保客户端对等体（最有可能是 Altiga 远程访问客户端）指定有效的组名称。通知用户更改客户端上不正确的组名称。组名称的当前最大长度为 32 个字符。

错误消息 %ASA-3-713009: OU in DN in ID payload too big for Certs IKE tunnel

说明：ID 负载收到 DN 中的 OU 值，该值超过了此 IKE 会话（使用证书身份验证）组名称的最大允许大小。系统会跳过此 OU，另一个 OU 或其他条件可能会发现匹配组。

建议的操作：为使客户端能够使用 OU 在 ASA中查找组，组名称的长度必须有效。组名称的当前最大长度为 32 个字符。

错误消息 %ASA-5-713010: IKE area: failed to find centry for message Id message_number

系统尝试使用唯一消息 ID 查找 conn_entry（与 IPsec SA 对应的 IKE 第 2 阶段结构），但操作失败。未找到内部结构，以非标准方式终止会话时可能会出现这个问题，但更有可能是发生了内部错误。

如果此问题仍然存在，请检查对等体。

错误消息 %ASA-3-713012: Unknown protocol (protocol ). Not adding SA w/spi=SPI value

说明：从对等体收到非法或不受支持的 IPsec 协议。

建议的操作：检查对等体上的 ISAKMP 第 2 阶段配置，确保与 ASA兼容。

错误消息 %ASA-3-713014: Unknown Domain of Interpretation (DOI): DOI value

说明：从对等体接收的 ISAKMP ID 不受支持。

建议的操作：检查对等体上的 ISAKMP DOI 配置。

错误消息 %ASA-3-713016: Unknown identification type, Phase 1 or 2, Type ID_Type

说明：从对等体接收的 ID 未知。这个 ID 可能是不熟悉的有效 ID，也可能是无效或已损坏的 ID。

建议的操作：检查前端和对等体上的配置。

错误消息 %ASA-3-713017: Identification type not supported, Phase 1 or 2, Type ID_Type

说明：从对等体接收的第 1 阶段或第 2 阶段 ID 合法，但不受支持。

建议的操作：检查前端和对等体上的配置。

错误消息 %ASA-3-713018: Unknown ID type during find of group name for certs, Type ID_Type

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713020: No Group found by matching OU(s) from ID payload: OU_value

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713022: No Group found matching peer_ID or IP_address for Pre-shared key peer IP_address

说明：组位于与对等体指定的值（密钥 ID 或 IP 地址）具有相同名称的组数据库中。

建议的操作：验证对等体上的配置。

错误消息 %ASA-7-713024: Group group IP ip Received local Proxy Host data in ID Payload: Address IP_address , Protocol protocol , Port port

说明：ASA已从远程对等体收到第 2 阶段本地代理 ID 负载。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713025: Received remote Proxy Host data in ID Payload: Address IP_address , Protocol protocol , Port port

说明：ASA已从远程对等体收到第 2 阶段本地代理 ID 负载。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713028: Received local Proxy Range data in ID Payload: Addresses IP_address - IP_address , Protocol protocol , Port port

说明：ASA已收到远程对等体的第 2 阶段本地代理 ID 负载，其中包括 IP 地址范围。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713029: Received remote Proxy Range data in ID Payload: Addresses IP_address - IP_address , Protocol protocol , Port port

说明：ASA已收到远程对等体的第 2 阶段本地代理 ID 负载，其中包括 IP 地址范围。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713032: Received invalid local Proxy Range IP_address - IP_address

说明：本地 ID 负载包括范围 ID 类型，且指定低位地址不小于高位地址。可能存在配置问题。

建议的操作：检查 ISAKMP 第 2 阶段参数的配置。

错误消息 %ASA-3-713033: Received invalid remote Proxy Range IP_address - IP_address

说明：远程 ID 负载包括范围 ID 类型，且指定低位地址不小于高位地址。可能存在配置问题。

建议的操作：检查 ISAKMP 第 2 阶段参数的配置。

错误消息 %ASA-7-713034: Received local IP Proxy Subnet data in ID Payload: Address IP_address , Mask netmask , Protocol protocol , Port port

说明：在第 2 阶段 ID 负载中收到了本地 IP 代理子网数据。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713035: Group group IP ip Received remote IP Proxy Subnet data in ID Payload: Address IP_address , Mask netmask , Protocol protocol , Port port

说明：在第 2 阶段 ID 负载中收到了远程 IP 代理子网数据。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713039: Send failure: Bytes (number ), Peer: IP_address

说明：发生了内部软件错误，并且无法传输 ISAKMP 数据包。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-7-713040: Could not find connection entry and can not encrypt: msgid message_number

说明：发生了内部软件错误，而且找不到第 2 阶段数据结构。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-5-713041: IKE Initiator: new or rekey Phase 1 or 2, Intf interface_number , IKE Peer IP_address local Proxy Address IP_address , remote Proxy Address IP_address , Crypto map (crypto map tag )

说明：ASA正在担任发起者协商隧道。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713042: IKE Initiator unable to find policy: Intf interface_number , Src: source_address , Dst: dest_address

说明：IPsec 快速路径处理了触发 IKE 的数据包，但是 IKE 策略查找失败。此错误可能与时序相关。在 IKE 处理发起请求之前，触发 IKE 的 ACL 可能已被删除。此问题很有可能会自行更正。

建议的操作：如果这种状况仍然存在，请检查 L2L 配置，特别应注意与加密映射关联的 ACL 类型。

错误消息 %ASA-3-713043: Cookie/peer address IP_address session already in progress

说明：在原始隧道进程中再次触发了 IKE。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713048: Error processing payload: Payload ID: id

说明：在无法处理的负载中收到了数据包。

建议的操作：如果此问题仍然存在，则对等体上可能存在配置错误。

错误消息 %ASA-5-713049: Security negotiation complete for tunnel_type type (group_name ) Initiator /Responder , Inbound SPI = SPI , Outbound SPI = SPI

说明：已启动 IPsec 隧道。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713050: Connection terminated for peer IP_address . Reason: termination reason Remote Proxy IP_address , Local Proxy IP_address

说明：IPsec 隧道已终止。可能的终止原因包括：

• IPsec SA Idle Timeout（IPsec SA 空闲超时）
• IPsec SA Max Time Exceeded（超出 IPsec SA 最长时间限制）
• Administrator Reset（管理员重置）
• Administrator Reboot（管理员重启）
• Administrator Shutdown（管理员关闭）
• Session Disconnected（会话断开连接）
• Session Error Terminated（会话错误已终止）
• Peer Terminate（对等体终止）

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713052: User (user ) authenticated.

说明：远程访问用户已通过身份验证。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713056: Tunnel rejected: SA (SA_name ) not found for group (group_name )!

说明：找不到 IPsec SA。

建议的操作：如果这是远程访问隧道，请检查组和用户配置，并验证是否为特定用户组配置了隧道组和组策略。对于通过外部身份验证的用户和组，请检查返回的身份验证属性。

错误消息 %ASA-3-713060: Tunnel Rejected: User (user ) not member of group (group_name ), group-lock check failed.

说明：用户被配置进入 IPsec 协商中发送的组之外的其他组。

建议的操作：如果使用思科 VPN 客户端和预共享密钥，请确保在客户端上配置的组与 ASA中与用户关联的组相同。如果使用数字证书，则该组由证书的 OU 字段决定，或者用户自动默认为远程访问默认组。

错误消息 %ASA-3-713061: Tunnel rejected: Crypto Map Policy not found for Src:source_address , Dst: dest_address !

说明：ASA无法找到消息中所示的专用网络或主机的安全策略信息。这些网络或主机由发起方发送，与 ASA中的任何加密 ACL 均不匹配。这很可能是配置错误。

建议的操作：检查在双方加密 ACL 中受保护的网络配置，确保发起方的本地网是响应方的远程网，反之亦然。特别注意通配符掩码和主机地址（而不是网络地址）。非思科实施可能具有标记为代理地址或红色网络的专用地址。

错误消息 %ASA-3-713062: IKE Peer address same as our interface address IP_address

说明：配置为 IKE 对等体的 IP 地址与在一个 ASA IP 接口上配置的 IP 地址相同。

建议的操作：检查 L2L 和 IP 接口配置。

错误消息 %ASA-3-713063: IKE Peer address not configured for destination IP_address

说明：未为 L2L 隧道配置 IKE 对等体地址。

建议的操作：检查 L2L 配置。

错误消息 %ASA-3-713065: IKE Remote Peer did not negotiate the following: proposal attribute

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-7-713066: IKE Remote Peer configured for SA: SA_name

说明：已配置对等体的加密策略设置。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713068: Received non-routine Notify message: notify_type (notify_value)

说明：导致此事件的通知消息未通过通知处理代码显式处理。

建议的操作：检查具体原因以确定要采取的操作。许多通知消息都会指示 IKE 对等体之间的配置不匹配。

错误消息 %ASA-3-713072: Password for user (user ) too long, truncating to number characters

说明：用户密码过长。

建议的操作：更正身份验证服务器上的密码长度。

错误消息 %ASA-5-713073: Responder forcing change of Phase 1 /Phase 2 rekeying duration from larger_value to smaller_value seconds

说明：密钥更新持续时间始终设置为 IKE 对等体建议的较低值。发起方的值较低。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713074: Responder forcing change of IPsec rekeying duration from larger_value to smaller_value Kbs

说明：密钥更新持续时间始终设置为 IKE 对等体建议的较低值。发起方的值较低。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713075: Overriding Initiator's IPsec rekeying duration from larger_value to smaller_value seconds

说明：密钥更新持续时间始终设置为 IKE 对等体建议的较低值。响应方的值较低。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713076: Overriding Initiator's IPsec rekeying duration from larger_value to smaller_value Kbs

说明：密钥更新持续时间始终设置为 IKE 对等体建议的较低值。响应方的值较低。

建议的操作：无需执行任何操作。

错误消息 %ASA-2-713078: Temp buffer for building mode config attributes exceeded: bufsize available_size , used value

说明：处理 modecfg 属性时发生了内部软件错误。

建议的操作：禁用任何不必要的隧道组属性，或缩短任何过长的文本消息。如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713081: Unsupported certificate encoding type encoding_type

说明：有一个已加载证书无法读取，而且可能是不受支持的编码方案。

建议的操作：检查数字证书和信任点配置。

错误消息 %ASA-3-713082: Failed to retrieve identity certificate

说明：找不到此隧道的身份证书。

建议的操作：检查数字证书和信任点配置。

错误消息 %ASA-3-713083: Invalid certificate handle

说明：找不到此隧道的身份证书。

建议的操作：检查数字证书和信任点配置。

错误消息 %ASA-3-713084: Received invalid phase 1 port value (port ) in ID payload

说明：IKE 第 1 阶段 ID 负载中收到的端口值不正确。可接受的值为 0 或 500 （ISAKMP 也称为 IKE）。

建议的操作：确保对等体符合 IKE 标准，以免网络问题导致数据包损坏。

错误消息 %ASA-3-713085: Received invalid phase 1 protocol (protocol ) in ID payload

说明：IKE 第 1 阶段 ID 负载中收到的协议值不正确。可接受的值为 0 或 17 (UDP)。

建议的操作：确保对等体符合 IKE 标准，以免网络问题导致数据包损坏。

错误消息 %ASA-3-713086: Received unexpected Certificate payload Possible invalid Auth Method (Auth method (auth numerical value))

说明：系统已收到证书负载，但我们的内部证书句柄表示我们没有身份证书。系统未通过正常的注册方法获取证书句柄。出现这种情况的一种可能原因是，未通过 RSA 或 DSS 签名进行身份验证，但任何一方配置错误也都会导致 IKE SA 协商失败。

建议的操作：检查 ASA 及其对等体上的信任点和 ISAKMP 配置设置。

错误消息 %ASA-3-713088: Set Cert filehandle failure: no IPsec SA in group group_name

说明：系统无法根据数字证书信息找到隧道组。

建议的操作：验证隧道组是否设置正确，可处理对等体的证书信息。

错误消息 %ASA-5-713092: Failure during phase 1 rekeying attempt due to collision

说明：发生了内部软件错误。这通常是良性事件。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-7-713094: Cert validation failure: handle invalid for Main /Aggressive Mode Initiator /Responder !

说明：发生了内部软件错误。

建议的操作：您可能需要重新注册信任点。如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713098: Aborting: No identity cert specified in IPsec SA (SA_name )!

说明：系统尝试建立基于证书的 IKE 会话，但加密策略中未指定身份证书。

建议的操作：指定您希望向对等体传输的身份证书或信任点。

错误消息 %ASA-7-713099: Tunnel Rejected: Received NONCE length number is out of range!

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713102: Phase 1 ID Data length number too long - reject tunnel!

说明：IKE 收到的 ID 负载包含的标识数据字段达到 2K 字节或更大。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713103: Invalid (NULL) secret key detected while computing hash

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-7-713104: Attempt to get Phase 1 ID data failed while hash computation

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713105: Zero length data in ID payload received during phase 1 or 2 processing

说明：对等体发送的 ID 负载不包括任何 ID 数据，这是无效的。

建议的操作：检查对等体的配置。

错误消息 %ASA-3-713107: IP_Address request attempt failed!

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713109: Unable to process the received peer certificate

说明：ASA无法处理从远程对等体接收的证书，可能是由于证书数据格式不正确（例如，公钥大小超过 4096 位），或 ASA无法存储证书中的数据。

建议的操作：尝试使用远程对等体上的其他证书重新建立连接。

错误消息 %ASA-3-713112: Failed to process CONNECTED notify (SPI SPI_value )!

说明：ASA无法成功处理包含“已连接”通知类型的通知负载。如果无法使用 SPI 找到 IKE 第 2 阶段结构，或是接收的 ISAKMP 报头中未设置提交位，就可能出现这种错误。后一种情况可能表示 IKE 对等体不合规。

建议的操作：如果问题仍然存在，请检查对等体的配置和/或禁用提交位处理。

错误消息 %ASA-7-713113: Deleting IKE SA with associated IPsec connection entries. IKE peer: IP_address , SA address: internal_SA_address , tunnel count: count

说明：正在使用非零隧道计数删除 IKE SA，这意味着 IKE SA 隧道计数与关联连接条目失去同步，或是这些条目的关联连接 cookie 字段与连接条目指向的 IKE SA 的 cookie 字段失去同步。如果发生这种情况，系统将不会释放 IKE SA 及其关联的数据结构，以便指向它的条目不存在过时指针。

建议的操作：无需执行任何操作。内置错误恢复功能。

错误消息 %ASA-7-713114: Connection entry (conn entry internal address) points to IKE SA (SA_internal_address ) for peer IP_address , but cookies don't match

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-5-713115: Client rejected NAT enabled IPsec request, falling back to standard IPsec

说明：客户端拒绝 ASA尝试使用 IPsec over UDP。使用 IPsec over UDP 可允许多个客户端通过 NAT 设备建立通往 ASA的并行隧道。由于客户端不支持此功能或配置为不使用此功能，客户端可能已拒绝该请求。

建议的操作：验证前端和对等体上的配置。

错误消息 %ASA-7-713117: Received Invalid SPI notify (SPI SPI_Value )!

说明：在远程对等体上，由 SPI 值标识的 IPsec SA 未处于活动状态，这可能表示远程对等体已重新启动或重置。

建议的操作：当 DPD 意识到对等体未建立适当的 SA 时，该问题可自行解决。如果未启用 DPD，您可能需要手动重建受影响的隧道。

错误消息 %ASA-3-713118: Detected invalid Diffie-Helmann group_descriptor group_number , in IKE area

说明：group_descriptor 字段包含不受支持的值。目前仅支持租 1、2、5 和 7。对于 centry，系统可能将 group_descriptor 字段设置为 0，表示完美前向保密已禁用。

建议的操作：检查对等体的 Diffie Hellman 配置。

错误消息 %ASA-5-713119: Group group IP ip PHASE 1 COMPLETED

说明：IKE 第 1 阶段成功完成。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713120: PHASE 2 COMPLETED (msgid=msg_id )

说明：IKE 第 2 阶段成功完成。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713121: Keep-alive type for this connection: keepalive_type

说明：此消息指示用于此隧道的保持连接机制类型。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713122: Keep-alives configured keepalive_type but peer IP_address support keep-alives (type = keepalive_type )

说明：此设备的保持连接机制设置为打开或关闭，但 IKE 对等体可能会/不会支持保持连接机制。

建议的操作：如果此配置是有意为之，则无需执行任何操作。否则，请在两台设备上更改保持连接配置。

错误消息 %ASA-3-713123: IKE lost contact with remote peer, deleting connection (keepalive type: keepalive_type )

说明：远程 IKE 对等体未能在预期时间窗口内响应保持连接请求，因此与 IKE 对等体的连接已终止。消息中包含采用的保持连接机制。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713124: Received DPD sequence number rcv_sequence_# in DPD Action, description expected seq #

说明：远程 IKE 对等体发送的 DPD 序列号与预期序列号不匹配。数据包被丢弃。这可能表示网络中出现了丢包问题。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713127: Xauth required but selected Proposal does not support xauth, Check priorities of ike xauth proposals in ike proposal list

说明：对等体希望执行 XAUTH，但 ASA未选择 XAUTH IKE 方案。

建议的操作：检查 IKE 方案列表中 IKE xauth 方案的优先级。

错误消息 %ASA-6-713128: Connection attempt to VCPIP redirected to VCA peer IP_address via load balancing

说明：系统尝试连接 VCPIP，但通过负载均衡被重定向至负载较小的对等体。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713129: Received unexpected Transaction Exchange payload type: payload_id

说明：系统在执行 XAUTH 或 Mode Cfg 期间收到意外负载，这可能表示两个对等体不同步、XAUTH 或 Mode Cfg 版本不匹配，或远程对等体未遵循适当的 RFC。

建议的操作：验证对等体之间的配置。

错误消息 %ASA-5-713130: Received unsupported transaction mode attribute: attribute id

说明：设备收到了当前不支持的有效事务模式属性（XAUTH 或 Mode Cfg）请求。这通常是良性状况。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713131: Received unknown transaction mode attribute: attribute_id

说明：ASA已收到对事务模式属性（XAUTH 或 Mode Cfg）的请求，但该属性超出已知属性范围。属性可能有效，但仅在更高版本的配置模式中受支持，也可能是对等体发送了非法值或专有值。这应该不会导致连接问题，但可能会影响对等体的功能。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713132: Cannot obtain an IP_address for remote peer

说明：无法从提供 IP 地址的内部实用程序中请求远程访问客户端的 IP 地址。

建议的操作：检查 IP 地址分配方法的配置。

错误消息 %ASA-3-713133: Mismatch: Overriding phase 2 DH Group(DH group DH group_id ) with phase 1 group(DH group DH group_number

说明：已配置的第 2 阶段 PFS 组不同于为第 1 阶段协商的 DH 组。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713134: Mismatch: P1 Authentication algorithm in the crypto map entry different from negotiated algorithm for the L2L connection

说明：已配置的局域网互联方案不同于局域网互联连接中接受的方案。系统将根据不同的发起方使用不同的方案。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713135: message received, redirecting tunnel to IP_address .

说明：远程 ASA负载均衡导致隧道重定向。收到了 REDIRECT_CONNECTION 通知数据包。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713136: IKE session establishment timed out [IKE_state_name ], aborting!

说明：获取器检测到 ASA处于非活动状态。获取器将尝试删除非活动 ASA。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713137: Reaper overriding refCnt [ref_count] and tunnelCnt [tunnel_count] -- deleting SA!

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713138: Group group_name not found and BASE GROUP default preshared key not configured

说明：组数据库中不存在与对等体 IP 地址同名的组。在主模式下，ASA将回退并尝试使用其中一个默认组中配置的默认预共享密钥。未配置默认预共享密钥。

建议的操作：验证预共享密钥的配置。

错误消息 %ASA-5-713139: group_name not found, using BASE GROUP default preshared key

说明：组数据库中不存在与对等体 IP 地址同名的隧道组。在主模式下，ASA将回退并使用默认组中配置的默认预共享密钥。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713140: Split Tunneling Policy requires network list but none configured

说明：拆分隧道策略设置为拆分隧道或允许本地 LAN 访问。必须定义拆分隧道 ACL 来表示 VPN 客户端所需的信息。

建议的操作：检查 ACL 的配置。

错误消息 %ASA-3-713141: Client-reported firewall does not match configured firewall: action tunnel. Received -- Vendor: vendor(id) , Product product(id) , Caps: capability_value . Expected -- Vendor: vendor(id) , Product: product(id) , Caps: capability_value

说明：客户端上安装的 ASA与已配置的所需 ASA不匹配。此消息列出实际值和预期值，以及是终止还是允许隧道。

建议的操作：您可能需要在客户端上安装其他个人 ASA或更改 ASA上的配置。

错误消息 %ASA-3-713142: Client did not report firewall in use, but there is a configured firewall: action tunnel. Expected -- Vendor: vendor(id) , Product product(id) , Caps: capability_value

说明：客户端未使用 ModeCfg 来报告正在使用的 ASA，但是必需该设备。该事件列出预期值，以及是终止还是允许隧道。请注意，产品字符串后面的数字是所有允许的产品的位掩码。

建议的操作：您可能需要在客户端上安装其他个人 ASA或更改 ASA上的配置。

错误消息 %ASA-7-713143: Processing firewall record. Vendor: vendor(id) , Product: product(id) , Caps: capability_value , Version Number: version_number , Version String: version_text

说明：系统将显示有关客户端上安装的 ASA的调试信息。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713144: Ignoring received malformed firewall record; reason - error_reason TLV type attribute_value correction

说明：从客户端收到了错误的 ASA信息。

建议的操作：检查客户端和 ASA上的个人配置。

错误消息 %ASA-6-713145: Detected Hardware Client in network extension mode, adding static route for address: IP_address , mask: netmask

说明：已协商与处于网络扩展模式的硬件客户端之间的隧道，并且正在为硬件客户端背后的专用网络添加静态路由。通过此配置，ASA使头端的所有专用路由器可以获知远程网络。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713146: Could not add route for Hardware Client in network extension mode, address: IP_address , mask: netmask

说明：发生了内部软件错误。已协商与处于网络扩展模式的硬件客户端之间的隧道，但是尝试为硬件客户端背后的专用网络添加静态路由的操作失败。路由表可能已满，或者可能发生了寻址错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-6-713147: Terminating tunnel to Hardware Client in network extension mode, deleting static route for address: IP_address , mask: netmask

说明：系统正在移除通向处于网络扩展模式的硬件客户端的隧道，并且正在删除硬件客户端背后的专用网络的静态路由。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713148: Terminating tunnel to Hardware Client in network extension mode, unable to delete static route for address: IP_address , mask: netmask

说明：在移除通向处于网络扩展模式的硬件客户端的隧道时，无法删除通向硬件客户端背后的专用网络的路由。这可能表示编址或软件有问题。

建议的操作：检查路由表以确保该路由不存在于其中。如果路由表包含该路由，则可能必须手动将其移除，但仅当已完全移除通向硬件客户端的隧道时才能执行此操作。

错误消息 %ASA-3-713149: Hardware client security attribute attribute_name was enabled but not requested.

说明：头端 ASA已启用指定的硬件客户端安全属性，但是 VPN 3002 硬件客户端未请求该属性。

建议的操作：检查硬件客户端上的配置。

错误消息 %ASA-3-713152: Unable to obtain any rules from filter ACL_tag to send to client for CPP, terminating connection.

说明：客户端需要使用 CPP 来调配其 ASA，但是头端设备无法获取要发送到客户端的任何 ACL。这可能是配置错误导致的。

建议的操作：检查客户端的组策略中为 CPP 指定的 ACL。

错误消息 %ASA-4-713154: DNS lookup for peer_description Server [server_name ] failed!

说明：当未解析对于指定服务器的 DNS 查询时，系统会显示此消息。

建议的操作：检查 ASA上的 DNS 服务器配置。此外，请检查 DNS 服务器，以确保其正常运行并具有主机名到 IP 地址的映射。

错误消息 %ASA-5-713155: DNS lookup for Primary VPN Server [server_name ] successfully resolved after a previous failure. Resetting any Backup Server init.

说明：主服务器先前的 DNS 查询故障可能已导致 ASA将备份对等体初始化。此消息表示主服务器上后来的 DNS 查询最终成功，并且正在重置任何备份服务器初始化。此后启动的隧道将以主服务器为目标。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713156: Initializing Backup Server [server_name or IP_address ]

说明：客户端由于故障正在切换到备份服务器，或者主服务器的 DNS 查询失败导致了 ASA将备份服务器初始化。此后启动的隧道将以指定的备份服务器为目标。

建议的操作：无需执行任何操作。

错误消息 %ASA-4-713157: Timed out on initial contact to server [server_name or IP_address ] Tunnel could not be established.

说明：客户端已尝试通过发出 IKE MSG1 来启动隧道，但未从另一端的 ASA收到响应。如果备份服务器可用，则客户端将尝试连接到其中一个备份服务器。

建议的操作：验证与头端 ASA的连接。

错误消息 %ASA-5-713158: Client rejected NAT enabled IPsec Over UDP request, falling back to IPsec Over TCP

说明：客户端配置为使用 IPsec over TCP。客户端已拒绝 ASA对于使用 IPsec over UDP 的尝试。

建议的操作：如果期望使用 TCP，则无需执行任何操作。否则，请检查客户端配置。

错误消息 %ASA-3-713159: TCP Connection to Firewall Server has been lost, restricted tunnels are now allowed full network access

说明：由于某个原因（例如服务器已重启，发生了网络问题，或者出现 SSL 不匹配），与 ASA服务器的 TCP 连接已中断。

建议的操作：如果在建立初始连接后丢失服务器连接，则必须检查服务器和网络连接。如果初始连接立即丢失，这可能表示发生了 SSL 身份验证问题。

错误消息 %ASA-7-713160: Remote user (session Id - id ) has been granted access by the Firewall Server

说明：已对 ASA 服务器的远程用户进行常规身份验证。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713161: Remote user (session Id - id ) network access has been restricted by the Firewall Server

说明：ASA 服务器已向 ASA发送一条消息，指示必须限制此用户。发生此情况有多个原因，包括 ASA软件升级或权限更改。完成操作后，ASA服务器随即会使用户重新切换回完全访问模式。

建议的操作：除非用户永远不重新切换回完全访问状态，否则无需执行任何操作。如果用户需要切换，请访问 ASA服务器，获取有关正在执行的操作以及在远程设备上运行的 ASA软件状态的更多信息。

错误消息 %ASA-3-713162: Remote user (session Id - id ) has been rejected by the Firewall Server

说明：ASA服务器已拒绝此用户。

建议的操作：查看有关 ASA服务器的策略信息以确保用户配置正确。

错误消息 %ASA-3-713163: Remote user (session Id - id ) has been terminated by the Firewall Server

说明：ASA服务器已终止此用户会话，如果完整性代理在客户端设备上停止运行，或者远程用户以任何方式修改了安全策略，就可能会出现这种情况。

建议的操作：验证客户端设备上的 ASA软件是否仍在运行，以及策略是否正确。

错误消息 %ASA-7-713164: The Firewall Server has requested a list of active user sessions

说明：如果 ASA服务器检测到其具有过时数据，或者丢失了会话数据（由于重启），则将请求会话信息。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713165: Client IKE Auth mode differs from the group's configured Auth mode

说明：客户端在其隧道组指向配置为使用数字证书的策略时使用预共享密钥进行了协商。

建议的操作：检查客户端配置。

错误消息 %ASA-3-713166: Headend security gateway has failed our user authentication attempt - check configured username and password

说明：硬件客户端未能通过扩展身份验证。这很可能是由于用户名和密码存在问题，或者身份验证服务器发生问题。

建议的操作：验证每一端上已配置的用户名和密码值是否匹配。此外，请验证头端的身份验证服务器是否正常运行。

错误消息 %ASA-3-713167: Remote peer has failed user authentication - check configured username and password

说明：远程用户未能扩展身份验证。这很可能是由于用户名或密码存在问题，或者身份验证服务器发生问题。

建议的操作：验证每一端上已配置的用户名和密码值是否匹配。此外，请验证用于对远程用户进行身份验证的身份验证服务器是否正常运行。

错误消息 %ASA-3-713168: Re-auth enabled, but tunnel must be authenticated interactively!

说明：已启用对重新生成密钥的重新身份验证，但是隧道身份验证需要人工干预。

建议的操作：如果需要人工干预，则无需执行任何操作。否则，请检查交互式身份验证配置。

错误消息 %ASA-7-713169: IKE Received delete for rekeyed SA IKE peer: IP_address , SA address: internal_SA_address , tunnelCnt: tunnel_count

说明：IKE 已从远程对等体收到一条删除消息，表明在重新生成密钥完成后将删除其旧 IKE SA。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713170: Group group IP ip IKE Received delete for rekeyed centry IKE peer: IP_address , centry address: internal_address , msgid: id

说明：IKE 已从远程对等体收到一条删除消息，表明在第 2 阶段重新生成密钥完成后将删除其旧 centry。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713171: NAT-Traversal sending NAT-Original-Address payload

说明：在第 2 阶段建议或选择了 UDP 封装传输。在此情况下，请为 NAT 穿越发送此负载。

建议的操作：无需执行任何操作。

错误消息 %ASA-6-713172: Automatic NAT Detection Status: Remote end is |is not behind a NAT device This end is |is not behind a NAT device

说明：NAT 穿越自动检测到 NAT。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713174: Hardware Client connection rejected! Network Extension Mode is not allowed for this group!

说明：硬件客户端正在尝试使用网络扩展模式进入隧道，但是系统不允许网络扩展模式。

建议的操作：验证网络扩展模式与 PAT 模式的配置。

错误消息 %ASA-2-713176: Device_type memory resources are critical, IKE key acquire message on interface interface_number , for Peer IP_address ignored

说明：ASA正在处理旨在触发通向所指示对等体的 IPsec 隧道的数据。由于内存资源处于临界状态，因此不会再启动任何隧道。系统已忽略并丢弃数据包。

建议的操作：如果此情况仍然存在，请验证是否高效配置了 ASA。此应用可能需要具有更多内存的 ASA。

错误消息 %ASA-6-713177: Received remote Proxy Host FQDN in ID Payload: Host Name: host_name Address IP_address , Protocol protocol , Port port

说明：已从对等体收到包含 FQDN 的第 2 阶段 ID 负载。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713178: IKE Initiator received a packet from its peer without a Responder cookie

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-5-713179: IKE AM Initiator received a packet from its peer without a payload_type payload

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713182: IKE could not recognize the version of the client! IPsec Fragmentation Policy will be ignored for this connection!

说明：发生了内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-6-713184: Client Type: Client_type Client Application Version: Application_version_string

说明：系统显示客户端操作系统和应用版本。如果这些信息不可用，则系统将指示不适用。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713185: Error: Username too long - connection aborted

说明：客户端返回了长度无效的用户名，并且隧道已断开。

建议的操作：检查用户名，并在必要时进行更改。

错误消息 %ASA-3-713186: Invalid secondary domain name list received from the authentication server. List Received: list_text Character index (value ) is illegal

说明：从外部 RADIUS 身份验证服务器收到了无效的辅助域名列表。使用拆分隧道后，此列表将标识客户端应通过隧道解析的域。

建议的操作：更正 RADIUS 服务器上指定的 Secondary-Domain-Name-List 属性（供应商特定属性 29）。必须将列表指定为域名的逗号分隔列表。域名只能包含字母数字字符、连字符、下划线和句点。

错误消息 %ASA-7-713187: Tunnel Rejected: IKE peer does not match remote peer as defined in L2L policy IKE peer address: IP_address , Remote peer address: IP_address

说明：正在尝试启用此隧道的 IKE 对等体不是 ISAKMP 配置中配置的绑定到已接收远程子网的对等体。

建议的操作：验证在头端和对等体上， L2L 设置是否正确。

错误消息 %ASA-3-713189: Attempted to assign network or broadcast IP_address , removing ( IP_address ) from pool.

说明：池中的 IP 地址是此子网的网络地址或广播地址。此地址将标记为不可用。

建议的操作：此错误通常为良性，但是应检查 IP 地址池配置。

错误消息 %ASA-7-713190: Got bad refCnt ( ref_count_value ) assigning IP_address ( IP_address )

说明：此 SA 的参考计数器无效。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713191: Maximum concurrent IKE negotiations exceeded!

说明：为尽量减少 CPU 密集型加密计算，ASA会限制正在进行中的连接协商的数量。在请求新协商且 ASA已到达其限制后，系统将拒绝此新协商。在现有连接协商完成后，系统将再次允许新连接协商。

建议的操作：请参阅 crypto ikev1 limit max-in-negotiation-sa 命令。增大限制可能会降低性能。

错误消息 %ASA-3-713193: Received packet with missing payload, Expected payload: payload_id

说明：ASA收到指定交换类型的具有一个或多个缺失负载的已加密或未加密数据包。这通常表示对等体发生了问题。

建议的操作：验证对等体是否发送的是有效的 IKE 消息。

错误消息 %ASA-3-713194: Sending IKE |IPsec Delete With Reason message: termination_reason

说明：收到了包含终止原因代码的删除消息。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713195: Tunnel rejected: Originate-Only: Cannot accept incoming tunnel yet!

说明：仅发起对等体只有在其启用第一条 P2 隧道后，才能接受传入连接。此时，来自任一方向的数据都可以启动其他第 2 阶段隧道。

建议的操作：如果期望出现其他行为，则需要修改仅发起配置。

错误消息 %ASA-5-713196: Remote L2L Peer IP_address initiated a tunnel with same outer and inner addresses. Peer could be Originate Only - Possible misconfiguration!

说明：远程 L2L 对等体已启动公用-公用隧道。远程 L2L 对等体期望从另一端的对等体获取响应，但是可能由于配置错误，并未收到响应。

建议的操作：检查两端的 L2L 配置。

错误消息 %ASA-5-713197: The configured Confidence Interval of number seconds is invalid for this tunnel_type connection. Enforcing the second default.

说明：组中配置的置信区间超出有效范围。

建议的操作：检查组中的置信度设置以确保其在有效范围内。

错误消息 %ASA-3-713198: User Authorization failed: user User authorization failed. Username could not be found in the certificate

说明：系统显示用于声明无法在证书中找到用户名的原因字符串。

建议的操作：检查组配置和客户端授权。

错误消息 %ASA-5-713199: Reaper corrected an SA that has not decremented the concurrent IKE negotiations counter ( counter_value )!

说明：获取器已更正内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713203: IKE Receiver: Error reading from socket.

说明：读取收到的 IKE 数据包时发生了错误。这通常是内部错误，可能表示软件出现了问题。

建议的操作：此问题通常为良性，系统将自行更正。如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-7-713204: Adding static route for client address: IP_address

说明：此消息表示已向路由表添加通向对等体分配的地址或受硬件客户端保护的网络的路由。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713205: Could not add static route for client address: IP_address

说明：尝试添加通向客户端分配的地址或受硬件客户端保护的网络的路由失败。这可能表示路由表中的路由重复或网络地址已损坏。重复路由可能是未正确清除路由或者多个客户端共享网络或地址导致的。

建议的操作：检查 IP 本地池配置，以及当前使用的任何其他 IP 地址分配机制（例如，DHCP 或 RADIUS）。请确保从路由表中清除路由。此外，请检查对等体上的网络和/或地址的配置。

错误消息 %ASA-3-713206: Tunnel Rejected: Conflicting protocols specified by tunnel-group and group-policy

说明：由于组策略中指定的允许隧道与隧道组配置中的允许隧道不同，因此隧道被丢弃。

建议的操作：检查隧道组和组策略配置。

错误消息 %ASA-4-713207: Terminating connection: IKE Initiator and tunnel group specifies L2TP Over IPSec

说明：如果网关是发起方且隧道组类型为 L2TP over IPSEC，则在终止连接的同时会为 ikev1 显示此系统日志。

建议的操作： 无需执行任何操作。

错误消息 %ASA-3-713208: Cannot create dynamic rule for Backup L2L entry rule rule_id

说明：创建用于触发 IKE 并使 IPsec 数据能够正确处理的 ACL 失败。该失败情况特定于备份 L2L 配置，这可能表示配置错误、容量错误或内部软件错误。

建议的操作：如果 ASA运行的是最大数量的连接和 VPN 隧道，则可能存在内存问题。否则，请检查备份 L2L 和加密映射配置，特别是与加密映射关联的 ACL。

错误消息 %ASA-3-713209: Cannot delete dynamic rule for Backup L2L entry rule id

说明：删除用于触发 IKE 并使 IPsec 数据能够正确处理的 ACL 失败。该失败情况特定于备份 L2L 配置。这可能表示内部软件错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713210: Cannot create dynamic map for Backup L2L entry rule_id

说明：创建与备份 L2L 配置关联的动态加密映射的运行时实例失败。这可能表示配置错误、容量错误或内部软件错误。

建议的操作：如果 ASA运行的是最大数量的连接和 VPN 隧道，则可能存在内存问题。否则，请检查备份 L2L 和加密映射配置，特别是与加密映射关联的 ACL。

错误消息 %ASA-6-713211: Adding static route for L2L peer coming in on a dynamic map. address: IP_address , mask: netmask

说明：ASA 正在为对等体的专用地址或网络添加路由。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713212: Could not add route for L2L peer coming in on a dynamic map. address: IP_address , mask: netmask

说明：ASA在尝试为对等体的专用地址或网络添加路由时发生故障。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。这可能表示路由重复，路由表已满或 ASA未能删除先前使用的路由。

检查路由表以确保可以添加其他路由，并且不存在过时路由。如果路由表已满或包含过时路由，请删除路由并重试。如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-6-713213: Deleting static route for L2L peer that came in on a dynamic map. address: IP_address , mask: netmask

说明：ASA正在删除对等体的专用地址或网络的路由。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713214: Could not delete route for L2L peer that came in on a dynamic map. address: IP_address , mask: netmask

说明：ASA删除对等体的专用地址或网络的路由失败。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。可能已删除路由，或者发生了内部软件错误。

建议的操作：如果已删除路由，则情况为良性，并且设备将正常运行。如果问题仍然存在或者可能与 VPN 隧道链路上的路由问题有关，请检查 VPN L2L 配置的路由和寻址部分。检查反向路由注入以及与相应加密映射关联的 ACL。如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-6-713215: No match against Client Type and Version rules. Client: type version is /is not allowed by default

说明：客户端的客户端类型和版本与 ASA上配置的任何规则都不匹配。系统将显示默认操作。

建议的操作：确定默认操作和部署要求，并进行适用的更改。

错误消息 %ASA-5-713216: Rule: action [Client type]: version Client: type version allowed/not allowed

说明：客户端的客户端类型和版本已与一个规则相匹配。系统将显示匹配结果和该规则。

建议的操作：确定部署要求，并进行相应的更改。

错误消息 %ASA-3-713217: Skipping unrecognized rule: action: action client type: client_type client version: client_version

说明：存在格式不正确的客户端类型和版本规则。格式应为“操作客户端类型 | 客户端版本操作”。“会话管理”下会显示允许或拒绝客户端类型和客户端版本。仅支持每个参数使用一个通配符 (*)。

建议的操作：更正规则。

错误消息 %ASA-3-713218: Tunnel Rejected: Client Type or Version not allowed.

根据所配置的规则，系统已拒绝客户端进行访问。

无需执行任何操作。

错误消息 %ASA-6-713219: Queuing KEY-ACQUIRE messages to be processed when P1 SA is complete.

说明：在第 1 阶段完成后，第 2 阶段消息正在入队等待处理。

建议的操作：无需执行任何操作。

错误消息 %ASA-6-713220: De-queuing KEY-ACQUIRE messages that were left pending.

说明：正在处理已入队的第 2 阶段消息。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713221: Static Crypto Map check, checking map = crypto_map_tag , seq = seq_number...

说明：ASA正在迭代加密映射，从而查找配置信息。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713222: Group group Username username IP ip Static Crypto Map check, map = crypto_map_tag , seq = seq_number , ACL does not match proxy IDs src:source_address dst:dest_address

说明：在迭代已配置的加密映射时，ASA无法与任何关联的 ACL 匹配。这通常意味着 ACL 配置错误。

建议的操作：检查与此隧道对等体关联的 ACL，并确保它们从 VPN 隧道的两端指定相应的专用网络。

错误消息 %ASA-7-713223: Static Crypto Map check, map = crypto_map_tag , seq = seq_number , no ACL configured

说明：与此对等体关联的加密映射未链接到 ACL。

建议的操作：确保存在与此加密映射关联的 ACL，并且该 ACL 包含来自 VPN 隧道两端的相应专用地址或网络。

错误消息 %ASA-7-713224: Static Crypto Map Check by-passed: Crypto map entry incomplete!

说明：与此 VPN 隧道关联的加密映射缺少重要信息。

建议的操作：验证加密映射是否正确配置了 VPN 对等体、转换集和关联 ACL。

错误消息 %ASA-7-713225: [IKEv1], Static Crypto Map check, map map_name , seq = sequence_number is a successful match

说明：ASA找到了此 VPN 隧道的有效匹配加密映射。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713226: Connection failed with peer IP_address , no trust-point defined in tunnel-group tunnel_group

说明：当设备配置为使用数字证书时，必须在配置中指定信任点。当配置中缺少信任点时，会生成此消息来标记错误。

• IP_address - 对等体的 IP 地址
• tunnel_group - 配置中缺少其信任点的隧道组

建议的操作：设备的管理员必须在配置中指定信任点。

错误消息 %ASA-3-713227: Rejecting new IPsec SA negotiation for peer Peer_address . A negotiation was already in progress for local Proxy Local_address /Local_netmask , remote Proxy Remote_address /Remote_netmask

说明：在建立阶段 SA 时，ASA将拒绝与此代理相匹配的第 2 阶段。

建议的操作：无需执行任何操作。

错误消息 %ASA-6-713228: Group = group , Username = uname , IP = remote_IP_address Assigned private IP address assigned_private_IP to remote user

说明：IKE 从 DHCP 或从地址池获取了客户端的专用 IP 地址。

• group - 组的名称
• uname - 用户的名称
• remote_IP_address - 远程客户端的 IP 地址
• assigned_private_IP - 由 DHCP 分配或来自本地地址池的客户端 IP 地址

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713229: Auto Update - Notification to client client_ip of update string: message_string .

说明：VPN 远程接入客户端收到通知，指示有已更新的软件可供下载。远程客户端用户负责选择更新客户端访问软件。

• client_ip - 远程客户端的 IP 地址
• message_string - 发送到远程客户端的消息文本

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713230 Internal Error, ike_lock trying to lock bit that is already locked for type type

说明：发生内部错误，系统报告 IKE 子系统正在尝试锁定已锁定的内存。这表示用于防止 IKE SA 出现内存违规的信号发生了错误。此消息并不表示出现了任何严重错误。但是，发生了意外事件，并且正在自动执行相应的步骤以进行恢复。

• >type - 用于描述发生了锁定问题的信号类型的字符串

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713231 Internal Error, ike_lock trying to unlock bit that is not locked for type type

说明：发生内部错误，报告表明 IKE 子系统正在尝试解锁当前未锁定的内存。这表示用于防止 IKE SA 出现内存违规的信号发生了错误。此消息并不表示出现了任何严重错误。但是，发生了意外事件，并且正在自动执行相应的步骤以进行恢复。

• type - 用于描述发生了锁定问题的信号类型的字符串

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713232 SA lock refCnt = value , bitmask = hexvalue , p1_decrypt_cb = value , qm_decrypt_cb = value , qm_hash_cb = value , qm_spi_ok_cb = value , qm_dh_cb = value , qm_secret_key_cb = value , qm_encrypt_cb = value

说明：所有 IKE SA 都已锁定，并已检测到可能的错误。此消息报告用于防止 IKE SA 出现内存违规的信号发生了错误。

• >value - 十进制值
• >hexvalue - 十六进制值

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-7-713233: (VPN-unit ) Remote network (remote network ) validated for network extension mode.

说明：已验证在第 2 阶段协商期间接收的远程网络。该消息表示在网络扩展模式客户端的第 2 阶段协商期间远程网络检查的结果。这是现有功能的一部分，用于防止用户错误配置硬件客户端网络（例如，在多个客户端上配置重叠网络或同一网络）。

• remote network - 来自第 2 阶段代理的子网地址和子网掩码

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713234: (VPN-unit) Remote network (remote network ) from network extension mode client mismatches AAA configuration (aaa network ).

说明：在第 2 阶段协商期间接收的远程网络与此会话从 AAA 服务器返回的 framed-ip-address 和 ramed-subnet-mask 不匹配。

• remote network - 来自第 2 阶段代理的子网地址和子网掩码
• aaa network - 通过 AAA 配置的子网地址和子网掩码

建议的操作：请执行以下操作之一：

• 检查此用户和组的地址分配，然后检查硬件客户端上的网络配置，并更正任何不一致情况。
• 禁用此用户和组的地址分配。

错误消息 %ASA-6-713235: Attempt to send an IKE packet from standby unit. Dropping the packet!

说明：通常情况下，绝不应将 IKE 数据包从备用设备发送到远程对等体。如果进行了此类尝试，则表示可能已发生内部逻辑错误。由于保护代码，数据包永远不会离开备用设备。此消息有助于执行调试。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713236: IKE_DECODE tx/rx Message (msgid=msgid) with payloads:payload1 (payload1_len) + payload2 (payload2_len)...total length: tlen

说明：IKE 已发送或收到各种消息。

以下示例显示 IKE 在收到包含 8 字节散列负载、11 字节通知负载和两个 13 字节供应商特定负载的消息时的输出。

%ASA-7-713236: IKE_DECODE RECEIVED Message msgid=0) with payloads: HDR + HASH (8) + NOTIFY (11) + VENDOR (13) + VENDOR (13) + NONE (0) 

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713237: ACL update (access_list ) received during re-key re-authentication will not be applied to the tunnel.

说明：在以下情况下会出现远程接入 IPsec 隧道的第 1 阶段密钥更新：

• 隧道配置为在隧道密钥更新后，对用户重新进行身份验证。
• RADIUS 服务器返回访问列表或对本地配置的访问列表的引用，该访问列表与首次建立隧道时返回的访问列表不同。

建议的操作：在这些情况下，ASA会忽略新访问列表并生成此消息。

• >access_list - 与静态或动态访问列表关联的名称，如 show access-list 命令的输出中所示

IPsec 用户必须重新连接，才能使新用户特定访问列表生效。

错误消息 %ASA-3-713238: Invalid source proxy address: 0.0.0.0! Check private address on remote client

说明：网络扩展模式客户端的专用端地址显示为 0.0.0.0。这通常表示未在硬件客户端的专用接口上设置任何 IP 地址。

建议的操作：验证远程客户端的配置。

错误消息 %ASA-4-713239: IP_Address : Tunnel Rejected: The maximum tunnel count allowed has been reached

说明：已在达到允许的最大隧道数后尝试创建隧道。

• IP_Address - 对等体的 IP 地址

建议的操作：无需执行任何操作。

错误消息 %ASA-4-713240: Received DH key with bad length: received length=rlength expected length=elength

说明：从对等体收到长度不正确的 Diffie-Hellman 密钥。

• rlength - 收到的 DH 密钥的长度
• elength - 预期长度（基于 DH 密钥大小）

建议的操作：无需执行任何操作。

错误消息 %ASA-4-713241: IE Browser Proxy Method setting_number is Invalid

说明：在 ModeCfg 处理期间发现代理设置无效。P1 协商将会失败。

建议的操作：检查 msie-proxy method 命令设置（group-policy 命令的子命令），这些设置应符合下列其中一项：[auto-detect | no-modify | no-proxy | use-server]。任何其他值或空值都不正确。请尝试重置 msie-proxy method 命令设置。如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-4-713242: Remote user is authenticated using Hybrid Authentication. Not starting IKE rekey.

说明：ASA检测到对配置为使用 Hybrid Xauth 的隧道启动 IKE 密钥更新的请求，但是未启动密钥更新。ASA将等待客户端检测并启动 IKE 密钥更新。

建议的操作：无需执行任何操作。

错误消息 %ASA-4-713243: META-DATA Unable to find the requested certificate

说明：IKE 对等体已从 cert-req 负载请求证书。但是，找不到由所请求的 DN 颁发的有效身份证书。

建议的操作：执行以下步骤：

1. 检查身份证书。
2. 注册或导入所需证书。
3. 启用证书调试，获取更多详细信息。

错误消息 %ASA-4-713244: META-DATA Received Legacy Authentication Method(LAM) type type is different from the last type received type .

说明：收到的 LAM 属性类型与收到的最后一个类型不同。在整个用户身份验证过程中，类型必须一致。无法继续执行用户身份验证进程，并将不会建立 VPN 连接。

• type - LAM 类型

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-4-713245: META-DATA Unknown Legacy Authentication Method(LAM) type type received.

说明：在 CRACK 质询或响应用户身份验证进程中收到了不支持的 LAM 类型。无法继续执行用户身份验证进程，并将不会建立 VPN 连接。

• type - LAM 类型

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-4-713246: META-DATA Unknown Legacy Authentication Method(LAM) attribute type type received.

说明：ASA收到未知 LAM 属性类型，这应该不会导致连接问题，但可能会影响对等体的功能。

• type - LAM 属性类型

建议的操作：无需执行任何操作。

错误消息 %ASA-4-713247: META-DATA Unexpected error: in Next Card Code mode while not doing SDI.

说明：状态处理期间发生了意外错误。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-5-713248: META-DATA Rekey initiation is being disabled during CRACK authentication.

说明：使用 CRACK 身份验证方法协商 IKE SA 后，头端的第 1 阶段 SA 密钥更新计时器在密钥更新成功之前已到期。由于在使用 CRACK 身份验证方法时远程客户端始终是交换的发起方，因此头端将不会发起密钥更新。除非远程对等体在 IKE SA 到期之前成功发起密钥更新，否则在 IKE SA 到期时连接将会关闭。

建议的操作：无需执行任何操作。

错误消息 %ASA-4-713249: META-DATA Received unsupported authentication results: result

说明：使用 CRACK 身份验证方法协商 IKE SA 时，IKE 子系统从身份验证子系统收到在 CRACK 身份验证期间不受支持的结果。用户身份验证失败，并且 VPN 连接已断开。

• result - 从身份验证子系统返回的结果

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-5-713250: META-DATA Received unknown Internal Address attribute: attribute

说明：ASA收到对无法识别的内部地址属性的请求。属性可能有效，但当前不受支持，或者对等体可能发送的是非法值。这应该不会导致连接问题，但可能会影响对等体的功能。

建议的操作：无需执行任何操作。

错误消息 %ASA-4-713251: META-DATA Received authentication failure message

说明：ASA 收到一条通知消息，指示在使用 CRACK 身份验证方法协商 IKE SA 时身份验证失败。连接已断开。

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713252: Group = group , Username = user , IP = ip , Integrity Firewall Server is not available. VPN Tunnel creation rejected for client.

说明：当组策略配置为要求客户端使用 Zonelab Integrity Server 进行身份验证时，服务器可能需要连接到集中器，具体取决于所配置的失败策略。如果失败策略是拒绝客户端连接，则在客户端进行连接时 Zonelab Integrity Server 未连接到 ASA 的情况下，系统将会生成此消息。

• group - 远程访问用户连接到的隧道组
• user - 远程访问用户
• ip - 远程访问用户的 IP 地址

建议的操作：检查集中器和 Zonelab Integrity Server 上的配置是否匹配。然后，验证集中器和 Zonelab Integrity Server 之间是否存在通信。

错误消息 %ASA-5-713253: Group = group , Username = user , IP = ip , Integrity Firewall Server is not available. Entering ALLOW mode. VPN Tunnel created for client.

说明：当组策略配置为要求客户端使用 Zonelab Integrity Server 进行身份验证时，服务器可能需要连接到集中器，具体取决于所配置的失败策略。如果失败策略是接受客户端连接，并提供不受限制的网络接入，则在客户端进行连接时 Zonelab Integrity Server 未连接到 ASA 的情况下，系统将会生成此消息。

• group - 远程访问用户连接到的隧道组
• user - 远程访问用户
• ip - 远程访问用户的 IP 地址

建议的操作：检查 ASA 和 Zonelab Integrity Server 上的配置是否匹配，并验证 ASA 和 Zonelab Integrity Server 之间是否存在通信。

错误消息 %ASA-3-713254: Group = groupname , Username = username , IP = peerip , Invalid IPsec/UDP port = portnum , valid range is minport - maxport , except port 4500, which is reserved for IPsec/NAT-T

说明：您无法使用 UDP 端口 4500 进行 IPsec/UDP 连接，因为它应保留用于 IPsec 或 NAT-T 连接。CLI 不允许对本地组使用此配置。仅对于外部定义的组才会出现此消息。

• groupname - 用户组的名称
• username - 用户的名称
• peerip - 客户端的 IP 地址
• portnum - 外部服务器上的 IPsec/UDP 端口号
• minport - 用户可配置端口的最小有效端口号，即 4001
• maxport - 用户可配置端口的最大有效端口号，即 49151

建议的操作：将外部服务器上的 IPsec 或 UDP 端口号更改为另一个端口号。有效端口号为 4001 到 49151。

错误消息 %ASA-4-713255: IP = peer-IP , Received ISAKMP Aggressive Mode message 1 with unknown tunnel group name group-name

说明：在 ISAKMP 积极模式消息 1 中指定了未知隧道组。

• peer-ip - 对等体的地址
• group-name - 对等体指定的组名称

建议的操作：检查隧道组和客户端配置以确保其有效。

错误消息 %ASA-6-713256: IP = peer-IP , Sending spoofed ISAKMP Aggressive Mode message 2 due to receipt of unknown tunnel group. Aborting connection.

说明：当对等体指定无效隧道组时，ASA 仍将发送消息 2 以防止对等体收集隧道组信息。

• peer-ip - 对等体的地址

建议的操作：无需执行任何操作。

错误消息 %ASA-5-713257: Phase var1 failure: Mismatched attribute types for class var2 : Rcv'd: var3 Cfg'd: var4

说明：ASA 已用作局域网间连接中的响应方。它表示 ASA 加密配置与发起方的配置不匹配。该消息指定在哪个阶段出现了不匹配，以及发起方和响应方均具有的属性有哪些不同。

• var1 - 出现了不匹配的阶段
• var2 - 不匹配的属性所属的类
• var3 - 从发起方收到的属性
• var4 - 配置的属性

建议的操作：检查两个局域网间设备上的加密配置是否存在不一致情况。具体而言，如果系统报告 UDP 隧道 (NAT-T) 和其他设备之间存在不一致，请检查加密映射。如果一个配置在匹配的加密映射上禁用了 NAT-T，而另一个配置未禁用，则此情况将导致失败。

错误消息 %ASA-3-713258: IP = var1 , Attempting to establish a phase2 tunnel on var2 interface but phase1 tunnel is on var3 interface. Tearing down old phase1 tunnel due to a potential routing change.

说明：ASA 尝试在接口上建立第 2 阶段隧道，并且在其他接口上已存在第 1 阶段隧道。现有第 1 阶段隧道已断开，从而允许在新接口上建立新隧道。

• var1 - 对等体的 IP 地址
• var2 - ASA 尝试建立第 2 阶段隧道时所在的接口
• var3 - 第 1 阶段隧道所在的接口

建议的操作：检查对等体的路由是否已更改。如果路由尚未更改，则可能存在配置错误。

错误消息 %ASA-5-713259: Group = groupname , Username = username , IP = peerIP , Session is being torn down. Reason: reason

说明：系统显示 ISAKMP 会话的终止原因，在通过会话管理断开会话时会出现此消息。

• groupname - 正在终止的会话的隧道组
• username - 正在终止的会话的用户名
• peerIP - 正在终止的会话的对等体地址
• reason - 正在终止的会话的 RADIUS 终止原因，包括：

- 端口已被占用（同时登录）

- 空闲超时

- 超过最长时间限制

- 管理员重置

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713260: Output interface %d to peer was not found

说明：当尝试创建第 1 阶段 SA 时，系统无法找到与接口 ID 对应的接口数据库。

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-3-713261: IPV6 address on output interface %d was not found

说明：当尝试创建第 1 阶段 SA 时，本地接口上未指定任何 IPv6 地址。

建议的操作：有关如何在所需接口上设置 IPv6 地址的信息，请参阅《CLI 配置指南》中的“配置 IPv6 寻址”一节。

错误消息 %ASA-3-713262: Rejecting new IPSec SA negotiation for peer Peer_address . A negotiation was already in progress for local Proxy Local_address /Local_prefix_len , remote Proxy Remote_address /Remote_prefix_len

说明：在建立阶段 SA 时，ASA 将拒绝与此代理匹配的新的第 2 阶段 SA。

• Peer_address - 尝试使用与现有协商匹配的代理启动第 2 阶段的新地址
• Local_address - 当前正在协商第 2 阶段的先前本地对等体的地址
• Local_prefix_len - 根据 CIDR 表示法而定的子网前缀长度
• Remote_address - 代理的地址
• Remote_prefix_len - 根据 CIDR 表示法而定的子网前缀长度

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713263: Received local IP Proxy Subnet data in ID Payload: Address IP_address , Mask /prefix_len , Protocol protocol , Port port

说明：ASA 正在为对等体的专用地址或网络添加路由。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度
• protocol - 代理协议
• port - 代理端口

建议的操作：无需执行任何操作。

错误消息 %ASA-7-713264: Received local IP Proxy Subnet data in ID Payload: Address IP_address , Mask/prefix_len , Protocol protocol , Port port {“Received remote IP Proxy Subnet data in ID Payload: Address %a , Mask/%d , Protocol %u , Port %u ”}

说明：ASA 正在为对等体的专用地址或网络添加路由。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度
• protocol - 代理协议
• port - 代理端口

建议的操作：无需执行任何操作。

错误消息 %ASA-6-713265: Adding static route for L2L peer coming in on a dynamic map. address: IP_address , mask: /prefix_len

说明：ASA 正在为对等体的专用地址或网络添加路由。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713266: Could not add route for L2L peer coming in on a dynamic map. address: IP_address , mask: /prefix_len

说明：ASA 在尝试为对等体的专用地址或网络添加路由时发生故障。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。这可能表示路由重复，IPv6 路由表已满或 ASA 未删除先前使用的路由。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度

建议的操作：检查 IPv6 路由表，确保可以添加其他路由，并且不存在过时路由。如果路由表已满或包含过时路由，请删除路由并重试。如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-6-713267: Deleting static route for L2L peer that came in on a dynamic map. address: IP_address , mask: /prefix_len

说明：ASA 在尝试为对等体的专用地址或网络添加路由时发生故障。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713268: Could not delete route for L2L peer that came in on a dynamic map. address: IP_address , mask: /prefix_len

说明：ASA 删除对等体的专用地址或网络的路由失败。在此情况下，对等体是具有未知地址的客户端或 L2L 对等体。这两种情况均使用动态加密映射以允许隧道。可能已删除该路由，或者已发生内部软件错误。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度

建议的操作：如果已删除路由，则情况为良性，并且设备将正常运行。如果问题仍然存在或者可能与 VPN 隧道链路上的路由问题有关，请检查 VPN L2L 配置的路由和寻址部分。此外，请检查反向路由注入以及与相应加密映射关联的 ACL。如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-6-713269: Detected Hardware Client in network extension mode, adding static route for address: IP_address , mask: /prefix_len

说明：已协商与处于网络扩展模式的硬件客户端之间的隧道，并且正在为硬件客户端背后的专用网络添加静态路由。通过此配置，ASA 使头端的所有专用路由器可以获知远程网络。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713270: Could not add route for Hardware Client in network extension mode, address: IP_address , mask: /prefix_len

说明：发生了内部软件错误。已协商与处于网络扩展模式的硬件客户端之间的隧道，但是尝试为硬件客户端背后的专用网络添加静态路由的操作失败。IPv6 路由表可能已满，或者可能发生了寻址错误。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度

建议的操作：如果问题仍然存在，请联系思科 TAC。

错误消息 %ASA-6-713271: Terminating tunnel to Hardware Client in network extension mode, deleting static route for address: IP_address , mask:/prefix_len

说明：系统正在移除通向处于网络扩展模式的硬件客户端的隧道，并且正在删除硬件客户端背后的专用网络的静态路由。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713272: Terminating tunnel to Hardware Client in network extension mode, unable to delete static route for address: IP_address , mask: /prefix_len

说明：在移除通向处于网络扩展模式的硬件客户端的隧道时，无法删除通向硬件客户端背后的专用网络的路由。这可能表示编址或软件有问题。

• IP_address - 对等体的目的网络的基本 IP 地址
• prefix_len - 根据 CIDR 表示法而定的子网前缀长度

建议的操作：检查 IPv6 路由表，确保该路由不存在于其中。如果路由表包含该路由，则可能必须手动将其移除，但仅当已完全移除通向硬件客户端的隧道时才能执行此操作。

错误消息 %ASA-7-713273: Deleting static route for client address: IP_Address IP_Address address of client whose route is being removed

说明：已从路由表中删除通向对等体分配的地址或受硬件客户端保护的网络的路由。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713274: Could not delete static route for client address: IP_Address IP_Address address of client whose route is being removed

说明：在删除通向 IPsec 客户端的隧道时，无法删除其在路由表中的对应条目。此情况可能表示网络或软件发生了问题。

建议的操作：检查路由表，确保该路由不存在于其中。如果该路由已存在于路由表中，则可能需要手动将其删除，但仅在成功关闭隧道后才能执行此操作。

错误消息 %ASA-3-713275: IKEv1 Unsupported certificate keytype %s found at trustpoint %s

说明：当证书密钥类型不是 ECDSA 类型时，对于 ikev1 会显示此系统日志。请确保在网关上安装密钥类型有效的证书。

建议的操作：无需执行任何操作。

错误消息 %ASA-3-713276: Dropping new negotiation - IKEv1 in-negotiation context limit of %u reached

说明：当到达最大协商限制时，在多情景下对于 ikev1 会显示此系统日志消息。

建议的操作： 无需执行任何操作。

错误消息 %ASA-1-713900: Descriptive_event_string.

说明：发生了严重事件或故障。例如，ASA 正在尝试生成第 2 阶段删除，但 SPI 不与任何现有第 2 阶段 SA 匹配。

建议的操作：在所述示例中，两个对等体均在同一时间删除第 2 阶段 SA。在此情况下，该错误为良性并可忽略。如果错误仍然存在并造成负面影响（例如导致隧道断开连接或设备重启），则可能表示软件有故障。在此情况下，请完全按照控制台上或系统日志中的显示正确复制该错误消息，然后联系思科 TAC 以获得进一步帮助。

错误消息 %ASA-2-713901: Descriptive_event_string .

说明：已发生错误，这可能是头端或远程访问客户端上的配置错误导致的。事件字符串提供关于所发生的错误的详细信息。

建议的操作：可能需要对消息进行排除故障，以确定导致错误的原因。检查两个对等体上的 ISAKMP 和加密映射配置。

错误消息 % ASA-3-713902: Descriptive_event_string.

说明：已发生错误，这可能是头端或远程访问客户端上的配置错误导致的。

建议的操作：可能需要对配置进行故障排除，以确定错误的原因。检查两个对等体上的 ISAKMP 和加密映射配置。

错误消息 %ASA-4-713903: IKE error message reason reason.

说明：此系统日志 ID 用于可显示多个其他系统日志的 IKE 警告消息。

建议的操作： 无需执行任何操作。

示例：

%ASA-4-713903: Group = group policy , Username = user name , IP = remote IP , ERROR: Failed to install Redirect URL: redirect URL Redirect ACL: non_exist for assigned IP

%ASA-4-713903: IKE Receiver: Runt ISAKMP packet discarded on Port Port_Number from Source_URL

%ASA-4-713903: IP = IP address, Header invalid, missing SA payload! (next payload = x)

%ASA-4-713903: Group = DefaultRAGroup, IP = IP address, Error: Unable to remove PeerTblEntry

错误消息 %ASA-5-713904: Descriptive_event_string .

说明：系统将显示通知状态信息，用于跟踪已发生的事件。

建议的操作：无需执行任何操作。

错误消息 %ASA-6-713905: Descriptive_event_string .

说明：系统将显示信息状态详情，用于跟踪已发生的事件。

示例

%ASA-6-713905: IKE successfully unreserved UDP port 27910 on interface outside

建议的操作： 无需执行任何操作。

错误消息 %ASA-7-713906: Descriptive_event_string .

说明：系统将显示调试状态信息，用于跟踪已发生的事件。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-714001: description_of_event_or_packet

说明：此消息提供对 IKE 协议事件或数据包的说明。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-714002: IKE Initiator starting QM: msg id = message_number

说明：ASA 已作为第 2 阶段发起方发送了快速模式交换的第一个数据包。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-714003: IKE Responder starting QM: msg id = message_number

说明：ASA 已作为第 2 阶段响应方收到了快速模式交换的第一个数据包。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-714004: IKE Initiator sending 1st QM pkt: msg id = message_number

说明：已解码第一个快速模式数据包的协议。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-714005: IKE Responder sending 2nd QM pkt: msg id = message_number

说明：已解码第二个快速模式数据包的协议。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-714006: IKE Initiator sending 3rd QM pkt: msg id = message_number

说明：已解码第三个快速模式数据包的协议。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-714007: IKE Initiator sending Initial Contact

说明：ASA 正在构建并发送初始联系负载。

建议的操作：无需执行任何操作。

错误消息 %ASA-7-714011: Description of received ID values

说明：ASA 收到了在协商期间显示的 ID 信息。

建议的操作：无需执行任何操作。