ipsec 突然只有一端通是怎么回事

ipsec 单通，检擦安全按策略是否放行、感兴趣流是否一致

这个和dns没直接关系，pppoe野蛮场景不稳定正常的

要彻底解决只能

1、申请固定ip

2、通过专线等方式规避

注：已解决，留下解决方案以便查询。

由于对端升级到了 6749P2102 版本，而本端还在 6728P26 版本，结合单通现象，因此推测可能和对端版本升级有关。

遂将本端升级至同一版本，但重启后仍未解决。

于是将两端的配置文件逐行排查，最终发现对端接口中添加了：

ipsec no-nat-process enable

而本端没有这行配置。

结合之前提到的，debugging ipsec all 反复收到“ip fastforwarding”输出，检索资料发现该输出和 nat 可能有关。于是在本端接口也添加此 no-nat 配置，敲下回车后，瞬间解决问题。

总结：

1. 大概率是版本升级后对端作为中心节点自动加上了 no-nat-process 配置；也有可能初始配置时就存在对端有本端无的情况，但旧版允许通信而新版不再允许通信？

2. 本端作为分支节点，本身没有配置这行命令，升级后也未自动添加，导致对端到本端通，反之不通

3. 以上问题也印证了我最担心的，因系统升级导致配置有变化。之前也遇到过此类情况，400 远程排查了两个多小时，回去问二线才确定是因为某配置已经不受支持。连 400 工程师都查不出来的问题，我们更不可能查出来了。教训就是慎重升级，并保持续保，不然再遇到类似情况，累死都不可能找到原因。