F100-A-G5和F100-C-G5搭建IPSEC VPN

方法一：在当前 Web 界面寻找替代路径

1. 在左侧导航栏寻找 “策略” > “NAT策略”，查看是否有“NAT出方向动态转换（基于对象组/ACL）”或类似选项。
2. 或者进入 “网络” > “NAT” 相关菜单，查找 NAT 策略配置项。

方法二：通过命令行（CLI）配置 NAT 豁免（推荐）

• 参数一致性：请确保 F100-A-G5 和 F100-C-G5 两端的 IKE 提议、IPSec 提议（加密算法、认证算法、DH 组）以及预共享密钥完全一致。
• 触发隧道：配置完成后，隧道通常不会自动建立。您需要从东莞总部的内网电脑去 Ping 越南分厂的内网 IP，以主动触发 IPSec 协商。
• 排查命令：如果仍然不通，请在命令行下执行 display ike sa 和 display ipsec sa，查看隧道是否成功建立以及协商状态。

不建议使用web页面做这个配置，直接使用命令行刷吧，

编辑好配置，直接刷入就行了。1.16.5 网关与网关之间采用IKEv2方式建立保护IPv4报文的IPsec隧道配置举例（预共享密钥认证方式）

1. 两代 Web 菜单区分（F100-A/C-G5 新版 UI 布局变更）
老款教程文档是旧版灰色 Web 界面，菜单路径：策略 > NAT > NAT动态转换；
你当前 F100-A-G5 是新版扁平化蓝色 Web 控制台，NAT 功能拆分到两个独立页面，不再统一放在「策略」分类下：
外网 EasyIP 动态上网 NAT（内网访问互联网）
菜单路径：网络管理 → NAT 策略（页面分「静态 NAT、源 NAT、目的 NAT」），对应旧文档 “NAT 动态转换策略配置”；
IPSec VPN 必须的 NAT 豁免（内网互访流量不做外网转换）
同样在【网络管理→NAT 策略】，新增源 NAT 豁免规则，优先级高于普通上网 NAT；
补充：G5 系列防火墙不再把 NAT 归类到 “安全策略” 标签页，单独独立「NAT 策略」分页，所以你找不到教程里的菜单路径。
2. NAT 豁免是 IPSec VPN 互通的关键前提（双固定公网 IP 场景必配）
内网东莞总部 ↔ 越南分厂的 VPN 流量，如果匹配默认上网源 NAT，报文源 IP 会被转换成公网地址，IPSec 隧道加密校验失败、两端内网无法互访；
必须在 NAT 策略最顶部新增豁免规则：匹配本地内网网段访问对端私网网段，动作选择「不做转换」，跳过外网 EasyIP NAT。
二、完整分步骤配置（两台 F100-A-G5 / F100-C-G5 固定公网 IP 主模式 IPSec）
前置规划示例（替换为你现场真实网段、公网 IP）
东莞总部 F100-A-G5
内网：192.168.10.0/24
WAN 公网 IP：202.96.X.X 固定公网地址
对端越南公网 IP：103.21.X.X
越南分厂 F100-C-G5
内网：192.168.20.0/24
WAN 公网 IP：103.21.X.X
对端总部公网 IP：202.96.X.X
步骤 1：配置 NAT 豁免（解决 VPN 流量被上网 NAT 转换导致不通，优先配置）
Web 路径：网络管理 → NAT 策略 → 源 NAT
点击【新增】，优先级调至最高（第一条）：
源地址段：本地内网网段（总部 192.168.10.0/24）
目的地址段：对端分厂内网网段（192.168.20.0/24）
转换动作：不做转换
状态：开启
原有内网上网 EasyIP 源 NAT 规则保留，放在豁免规则下方；
逻辑：只有内网互访 VPN 流量跳过 NAT，其余上网流量正常转换公网 IP 访问互联网。
步骤 2：放行 IPSec 协商、ESP 协议安全策略（安全→安全策略）
两端防火墙都新增两条允许策略，放通 IKE 协商与加密隧道报文：
策略 1（IKE 主模式协商）
源：Untrust，目的：Local；服务：UDP500/UDP4500；动作：允许；
策略 2（ESP 加密隧道流量）
源：Untrust，目的：Local；服务：ESP (协议 50)；动作：允许；
内网 Trust 区域互访全放通，避免内网阻断。
步骤 3：Web 页面完整 IPSec 主模式配置（VPN→IPSec）
3.1 IKE 第一阶段（主模式，两端参数完全一致）
协商模式：主模式；预共享密钥两端完全相同；
加密 / 验证 / DH 组：推荐默认国标组合（AES-256、SHA2-256、DH14）；
本端 ID：IP 地址（填写本机 WAN 固定公网 IP）；对端 ID：对端 WAN 公网 IP；
DPD 链路探测开启，探测间隔 10 秒，故障自动拆除隧道。
3.2 IKE 第二阶段（IPSec 安全提议）
封装模式：隧道模式；安全协议 ESP；
加密、验证算法与第一阶段配套一致；
生命周期 86400 秒，两端统一。
3.3 IPSec 安全策略（定义加密保护流量）
本地子网：本地内网网段（总部 192.168.10.0/24）；
对端子网：越南分厂内网（192.168.20.0/24）；
出接口：选择本地 WAN 公网接口；
绑定 IKE 提议、IPSec 提议，状态开启。
步骤 4：静态路由保证 VPN 流量转发
总部 F100-A-G5 新增静态路由：
目的网段：192.168.20.0/24，下一跳：越南分厂公网 IP，出接口 WAN；
越南 F100-C-G5 反向配置：
目的网段：192.168.10.0/24，下一跳：总部公网 IP，出接口 WAN；
三、高频踩坑故障点（你现场极易出现的问题）
1. NAT 豁免规则优先级错误（最常见不通原因）
豁免规则必须放在所有上网源 NAT最顶部；如果先匹配外网 EasyIP 转换，VPN 流量会被转换公网 IP，IPSec 校验失败隧道能建立但内网无法互访；
不要遗漏目的网段参数，只写源网段不匹配对端子网，豁免不生效。
2. 安全策略未放通 UDP500/4500、ESP 协议
运营商公网固定 IP 场景，部分机房防火墙拦截 500/4500 端口，必须在 F100 安全策略放行 Untrust 到 Local 的 IKE、ESP 报文，否则 IKE 协商失败隧道无法建立。
3. 两端 IKE 协商参数不匹配
主模式 / 野蛮模式、加密算法、DH 组、预共享密钥、ID 类型必须两端完全一致，任意一处不一致隧道协商失败。
4. 路由缺失或下一跳错误
仅配置 IPSec 策略路由，无静态路由指向对端公网 IP，防火墙无法把 VPN 流量转发到 WAN 公网接口。
四、验证隧道连通性排查命令（Console/SSH 登录防火墙）
bash
运行
# 查看IKE第一阶段协商是否建立
display ike sa
# 查看IPSec第二阶段SA隧道
display ipsec sa
# 查看NAT匹配表，确认VPN流量不做转换
display nat session source 192.168.10.10 destination 192.168.20.20
# 测试内网跨段连通性
ping -a 192.168.10.10 192.168.20.20
五、配套官方文档说明
官方 Web 专属白皮书：《F1000-G5 防火墙 Web 配置指导 - 6W101》，完整包含 IPSec 主模式、NAT 策略全页面截图操作；
命令行完整配置指导：《F1000-G5 安全配置指导》，VPN、NAT 两大独立章节；
获取渠道：新华三官网文档中心、知了社区搜索「F1000-G5 IPsec 主模式 固定公网 IP」下载 PDF 手册。
极简总结
找不到 NAT 菜单原因：新版 G5 Web UI 重构，NAT 独立页面「网络管理→NAT 策略」，不再放在策略分类下；
VPN 互通核心配置：NAT 源策略新增内网互访豁免规则（优先级最高） + IKE 主模式 IPSec 双向配置 + 放通 UDP500/4500、ESP 安全策略；
实验验证：两端内网 PC 互相 ping 对方私网 IP，正常互通；删除 NAT 豁免规则，流量被外网 NAT 转换，内网互访断开；
官方配套完整 Web 操作白皮书，官网文档中心可下载对应 R6823 高版本操作手册。