IPSec 安全策略模板模式 使用场景 + 核心原理（通俗好懂）

一、先记核心结论

1. 野蛮模式 + 对端公网 IP 不固定、动态 IP、拨号上网、随机 IP → 必须用 策略模板
2. 两端公网 IP 都是固定静态 IP → 用普通策略（野蛮 / 主模式都行），不用模板

二、为什么动态 IP 必须用「策略模板」？

1. 普通 IPSec 策略（非模板）缺点

2. 动态 IP 场景矛盾

• 分支 IP 每次拨号都会变，总部不可能提前写死成千上万个动态 IP
• 没法在总部配置里写 remote-peer 动态变化IP

3. 策略模板的作用

• 总部只配置身份标识（域名、设备名称、预共享密钥、证书）
• 不限制对端公网 IP，任何动态 IP 的分支发起 IKE 协商
• 通过用户名 / 密钥 / 证书认证身份，不靠 IP 认证
• 完美适配大量动态分支接入

三、强制使用【IPSec 策略模板】典型业务场景

场景 1：总部 + 大量拨号分支（最常用）

• 总部：固定公网 IP（H3C 防火墙 / 路由器）
• 分支：门店、小店、工地、办事处、4G 工业路由器、宽带 PPPoE 拨号
• 分支 IP 随机变化，数量多、不可能逐个登记固定 IP
  ✅ 总部：IPSec 策略模板 + 野蛮模式
  ✅ 分支：普通 IPSec 策略、野蛮模式、填写总部固定 IP

场景 2：移动端 / 移动办公用户远程接入

• 外勤员工、笔记本、手机 VPN、随时随地联网
• 公网 IP 随机、运营商 IP 不固定
  ✅ 总部防火墙使用策略模板，接收所有移动客户端协商

场景 3：对端 NAT 上网、内网穿透、私网 IP 对接

场景 4：大型组网、批量分支机构部署

四、两种模式对比，方便记忆

关键限制：策略模板 只支持 IKE 野蛮模式，不支持主模式

五、补充关键原理（面试 / 运维必懂）

1. 主模式：协商过程携带 IP 校验，不能用模板
2. 野蛮模式：协商报文精简，依靠ID 名称 / 密钥认证，适配模板
3. 模板设备（总部）：只监听、不主动发起 VPN，只接受分支主动拨号协商
4. 普通策略设备（分支）：主动发起协商，主动连接总部固定 IP

六、极简总结（快速背诵）

1. 两端固定公网 IP → 正常 IPSec 策略，不用模板
2. 一端固定、一端动态 / 拨号 / 4G / 移动办公 → 总部配策略模板 + 野蛮模式
3. 核心逻辑：
   固定 IP 靠IP 地址认证；
   动态 IP 靠身份密钥认证，用策略模板忽略对端 IP 限制。