No ASA, execute "debug cry ipsec" e "debug cry isakmp" Você pode querer configurar seu console para logar em um arquivo txt, ou configurar o syslog. É mais fácil buscar informações.
Em seguida, no Checkpoint, procure erros no Tracker, você pode obter uma cópia do IKEView (pergunte ao seu parceiro Checkpoint, ou se você tiver acesso ao site, você pode baixá-lo) A ferramenta é um pouco complicada, mas é uma das maneiras de depurar um problema do Checkpoint VPN.
O seu ponto de verificação está em um cluster? O VRRP da Nokia tem problemas com o IP da fase um, então tente quebrar seu cluster e correr sozinho (se você puder à noite, por exemplo).
BTW, não encontrei nenhum erro chamado "Cabeçalho ausente, sobrecarga de SA". Você pode enviar o número do código de erro ou colar a linha inteira?