防火墙IPSEC无法访问分部
- 0关注
- 0收藏，103浏览
1. 检查感兴趣流（ACL）配置
总部作为中心节点，如果分部IP不固定，ACL不能写死分部网段。应使用模板方式（IPsec策略模板）匹配任意源，或确保ACL中源目为总部网段到分部网段且方向正确。
bash
display ipsec policy
display acl all
确认ACL规则中源为总部网段、目的为分部网段，且rule编号未重叠。
2. 检查路由
总部要有到分部内网网段的路由，下一跳指向IPsec隧道接口或出接口。
bash
display ip routing-table
display ipsec sa
若使用模板方式，需配置反向路由注入（RRI）或静态路由指向Tunnel口。动态对端场景下建议开启RRI：
bash
ipsec policy xxx 1 isakmp template tpl
reverse-route inject
3. 检查NAT豁免
总部访问分部流量可能被出接口NAT转换，导致源地址变化，IPsec封装失败。需在NAT策略中放行总部到分部网段流量不做转换。
bash
display nat policy
确保NAT规则中源为总部网段、目的为分部网段时动作为“不转换”。
4. 检查IPsec SA方向
bash
display ipsec sa brief
查看是否有总部→分部的出向SA。若只有入向SA，说明感兴趣流未触发协商，回到第1步检查ACL。
5. 抓包确认
在总部防火墙出接口抓包，看是否有明文发出或ESP包丢弃：
bash
debugging ipsec packet
debugging ipsec error
或使用display ipsec statistics查看加解密计数。
常见根因：ACL方向写反、缺少回程路由、NAT未豁免、模板模式下未配置RRI。按上述顺序排查即可。
补充一下。我本部两条宽带，一条专线，一条拨号。此ipsec采用专线的，需要走策略路由么？
display ipsec policy
-------------------------------------------
IPsec Policy: hy
Interface: GigabitEthernet1/0/16
-------------------------------------------
-----------------------------
Sequence number: 2
Mode: Template
-----------------------------
Policy template name: hy
-------------------------------------------
很简单。。中心节点的设置不知道是不是这样
：总部 F1000‑AI‑25（固定公网 IP，IPSec 响应方），分部深信服拨号动态 IP（野蛮模式，发起方）；分部主动访问总部正常，总部主动访问分部不通，隧道 SA 已经成功建立，该场景属于典型【对端动态 IP 总部作为响应方】的经典故障，下面按优先级给出根因和排查步骤H3C。
组网关键点：分部是拨号动态获取公网 IP，只能由分部发起 IKE 协商建立隧道；总部作为响应方，不知道分部实时公网 IP。分部发起流量可以触发二阶段 SA；总部主动发流量，没有触发 IKE 协商的条件，缺少到达分部内网的路由。
根因 1：总部 IPSec 策略模板没有开启 RRI 反向路由注入（最高概率）
总部使用IPsec 策略模板 template 方式接收深信服野蛮模式接入，动态对端场景，必须开启
reverse‑route dynamic反向路由注入；隧道建立后防火墙自动生成去往分部内网的静态路由；不开启，路由表里面没有分部网段，总部内网访问分部直接走公网，不走 IPSec 隧道H3C。
命令行配置（V7 防火墙，策略模板视图）：
ipsec policy‑map template 分部模板名 10 isakmp
reverse‑route dynamic #开启反向路由注入，隧道up自动注入对端子网路由
quit
Web 界面：编辑 IPSec 策略模板，高级设置勾选【反向路由注入 RRI】；配置完成后重新协商隧道，执行
display ip routing‑table，查看是否自动生成分部私网网段路由。
⚠️注意：RRI 只能在policy‑map template 模板视图下配置，普通 ipsec‑policy 不支持动态 RRI，中心节点接收多个动态分支必须用模板。
根因 2：总部 IPSec 感兴趣流 ACL 问题
- ACL 必须双向放行：总部内网源网段 ↔ 分部全部私网网段；
- ACL 不要配置对端公网 IP，只写两端私网；
- 命令行查看：
display acl xxx确认规则命中计数，总部访问分部时，ACL 是否有命中；
现象：分部访问总部可以匹配 ACL 触发 SA，总部访问分部报文不匹配 ACL，不会被 IPSec 封装，直接路由外网。
根因 3：安全策略域间放行（Trust‑VPN 域重点）
很多人只放通 Trust‑Untrust，漏掉 Trust 到 VPN 域：
- 总部 Trust 内网访问分部 VPN 隧道流量：源总部内网，目的分部内网，入域 Trust，出域 VPN；安全策略必须允许该流量；
- 同时 VPN→Trust 放行分部回包；
排查：在防火墙开启会话统计，总部主机 ping 分部内网，看会话表
display session table，看报文是否存在，是否被安全策略 deny 丢弃。
根因 4：IKE 协商限制：总部不能主动触发 IKE SA
分部动态拨号，总部不知道分部当前公网 IP，总部无法主动发起 IKE 一阶段协商。
- 当前只有分部发起流量，IKE/IPSec SA 才会生成；SA 老化超时之后，总部再去访问分部，此时隧道已经消失，直接不通。
优化方案（解决 SA 老化后总部无法访问）
深信服分部侧配置保活流量：配置分部定时向总部内网地址发送 ping / 保活报文，维持 IKE SA 不老化；只要 SA 保持 UP，总部就可以随时访问分部。
重要：H3C 总部侧（响应方）不能配置 auto‑connect，auto‑connect 只适用于本端为发起端、知道对端固定 IP 的场景，对动态拨号分支无效。
根因 5：深信服侧配置检查（对端也容易踩坑）
- 深信服感兴趣流，是否双向配置分部私网 <‑> 总部私网，不要只写分部访问总部单向；
- 深信服的 NAT 豁免：访问总部 VPN 流量，必须排除源 NAT，不能做源地址转换；
- 深信服安全策略放行分部内网访问总部 VPN 网段。
快速排查命令，在 F1000‑AI‑25 执行
display ike sa #确认IKE SA Flag为READY
display ipsec sa #看封装/解封装报文计数，总部ping分部时，encap计数器是否增长；完全不增长=报文没有匹配IPSec策略
display ip routing‑table #检查是否存在分部私网网段路由（RRI是否生效）
display session table verbose #看总部访问分部的会话，判断是否被策略阻断
display acl 编号 #查看感兴趣流ACL命中统计
简易处理顺序
- 总部 IPSec 模板开启
reverse‑route dynamic，重新协商隧道，检查路由表是否生成分部网段路由； - 确认感兴趣流 ACL 双向完整；
- 检查 Trust‑VPN 域间安全策略双向放行；
- 分部设备配置保活流量维持 SA 不老化；
- 核查深信服感兴趣流、NAT 豁免配置。
补充现象说明：RRI 生效的前提下，如果隧道 SA 已经 UP，总部访问分部正常；SA 超时断开之后，总部再访问分部又不通，属于动态分支固有特性，依赖分部保活流量维持隧道。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
补充一下。我本部两条宽带，一条专线，一条拨号。此ipsec采用专线的，需要走策略路由么？