ipsec vpn 配置野蛮模式无法建立通道

检查路由器的配置吧    路由器看看命令行的配置

H3C 防火墙野蛮模式（aggressive）IPSec VPN 建链失败排查
组网：中心防火墙（模板方式 IPSec Policy‑Template），分支路由器野蛮模式发起 IKE 协商；现象配置核对无误，隧道起不来。
你当前配置核心风险点：野蛮模式 aggressive + fqdn 身份 + pre‑shared‑key 地址 0.0.0.0 匹配，模板模式下极易协商失败。
先梳理你现有配置问题
plaintext
ike profile r1
keychain r1
exchange-mode aggressive //野蛮模式
local-identity fqdn center //本端身份FQDN:center

match remote identity fqdn branch //期望对端身份FQDN:branch
proposal 1

ike keychain r1
pre-shared-key address 0.0.0.0 0.0.0.0 key cipher xxx
野蛮模式（aggressive）IKE 阶段 1 特点：
野蛮模式第一包就携带身份 ID（fqdn），身份用来查找预共享密钥；
policy‑template（模板模式，用于接收动态分支）野蛮模式下：keychain 不能用 address 0.0.0.0，必须使用 fqdn 匹配密钥！！这是最常见故障点。
❌错误写法：
plaintext
pre-shared-key address 0.0.0.0 0.0.0.0 key xxx
address 0.0.0.0 是主模式（main）对动态 IP 分支的写法；野蛮模式根据 ID（fqdn）查密钥，address 条目不会被野蛮模式调用。
野蛮模式收到对端 fqdn=branch，会在 keychain 中查找pre‑shared‑key fqdn branch条目，你现在只有 address 条目，直接报密钥查找失败，IKE 阶段 1 直接拒绝。
✅修正 keychain 配置：
plaintext
ike keychain r1
pre-shared-key fqdn branch key simple 你的密钥
# 不要用address 0.0.0.0，野蛮模式FQDN认证不识别这个条目
补充：local‑identity fqdn center，分支设备上 remote‑identity 必须配置 fqdn center，两边身份必须严格一模一样，大小写敏感。
完整排查步骤（按顺序，优先看 debug 日志）
1、收集 IKE 调试信息（最关键，直接定位失败在哪一步）
防火墙命令行开启 debug：
shell
debugging ike all
debugging ipsec all
terminal debugging
terminal monitor
分支路由器同步打开 debug，然后触发分支发起 VPN；看日志报错。
常见报错：
can not find pre‑shared‑key → 密钥匹配失败，就是上面 keychain 匹配类型错误（address/fqdn 不匹配）
peer identity check failed → 本端 / 对端 fqdn 身份字符串不一致
proposal not match →IKE 提议加密、认证、DH 算法不匹配
receive no proposal acceptable 两端 IKE proposal 算法交集为空
完全没有 IKE 报文打印：网络拦截 UDP 500/4500，中间设备防火墙丢弃 IKE 报文。
注意：野蛮模式只有发起方主动发 IKE 报文；模板侧（总部防火墙）不会主动发起 IKE，必须分支主动发起协商。
2、IKE 阶段 1 野蛮模式必查清单
exchange‑mode aggressive 两端保持一致；总部 ike‑profile 下必须配置 exchange‑mode aggressive，模板引用 profile 才生效。
身份 ID 严格匹配：
总部：local‑identity fqdn center → 分支配置remote‑identity fqdn center
分支：local‑identity fqdn branch →总部match remote‑identity fqdn branch
⚠️FQDN 字符串大小写敏感，不能多空格。
keychain：野蛮模式 FQDN 认证，密钥条目类型必须 fqdn，不能 address。
ike‑proposal 加密算法、认证算法、DH 组，两端必须有交集。
老设备不支持 AES‑GCM，DH14；尽量用 AES‑256，SHA2‑256，DH group2 做测试。
3、IPSec policy‑template 模板模式额外约束
plaintext
ipsec policy-template p1 1
transform-set r1
local-address 总部公网IP
ike-profile r1
local‑address填写防火墙出接口公网 IP，必须正确；
ipsec policy p 1 isakmp template p1，绑定到外网物理接口；
plaintext
interface GigabitEthernet 0/X
ipsec apply policy p
很多人漏：ipsec policy 没有应用到外网接口，IKE 报文不会处理。
4、网络连通性基础检查
中间网络放行 UDP 500（IKE）、UDP4500（NAT‑T）；如果分支内网有 NAT，NAT‑T（4500）必须通。
分支设备能够访问总部公网 IP UDP500。
测试：分支路由器执行 ping 总部公网IP；如果中间有防火墙，不要拦截 ESP 协议（IP 协议号 50）。
5、IKE 阶段 1 过了，阶段 2IPSec SA 无法建立
transform‑set 封装模式野蛮模式对接分支：必须隧道模式 mode tunnel；不要 transport。
两端感兴趣流（ACL）：源 / 目的镜像对称。
总部模板模式：对动态分支，ACL 可以不配置，由分支上报感兴趣流；如果总部配置 ACL，源目的必须和分支镜像。
高频踩坑汇总
野蛮模式 FQDN 认证，keychain 写pre‑shared‑key address 0.0.0.0，密钥匹配失败（你的配置最大嫌疑点）。
fqdn 身份名称大小写、空格不一致，身份校验失败。
ike‑profile 没有绑定到 policy‑template；ipsec policy 没有绑定外网接口。
两端 IKE proposal 加密、认证、DH 组无共同算法。
中间运营商 / 设备拦截 UDP500/4500、ESP 报文。
分支是 NAT 后上网，没有触发 NAT‑T，4500 端口不通。
修改之后参考总部核心片段
plaintext
ike profile r1
keychain r1
exchange-mode aggressive
local-identity fqdn center
match remote identity fqdn branch
proposal 1

ike keychain r1
pre-shared-key fqdn branch key simple 你的预共享密钥

ike proposal 1
encryption‑algorithm aes‑256
authentication‑algorithm sha2‑256
dh group2

ipsec policy-template p1 1
transform-set r1
local‑address 总部公网IP
ike‑profile r1

ipsec policy p 1 isakmp template p1

#在外网接口下应用
interface GigabitEthernet 0/X
ipsec apply policy p
分支路由器 ike profile，exchange‑mode aggressive，local‑identity fqdn branch，remote‑identity fqdn center，keychain 使用 fqdn center 匹配密钥。
调试建议
修改完成后，打开 debug ike all，分支触发协商，把 debug 输出贴出来，可以直接定位是密钥、身份、proposal 还是网络报文丢弃问题。
补充：如果分支是 H3C ER 系列 Web 路由器，野蛮模式 FQDN 认证，web 配置的域名身份一定要和防火墙 fqdn 完全一致。