Cisco Cisco Packet Data Gateway (PDG)

 

▄  IPSec Reference, StarOS Release 16 

This section provides instructions for configuring the Dead Peer Detection (DPD). 

Defined by RFC 3706, Dead Peer Detection (DPD) is used to simplify the messaging required to verify communication 
between peers and tunnel availability. 

DPD is configured at the context level and is used in support of the IPSec Tunnel Failover feature (refer to the 
Redundant IPSec Tunnel Fail-Over section) and/or to help prevent tunnel state mismatches between an FA and HA 
when IPSec is used for Mobile IP applications. When used with Mobile IP applications, DPD ensures the availability of 
tunnels between the FA and HA. (Note that the starIPSECDynTunUp and starIPSECDynTunDown SNMP traps are 
triggered to indicate tunnel state for the Mobile IP scenario.) 

Regardless of the application, DPD must be supported/configured on both security peers. If the system is configured 
with DPD but it is communicating with a peer that does not have DPD configured, IPSec tunnels still come up. 
However, the only indication that the remote peer does not support DPD exists in the output of the show crypto isakmp 
security-associations summary command. 

  If DPD is enabled while IPSec tunnels are up, it will not take affect until all of the tunnels are 

cleared. 
 

  DPD must be configured in the same StarOS context as other IPSec Parameters. 

To configure the Crypto group to support IPSec: 

Enable dead peer detection on system in support of the IPSec Tunnel Failover feature by following the steps in 

  

Verify your DPD configuration by following the steps in 

  

Save your configuration to flash memory, an external memory device, and/or a network location using the Exec mode 
command save configuration. For additional information on how to verify and save configuration files, refer to the 
System Administration Guide and the Command Line Interface Reference. 

Use the following example to configure a crypto group on your system for redundant IPSec tunnel fail-over support: 

configure 

   context <ctxt_name> 

      ikev1 keepalive dpd interval <dur> timeout <dur> num-retry <retries> 

      end 

Notes: 



 

 is the destination context where the Crypto Group is to be configured.