acg的ipsec默认是gre over ipsec么，咋会要创建本地隧道口

H3C ACG 设备的 IPsec 默认并不是 GRE over IPsec。它默认就是纯 IPsec 模式。

至于为什么要创建本地隧道口（Tunnel接口），这和 ACG 的设备定位与设计逻辑有关。

核心原因：隧道口是“引流”的关键

在 ACG 设备上，IPsec 隧道口（Tunnel接口）是一个逻辑接口。它的核心作用是引流，即将需要加密的私网流量“引导”进入 IPsec 隧道。

具体通过以下两步实现：

1. 配置静态路由：你需要创建一条静态路由，将发往对端私网的数据包的下一跳指向这个 Tunnel 接口。

2. 流量进入隧道：数据包匹配到这条路由后，就会被送入 Tunnel 接口，进而触发 IPsec 加密处理。

简单来说，Tunnel接口提供了一个清晰的“入口”，让设备明确知道哪些流量需要被保护。

与防火墙配置逻辑的差异

你提到的“防火墙配置纯IPsec没有这一步”是正常的，这源于两者设计逻辑不同：

• 防火墙：通常使用 ACL（访问控制列表） 来定义需要加密的“感兴趣流”。当数据流匹配 ACL 规则时，防火墙会自动将其引入 IPsec 隧道。因此，不需要手动创建 Tunnel 接口和配置路由。

• ACG（应用控制网关）：采用基于路由的引流方式。通过 Tunnel 接口和静态路由，实现更灵活的流量调度，比如可以方便地与应用识别、策略路由等功能结合。

总结

因此，在 ACG 上配置 IPsec VPN 时，创建本地隧道口是标准且必要的步骤，这是由其基于路由的引流方式决定的。

1. 标准 LAN-to-LAN IPsec（ESP 隧道模式）：普通站点对站点 VPN，不需要 Tunnel 接口；通过 ACL 定义两端私网感兴趣流，Web 界面叫【IPSec 第三方对接（策略型 IPsec）】
2. GRE over IPsec / VTI 隧道接口型 IPsec：必须手动创建 Tunnel 隧道口，属于高级叠加方案，不是默认模式。

一、两种模式本质区分（ACG1000 V7 平台）

模式 1：策略型 IPsec（普通 IPsec 隧道，默认常规方案，无需 Tunnel 口）

• 不用建立 Tunnel 接口；
• 使用 ACL 匹配【本端私网 ↔ 对端私网】流量作为感兴趣流；
• 在公网接口直接应用 ipsec policy。

抓包报文结构：外层公网 IP | ESP 头 | 内层原始私网 IP

模式 2：Tunnel 接口方案（两类场景都会用到 Tunnel 接口）

场景 A：GRE over IPsec

场景 B：VTI（虚拟隧道接口型 IPsec，IPsec Profile 绑定 Tunnel）

二者共同点：都依赖 Tunnel 逻辑接口，所以配置页面强制要求创建本地隧道口。

二、回答核心问题：什么时候 ACG 要求你创建本地 Tunnel 口？

1. 如果你在 ACG Web 菜单选择：【IPSec 隧道（隧道接口方式）】
   不管你是做 VTI IPsec，还是 GRE over IPsec，界面强制要求新建 Tunnel 接口；
2. 业务需要在 VPN 通道内跑OSPF/BGP 动态路由协议：
   标准策略型 IPsec 不支持组播，无法传递动态路由报文，只能使用 Tunnel 接口方案（GRE over IPsec / VTI）；
3. 多网段、复杂分支机构组网，不想维护多条 ACL 感兴趣流，依靠路由控制加密流量。

❗ 如果你只是普通总部 - 分支静态互通，直接选用【IPSec 第三方对接（策略模式）】，不用创建 Tunnel，也不需要 GRE。

三、GRE over IPsec 和普通 IPsec 直观区别

四、常见踩坑解释

1. 疑问：为啥有的实施文档要求创建 Tunnel，有的不用？

   答：文档采用的方案不同。静态站点互通用策略型 IPsec（无 Tunnel）；需要跑动态路由、多分支复杂组网，才选用 Tunnel 接口模式。
2. 误区纠正：

   很多人混淆概念：不是所有 IPsec 都叫 GRE over IPsec！

   GRE over IPsec = GRE 隧道外层再套 IPsec 加密，属于叠加技术；原生 IPsec 隧道模式不含 GRE。
3. ACG Web 操作建议

• 普通静态站点互通：选择【IPSec 第三方对接】，无需 Tunnel、无需 GRE；
• 需要 OSPF/BGP 动态路由：新建 Tunnel 接口，部署 GRE over IPsec。