MER3220配置ipsec
- 0关注
- 0收藏，350浏览
问题描述：
问题1：为何第一阶段都建立不成功，而且在出口出抓不到任何IPSec相关包
问题2：这种对端给我这边分配好感性趣流的网段和我本地实际网段不符，应该如何设置感兴趣流
组网及组网描述：
对方是华三防火墙，公网地址221，本地是MER3220 硬件版本2.0 软件版本 7.1.064 Release 0809P02，公网地址61，对方建立了很多VPN隧道，为了防止感兴趣流冲突，所以给我这边规划了内网感兴趣流172段，但我本地的实际内网网段是192段的，IPSec的配置两边是都协商配置好的，现在建立IPSecvpn第一阶段都不通，我在本地路由器出口抓包，在抓包时间内，配置好ipsecVPN，抓取策略是源any、目的221，这样抓不到任何的包，然后我又删除IPSec配置，重复抓包步骤，这次策略改成源any，目的any，在抓取的包中通过wireshark筛选，还是找不到IPSec协商的包，目的地址为A的包都没有，这是华三防火墙的配置
这是MER3220的配置
- 2025-07-10提问
- 举报
-
(0)
最佳答案
问题1
1阶段都不成功，大概率是2端配置问题或网络连通性问题。让2端检查下策略放行情况吧。还不行就测试运营商端口开放情况吧
问题2
基本无解 ，除非内网nat。但是结构复杂，且业务侧不一定兼容。
- 2025-07-10回答
- 评论(3)
- 举报
-
(0)
有人告诉我可以使用snat和dnat，将内网的192伪装成172，我是在内网口做了snat，将访问对端包的源地址192改为172，然后在外网口做了dnat将目的地址172改为192，这样是否可行，但是我又想到一个问题：比如我主动访问总部，当总部给我回包的时候是按照之前记录的nat映射关系再映射回来，还是会被外网口配置的dnat规则直接给转换了，如果被dnat规则给直接转换了，那端口号啥的，不就全乱了嘛
问题1我不理解的是就算是配置有问题，那我这边应该也可以抓到目的地址为221的ipsec的协商包
您好，首先同网段不行，因为有最短路径优先
其次，NAT策略优先级高于IPSEC，需要先将对应的感兴趣地址deny，然后再ipsec允许
- 2025-07-10回答
- 评论(1)
- 举报
-
(0)
同网段你指的是哪个网段和哪个网段，我使用web配置以后还需要手动到命令行里面把默认的nat改掉吗
同网段你指的是哪个网段和哪个网段，我使用web配置以后还需要手动到命令行里面把默认的nat改掉吗
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
那你找告诉你的人搞定呗