f1000系列防火墙做ipsec vpn断网需要手动触发览量，可以自动触发吗

可以的，参考配置链接03-IPsec命令-新华三集团-H3C

1.1.65  sa trigger-mode

sa trigger-mode命令用来配置触发建立IPsec SA的模式。

undo sa trigger-mode命令用来恢复缺省情况。

【命令】

sa trigger-mode { auto | traffic-based }

undo sa trigger-mode

【缺省情况】

触发建立IPSec SA的模式为流量触发。

【视图】

IPsec安全策略视图

【缺省用户角色】

network-admin

context-admin

【参数】

auto：自动触发模式，完成IPsec的基本配置后设备自动触发协商建立IPsec SA。

traffic-based：流量触发模式，当存在符合IPsec安全策略条件的数据流时才会触发IPSec SA协商。

【使用指导】

·     此功能只适用于IKE协商方式的IPsec安全策略。

·     自动触发模式下，无论是否有流量需要保护，都会在配置条件满足的情况下触发建立IPsec SA，这在一定程度上占用了系统资源；而流量触发模式只在有流量需要保护时才会触发建立IPsec SA，相对于自动模式，系统资源占用率较低，但IPsec SA成功建立之前的流量不会受到保护。

·     如果IPsec安全策略下引用了智能选路策略，将自动触发建立IPsec SA，则此配置不会生效。

·     IPsec隧道两端的设备上并不要求配置一致的触发建立IPsec SA的模式。

·     修改模式，对当前已经存在的IPsec SA无影响。如果已经配置了auto模式，IPsec SA建立完成后，建议修改为traffic-based模式。

·     若IPsec安全策略/IPsec安全策略模板引用的ACL被指定为聚合方式或主机方式，则该IPsec安全策略/IPsec安全策略模板无法通过自动触发模式建立IPsec SA。

【举例】

# 配置序号为10的IPsec安全策略policy1触发建立IPsec SA的模式为自动触发。

<Sysname> system-view

[Sysname] ipsec policy policy1 10 isakmp

[Sysname-ipsec-policy-isakmp-policy1-10] sa trigger-mode auto