华三防火墙配置IPSEC VPN 报错

IPsec VPN第二阶段（Phase 2）协商失败

检查IPsec策略配置

IPSec第二阶段SA协商失败问题（报错信息：`Failed to establish phase 2 SA in IKE_P2_STATE_GETSP state. Reason: Failed to get IPsec policy as phase 2 responder`），

根本原因在于响应方设备在IKE第二阶段协商时未能正确匹配或找到所需的IPSec安全策略配置。以下是关键故障点及解决方案：

🔧 核心故障原因分析（响应方配置问题）：
1. IPSec策略引用错误：
- 问题描述：响应方IPSec策略中可能引用了不匹配的IKE Profile。若IKE第一阶段协商未匹配任何IKE Profile（使用全局参数），但第二阶段IPSec策略强制绑定了某个Profile，会导致策略查找失败。
- 验证方法：执行 `display ike sa verbose` 检查IKE SA的 `Profile` 字段：
- 若显示为空或`N/A`，表明协商未使用Profile。
- 对比IPSec策略配置（`display ipsec policy`），确认是否引用了特定Profile。
- 解决方案：
- 在响应方IPSec策略中移除IKE Profile引用（使其使用全局参数）。
- 或调整IKE Profile配置，确保与发起端参数（如认证方式、ID类型）匹配。

2. ACL流范围不匹配：
- 问题描述：响应方ACL定义的流量范围小于发起方ACL范围（如发起方ACL为`192.168.0.0/16`，响应方仅为单IP `192.168.1.1/32`）。
- 验证方法：对比两端ACL规则（`display acl <ID>`），确保响应方ACL覆盖发起方流范围。
- 解决方案：
- 修改响应方ACL的源/目的IP范围 ≥ 发起方范围（例如响应方ACL改为 `permit ip source 192.168.0.0 0.0.255.255 destination 192.168.0.0 0.0.255.255`）。

3. IPSec策略配置不完整：
- 关键缺失项：
- ❌ 未配置隧道对端IP地址（`remote address` 为空）。
- ❌ 未绑定IPSec安全提议（`transform set`）。
- ❌ 提议本身配置不完整（如未指定封装模式、SPI无效）。
- 验证方法：执行 `display ipsec policy` 检查策略完整性。
- 解决方案：
- 补全缺失配置：添加对端IP、绑定有效提议、完善提议参数（封装模式需明确指定）。

⚙️ 快速排查步骤：
1. 检查IKE Profile匹配：
#
display ike sa verbose 查看协商是否使用Profile
display ipsec policy 确认策略是否引用Profile
#

2. 核对ACL范围：
#
display acl <ACL_ID> 对比两端ACL的source/destination范围
#

3. 验证策略完整性：
#
display ipsec policy 确保remote address、transform set等关键项已配置
#

💡 总结修复方向：
> ✅ 优先级最高：
> - 若IKE SA未使用Profile → 移除IPSec策略中的Profile引用。
> - 补全IPSec策略必填项：对端IP地址、安全提议绑定。
> - 扩展响应方ACL范围至大于或等于发起方ACL。

通过上述针对性调整，可解决响应方因策略缺失或配置错误导致的第二阶段SA协商失败问题。实际配置时，建议逐条核对上述要点，确保关键参数一致且完整。