В системном журнале маршрутизатора фиксируются ошибки %NHRP-3-ENCAPSFAILED: Encapsulation failed for destination [target_ip]. Пакеты к удаленным узлам сети DMVPN отбрасываются, динамические туннели Spoke-to-Spoke не устанавливаются, в выводе show ip cef [target_ip] отображается состояние Incomplete Adjacency.

1. Проверка наличия записи в таблице трансляции NHRP

show ip nhrp <target_ip>
show ip nhrp dynamic

Если записи нет или статус отображается как incomplete / negative, маршрутизатор не знает внешнего публичного NBMA-адреса хоста назначения.

2. Проверка согласования IPsec SA для динамического пира

show crypto session remote <remote_nbma_ip> detail

Если IPsec Profile не привязан к интерфейсу mGRE, инкапсуляция кадра в защищенный ESP туннель будет аварийно завершаться:

configure terminal
 interface Tunnel0
  tunnel protection ipsec profile DMVPN_PROFILE
end

3. Проверка NHRP Redirect и Shortcut (для DMVPN Phase 3)

Убедитесь, что на центральном Hub разрешена отправка редиректов, а на Spoke — их обработка:

! На HUB:
configure terminal
 interface Tunnel0
  ip nhrp redirect
end

! На всех SPOKE:
configure terminal
 interface Tunnel0
  ip nhrp shortcut
end

4. Очистка битых записей CEF и NHRP кэша

clear ip nhrp <target_ip>
clear ip route <target_ip>
clear ip cef <target_ip>

5. Трассировка процесса инкапсуляции

debug ip nhrp
debug crypto ipsec