问题描述：
A地（固定公网ip）msr3610-xs路由器与B地（pppoe拨号）msr3610-x1通过ipsec 野蛮模式组成vpn，由于运营商限制，A地很多端口被封闭，导致一些业务在A地无法运行，但B地运营商无限制。如何才能让A地某些IP的所有数据均通过ipsec发送到B地，通过B地的运营商进行转发，回包如何能让B地路由器再转发到A地？尝试在B地建立了一条到A地的感兴趣路由，想将这部分ip的数据拉回到B地，同时A地wan口阻止这些地址的数据通过。但A地配置这些ip的电脑网卡直接显示无法连接互联网。且所有网络数据都不通，似乎这种设计不可行，之前求助有大神提议用gre，但是本人对gre设置和原理完全小白， 不知道野蛮模式下能不能正常使用gre，还有人提议在路由器上做Tunnel接口，然后直接做路由就行，但是也不知道我这种网络环境是否支持，求大神讲解并帮忙设计一个现实可行且安全稳定的方法。跪拜了！
关键配置步骤：
1. B地路由器NAT配置：
nat address-group 1
address 192.168.2.100 192.168.2.100 # B地公网IP或接口IP
interface GigabitEthernet0/1 # B地出接口
nat outbound 3000
acl advanced 3000
rule 0 permit ip source 10.1.1.0 0.0.0.255 # A地内网网段
2. B地路由器策略路由（用于回包）：
policy-based-route TO-A permit node 10
if-match acl 3000
apply next-hop 隧道对端地址 # 指向IPSec隧道对端（A地）地址
interface Tunnel0 # IPSec隧道接口
ip policy-based-route TO-A
3. A地路由器路由配置：
ip route-static 0.0.0.0 0.0.0.0 Tunnel0 # 默认路由指向隧道
或
ip route-static 目标业务网段 掩码 Tunnel0 # 特定流量指向隧道
补充说明：
- 确保IPSec隧道配置正确，野蛮模式需匹配对端ID
- B地PPPoE拨号需配置DDNS或脚本检测IP变化更新IPSec配置
- 如果A地有多个业务IP需要转发，在ACL中精确匹配源地址
需要确认：A地具体哪些业务IP需要转发？B地公网IP是否固定？IPSec隧道当前是否已正常建立？
您之前的配置思路是让“感兴趣流”匹配“A地特定IP → 任意目的地”，希望这样就能把所有流量都送进隧道。但实际上，IPsec的感兴趣流只对“去往对端内网”的流量生效，不会匹配“去往公网”的流量。
这就是为什么您的电脑“无法连接互联网”——路由器看到这些IP发往公网的数据包，发现不在IPsec感兴趣流的保护范围内，同时又因为您做了某种阻断配置，最终数据包被丢弃了。
正确解决方案（IPsec + 策略路由 + NAT）
实现A地特定IP“借道”B地上网，需要三个核心组件配合工作：
| 组件 | 作用 | 部署位置 |
|---|---|---|
| 策略路由 (PBR) | 强制将特定IP的流量下一跳指向IPsec隧道接口 | A地路由器 |
| IPsec隧道 | 加密传输数据到B地 | 两端路由器 |
| NAT | 将A地源IP转换为B地公网IP，让回包能正确返回 | B地路由器 |
配置步骤详解
第一步：在A地路由器配置策略路由（关键）
策略路由的作用是强制特定IP的流量走IPsec隧道，而不是走默认路由从本地WAN口出去。
之前您可能只配置了内网互访的感兴趣流，现在需要扩大范围，让匹配策略路由的流量能进入隧道。
B地需要做两件事：一是将来自A地的流量做NAT转换（源IP变成B地公网IP），二是确保回包能回到A地。
A地路由器上，需要确保这些特定IP的流量不被本地NAT转换，否则数据包会从本地WAN口出去，而不是进隧道。
GRE over IPsec 方案原理：
GRE创建虚拟隧道接口（Tunnel接口），可以承载任意协议（IP、IPX等）
在GRE隧道之上，只需要一条简单的IPsec保护规则：
source A地公网IP → destination B地公网IP然后通过静态路由，把需要转发的流量指向Tunnel接口即可
优点：配置更简洁，不依赖“感兴趣流”的复杂匹配；故障排查更直观
缺点：额外增加GRE头部开销（24字节），可能影响MTU
推荐方案
鉴于您对GRE不熟悉且现有IPsec野蛮模式已经正常工作，建议采用第一种方案（IPsec + 策略路由 + NAT）。
如果配置后还有问题，可以按以下顺序排查：
确认策略路由是否生效：
display ip policy-based-route查看匹配计数确认IPsec隧道状态：
display ipsec sa在B地抓包确认NAT转换是否生效：
display nat session
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论