ACAP三层注册+本地转发+IPSEC

1、ipsec不能转发广播流量

2、你ipsec建立之后，client如果是集中转发，dhcp广播报文会先通过隧道单播到控制器，控制器再解封装广播出来，这个时候广播报文是没法回到本地的网关的

一、确认 DHCP 中继配置（核心前提）

1. 定位业务 VLAN 接口：假设 Client 所在业务 VLAN 为Vlan-interface100（对应 AR11 的 DHCP 池100.1.1.0/24），需在 AP 或 AC 的该接口上配置中继：
   interface Vlan-interface100 ip address 100.1.1.1 255.255.255.0 # 业务VLAN网关（与AR11的DHCP池同网段） dhcp select relay # 启用DHCP中继 dhcp relay server-ip 100.1.1.24 # 指向AR11的DHCP服务器IP
2. 验证中继状态：执行display dhcp relay server，确认中继服务器 IP 正确且状态为active。

二、检查 IPsec 感兴趣流（确保 DHCP 流量被允许）

1. 查看 IPsec ACL 配置：
   # 在AR11和AC33上分别执行 display ipsec policy detail
   找到关联的 ACL（如acl 3000），检查是否包含 DHCP 端口：
   acl number 3000 rule permit udp destination-port eq 67 # DHCP服务器端口 rule permit udp destination-port eq 68 # DHCP客户端端口 rule permit ip source 172.16.10.0 0.0.0.255 destination 192.168.58.2 0 # 管理网段流量（原感兴趣流）
   若缺少 DHCP 端口规则，需添加后重新应用 IPsec 策略。

三、验证路由可达性（确保 DHCP 请求 / 响应路径正确）

1. AC33 侧路由：需有到100.1.1.0/24的路由，下一跳为 IPsec 隧道对端（AR11 的 IP）：
   ip route-static 100.1.1.0 255.255.255.0 TunnelX/X # TunnelX/X为IPsec隧道接口
2. AR11 侧路由：需有到172.16.10.0/24（AP 管理网段）和100.1.1.0/24（业务网段）的路由，下一跳为 IPsec 隧道对端（AC33 的 IP）：
   ip route-static 172.16.10.0 255.255.255.0 TunnelX/X ip route-static 100.1.1.0 255.255.255.0 TunnelX/X
3. 验证路由：在 AC33 上执行ping -vpn-instance VPN1 100.1.1.24（假设 IPsec 绑定 VPN 实例），确保能 ping 通 AR11 的 DHCP 服务器。

四、排查安全策略（放行 DHCP 流量）

1. AR11 侧安全策略：
   firewall zone trust add interface GigabitEthernetX/X # 连接IPsec隧道的接口 rule permit udp destination-port eq 67 rule permit udp destination-port eq 68
2. AC33 侧安全策略：
   firewall zone trust add interface GigabitEthernetX/X # 连接IPsec隧道的接口 rule permit udp source-port eq 67 rule permit udp source-port eq 68

五、抓包分析（定位流量丢失点）

1. AP 的业务 VLAN 接口：执行display packet-capture interface Vlan-interface100，查看是否有DHCP Discover包发出。
2. IPsec 隧道 AR11 端：执行display packet-capture interface TunnelX/X，查看是否收到加密的 DHCP 请求。
3. AR11 的 DHCP 服务器接口：执行display packet-capture interface GigabitEthernetX/X，查看是否收到DHCP Discover并发出DHCP Offer。
4. IPsec 隧道 AC33 端：执行display packet-capture interface TunnelX/X，查看是否收到解密后的DHCP Offer并转发。

六、总结与解决

• IPsec NAT-T 配置：若中间设备（如 AR22）存在 NAT，需确保 IPsec 开启 NAT 穿越（ipsec nat-traversal enable）。
• DHCP 地址池耗尽：执行display dhcp server ip-in-use，确认 AR11 的地址池有可用地址。
• AP/AC 版本兼容性：确保 AP 和 AC 的固件版本支持 “IPsec+DHCP 中继” 场景，必要时升级版本。