F100+C-A5防火墙组网的IPSEC VPN故障

根据日志信息，VPN连接失败的原因是分部的IKE协商报文在传输过程中被NAT设备修改了源地址和端口，导致总部无法识别原始会话。以下是具体分析和建议：

根本原因：

分部移动4G网络存在运营商级NAT（CGNAT），导致：

1. 原始IKE报文（UDP 500）经过NAT后源地址变为120.255.11.*（第二跳公网地址）

2. 源端口从500被映射为266

3. 总部响应报文发送到NAT后的地址/端口，但分部未启用NAT-Traversal机制，导致双向会话不匹配

解决方案：

1. 启用NAT-Traversal（NAT-T）：

   # 在总部和分部设备同时配置

   system-view

   ike nat-traversal   # 开启NAT穿透

   ike dpd             # 启用死亡对端检测

   ike keepalive       # 启用保活机制

2. 调整分部IPSec配置：

   # 在分部设备配置

   ipsec profile [PROFILE_NAME]

    local-address nat   # 声明本地处于NAT环境

3. 验证总部安全策略：

   确认ACL规则放行UDP 500和4500端口

   检查安全策略是否允许来自120.255.11.*地址段的IPSec流量

验证步骤：

1. 在总部执行抓包命令：

   display ike session verbose

   确认会话状态是否显示NAT-DETECTED

2. 检查日志是否出现NAT-T相关记录：

   IKE/6/IKE_NAT_DETECTED: NAT detected for peer [PEER_IP]

若配置后仍存在端口映射异常，建议在分部侧抓取IPSec协商报文，确认：

是否有NAT-T协商过程（包含NAT-DETECTION报文）

是否成功切换至UDP 4500端口通信

若问题仍未解决，需提供完整配置及debug日志进行深度分析。