VPN配置nonat问题

问题分析：IDC主动访问总部失败，总部未收到包，可能原因包括：1. 总部侧NAT策略未排除IDC对总部的流量；2. 总部VPN策略未允许IDC发起的流量；3. 总部入方向安全策略未放行IDC流量；4. 路由问题（IDC侧未正确指向VPN隧道，或总部侧未回指IDC网段）。
排查步骤及命令：
1. 检查NAT策略是否排除IDC→总部流量
查看总部AK135的NAT策略，确认是否对IDC网段（假设为10.2.0.0/24）访问总部网段（假设为10.1.0.0/24）的流量做了nonat：
display nat policy
若存在NAT策略覆盖IDC→总部流量，需添加nonat策略：
nat policy interzone trust untrust outbound
rule permit source 10.2.0.0 0.0.0.255 destination 10.1.0.0 0.0.0.255
action nonat
2. 检查IPSec策略是否双向匹配
确认总部AK135的IPSec策略是否允许IDC网段作为源：
display ipsec policy
查看策略中的security acl，确保ACL包含permit ip 10.2.0.0 0.0.0.255 10.1.0.0 0.0.0.255（IDC→总部方向）。若缺失，修改ACL：
acl number 3000
rule permit ip source 10.2.0.0 0.0.0.255 destination 10.1.0.0 0.0.0.255
并将ACL绑定到IPSec策略：
ipsec policy map1 10 isakmp
security acl 3000
3. 检查总部入方向安全策略
确认总部防火墙入方向（untrust→trust）是否放行IDC→总部流量：
display security-policy
若缺失，添加策略：
security-policy ip
rule name idc_to_hq
source-zone untrust
destination-zone trust
source-ip 10.2.0.0 255.255.255.0
`destination-ip 10.1.0.0 2