msr3620点对点ipsec 野蛮模式过一阶段 main不可以

你遇到的主模式不通、野蛮模式可行的情况，核心原因在于IKE主模式（Main Mode）的协商机制存在一个关键限制：它无法穿越NAT设备。你的组网中，两端MSR3620大概率位于NAT设备（如防火墙）之后，因此主模式在NAT环境下失败是预期行为。

 根本原因：主模式为何无法穿越NAT？

IKEv1有两种协商模式，它们的报文交换过程不同：

• 主模式（Main Mode）：使用6个报文完成协商，其身份ID信息在加密后传输。

• 野蛮模式（Aggressive Mode）：使用3个报文完成协商，其身份ID信息在加密前明文传输。

关键区别在于：主模式在协商过程中，源端口号（UDP 500）可能被NAT设备修改。一旦端口被改变，后续的IKE报文就无法正确匹配到已建立的NAT会话，导致协商在第一阶段的Message 3/4处卡住或超时。而野蛮模式由于协商过程更快，且在NAT穿越（NAT-T）场景下有更好的兼容性，因此能成功建立。

你提到的“过一阶段 main不可以”，很可能就是指主模式在第一阶段（Phase 1）的Message 3或4处失败。

 主模式失败的常见原因与排查

如果你必须使用主模式（例如对端设备不支持野蛮模式），可以按照以下顺序排查：

1. 确认NAT环境与端口映射

• 检查两端MSR3620是否都位于NAT设备之后。如果是，必须在NAT设备上将UDP 500和UDP 4500端口映射到MSR3620的内网接口IP。缺少端口映射是主模式失败最常见的原因。

• 在MSR3620上执行 display ike sa verbose，观察主模式SA是否卡在 MM_SA_SETUP 或 MM_KEY_EXCH 状态。

2. 检查IKE身份标识（Identity）
主模式对身份ID的匹配比野蛮模式更严格。如果一端使用 identity address（IP地址），另一端使用 identity name（FQDN/域名），协商就会失败。建议两端统一使用 identity address，并确保地址与对端实际公网IP一致。执行 display ike proposal 和 display ike sa verbose 查看身份标识是否匹配。

3. 核对IKE提议（Proposal）参数
主模式对提议的协商顺序更敏感，必须确保两端加密算法、认证算法、DH Group完全一致。可以使用 display ike proposal 命令对比两端配置。

4. 检查预共享密钥（Pre-shared Key）
预共享密钥的匹配地址必须与对端身份标识一致。如果配置了 pre-shared-key address 1.1.1.2，但对端实际发送的身份ID是 1.1.1.2/16（带掩码），可能导致匹配失败。可以在 ike keychain 中尝试使用 pre-shared-key hostname 或匹配更宽泛的地址。

5. 确认软件版本兼容性
MSR3620的软件版本需支持标准IPsec，建议使用R67XX及以上版本。如果版本过旧，可能对某些IKE参数的处理存在差异。