anquan

是的

我需要在总部与分支机构之间建立主模式VPN，同时需要为移动办公的同事提供移动VPN通道，我可不可以分别建立主模式的策略模版（分支机构）和野蛮模式的策略模版（移动办公），然后在同一个安全策略下引用？

单条 IPsec‑policy 表项（同一个 policy‑name + 同一个 seq‑number），只能引用 1 个 ipsec‑policy‑template 安全策略模板，不支持一条策略同时绑定多个模板H3C。

⚠️区分两个概念：

1. 单条策略（policy‑name + seq）：ipsec policy MAP 10 isakmp template TPL1，这一条只能跟1 个 template 名称，命令不允许写多个 template。
2. 同一个 IPsec 策略组（同名 policy‑name，不同 seq 序列号）：可以用不同 seq 序号分别引用不同的模板，多条策略组成策略组，最后一起在接口下ipsec apply policy MAP应用H3C。

正确与错误写法

❌错误（单条策略试图引用多个模板，命令不支持）

✅正确方案：同一个策略组，使用不同 seq 序列号分别引用不同模板

策略组内 seq 越小优先级越高；协商到来时，设备从上往下匹配策略条目。

补充：policy‑template 模板组内部

同一个 template 名字内部，可以配置多个 seq（ipsec policy‑template TPL1 1、ipsec policy‑template TPL1 2），这属于同一个模板组内部多条子模板，它不是 “一条 ipsec‑policy 引用多个 template 名字”。

重要特性提醒（template 模式）

1. 凡是通过 isakmp template xxx 生成的 IPsec 策略，本端只能做响应方 responder，不能主动发起 IPsec 协商，适合分支众多、对端公网 IP 不固定的总部场景H3C。
2. 如果需要本端主动发起隧道，不能用 template 模式，直接用普通ipsec policy xxx seq isakmp，手工配置 remote‑address、acl、transform‑set、ike‑profile。
3. 一个ike‑profile只能被一个 policy‑template / 一条 ipsec‑policy引用，不能多个模板共用同一个 ike‑profile，否则报错H3C。

排查查看命令

总结记忆

1. 一条 policy 条目（name+seq）：只能引用 1 个 template 名称；
2. 需要多个不同模板：增加不同 seq 序号，放到同一个 policy 策略组，接口下 apply 整个组；
3. 同一模板组内部，可以用多个 seq 写多条子模板，这属于模板组内部，不属于 policy 引用多个外部 template。