Добрый день коллеги.

На виртуальной csr-1000v настроены два тунельных интерфейса к двум asr-1001x, одинаковые настройки только с разными ip ospf cost
Несколько недель назад при работе с одним из тунельных интерфейсов csr-1000v начали сыпаться ошибки:
%IPSEC-3-HMAC_ERROR: IPSec SA receives HMAC error, DP Handle 2
и прохождение трафика резко падает, после перезагрузки проблемного asr-1001x кол-во ошибок падает а потом через день или два резко возрастает и проблемы возобновляются.

asr-1001x - полностью идентичны вплоть до версии загрузчиков и прошивок.

С чем это может быть связано:
1 - Проблемы с каналом связи
2 - Проблемы с asr-1001x (ошибок в логах нет)
3 - Может начали портить пакеты провайдеры в связи с ограничениями (OpenVPN...)

Можно ли как то диагностировать эту проблему и узнать причину?

Нашел описание такой ошибки:

CSCuh49807Symptom: IPsec transform set with esp-md5-hmac is not supported in this release.
When esp-md5-hmac is used, though the IPsec tunnel is established, traffic can not pass through the tunnel.
Inbound traffic will be dropped with HMAC error. Outbound traffic will reach to the peer, but will
be dropped by the peer with HMAC error.
The following error message is displayed:%IOSXE-3-PLATFORM: F0: cpp_cp: QFP:0.0 Thread:000 TS:00000002356612773534 %IPSEC-3-HMAC_ERROR: IPSec SA receives HMAC error, DP Handle 5, src_addr 60.0.0.2, dest_addr 60.0.0.1, SPI 0xb98e9ee1
Conditions: Whenever esp-md5-hmac is used in an IPsec transform set.
Workaround: Use esp-sha-hmac, not esp-md5-hmac.

Но я как раз использую именно esp-sha-hmac

Так сделайте GCM как в Suite B рекомендуется