一、 组网需求：

某客户组网如下图所示，客户两个局点之间是MPLS网络，客户希望在CE之间再增加一层IPsec隧道保护内部流量。

二、 组网图：

图1

如图，PE1—PE2之间跑MPLS网络，客户还希望在CE1和CE2之间跑IPsec隧道加密报文

三、配置步骤：

首先在各个路由器接口正确的配置IP，并且配置路由协议，使得各个网段可以互达。

PE1、P、PE2的Loopback接口分别为1.1.1.1、2.2.2.2、3.3.3.3

然后在PE1、P、PE2之间开启ospf和MPLS功能：

IPSec + MPLS‑VPN 真实项目实施经验（H3C 设备，实际落地过两种主流模式）

现实工程里面分两种完全不同的组网，很多人会搞混，不是简单把两个技术堆在一起，生产环境大量是运营商 MPLS‑VPN 做为主链路，IPSec 做备份；少数是 MPLS 报文外面再套 IPSec 加密（MPLS‑VPN over IPSec）。

模式一：运营商 MPLS‑VPN 为主链路，互联网 IPSec 站点到站点做备份（项目用得最多）

真实项目场景

• 主链路：运营商 MPLS‑VPN，分支 CE 与总部 CE 通过运营商 PE 学习私网 BGP 路由，走 MPLS 骨干，ERP/MES 生产业务优先跑这条，延迟抖动可控。
• 备份链路：互联网 IPSec Site‑to‑Site，当 MPLS 专线故障，业务切换到互联网 IPSec 隧道承载同样私网网段。

拓扑：分支 MSR3640 双上联，一个接口接电信 MPLS‑VPN；另一个接口接普通宽带。总部 MSR3660 同样双上联。

实施踩过的坑（真实割接遇到）

1. 路由优先级问题（最容易踩坑）

   MPLS‑VPN 学到 BGP 私网路由，IPSec 用静态路由；BGP 管理距离比静态小，正常情况下路由表优先 MPLS；MPLS 链路接口 UP、但运营商内部链路断（CE 接口不 down），BGP 路由不会消失，流量黑洞。

   ✅解决：MPLS 侧 BGP 路由配合track NQA，探测总部对端 CE 的 VRF 内地址，探测失败，降低 BGP 优先级或者 shutdown 接口；IPSec 静态路由设置低优先级，仅故障时生效。
2. IPSec 感兴趣流不要写 MPLS 对接的互联地址

   感兴趣流只匹配业务内网网段，不要把 CE‑PE 之间的运营商互联网段放进 ACL，否则 MPLS 内部报文也会被 IPSec 加密，直接业务全断。
3. NAT 区分两个链路

   MPLS‑VPN 链路不能做源 NAT；互联网 IPSec 链路，内网访问互联网要 NAT，但是去往对端业务网段流量必须排除 NAT。H3C 的nat address‑group配合acl区分，很多现场在这里配置错误，IPSec 隧道起来但是业务不通。
4. 故障现象：MPLS 恢复后，路由切回主链路，部分 TCP 会话僵死。

   现象：老业务会话继续走备份 IPSec，新建会话走 MPLS。

   ✅处理：部署链路切换的时候，使用session‑aging或者切换时主动清除会话表。

这个模式是国内政企、制造业最常见；MPLS 提供稳定主链路，IPSec 做互联网备份，两者独立，互不封装。

模式二：MPLS‑VPN over IPSec（把 MPLS 标签报文封装进 IPSec 隧道，跨公网自建 MPLS VPN）

这个模式很少，一般用于跨运营商 / 跨境，没有运营商 MPLS 专线，自己在互联网上跑 MPLS L3VPN，外层 IPSec 加密保护 MPLS 报文，H3C MSR 系列支持。

拓扑：CE‑CE 之间互联网建立 IPSec 隧道，隧道接口跑 MPLS、LDP、BGP/VPNv4，私网业务带 MPLS 标签，整体封装 ESP。

真实项目小案例

重大坑点（工程上不推荐大规模部署）

1. MTU 问题头号故障点

   IPSec ESP 再加 MPLS 标签，报文叠加多层封装，原始 1500 字节报文极易分片。

   ✅必须隧道接口配置mtu 1400，开启 TCP MSS 调整，否则大文件拷贝、数据库同步随机丢包，小包 ping 通，大包不通。
2. IPSec 工作模式必须是 Tunnel 模式，不能 Transport；IPSec 策略应用在 Tunnel 接口，不是物理接口。
3. LDP 邻居建立在隧道接口上；VPN‑IPv4 的 BGP 邻居也要建立在隧道接口地址。
4. 性能损耗：MSR 中端路由器，IPSec 加密 + MPLS 标签处理，CPU 上涨明显；大带宽场景不适合。

⚠️现实中，绝大多数工程师遇到这个需求，会优先选 GRE over IPSec，而不是 MPLS‑VPN over IPSec；MPLS over IPSec 维护复杂度高，排障难。

模式三：运营商 MPLS‑VPN，客户侧再叠加 IPSec 加密（等保合规场景）

运营商 MPLS‑VPN 作为底层传输网络，CE‑CE 之间，在 MPLS 私网内部建立 IPSec 隧道，业务流量在 CE 路由器上加密，通过运营商 MPLS 网络传输。

⚠️注意：IKE 协商报文、ESP 报文，全部走运营商 MPLS 的 VRF 实例，不走公网。

坑：很多人把 IKE 的源地址放到公网 VRF，结果隧道协商完全失败；IKE 协商源目地址必须属于 MPLS 私网网段。

三种方案选型总结（工程落地建议）

排障经验（H3C 设备）

1. MPLS+IPSec 混合场景，优先确认流量走哪一个 VRF，IKE 协商源接口属于哪个 VRF，很多故障根源是 VRF 实例混乱。

2. 区分：IPSec 隧道 UP，不等于业务通。重点看感兴趣流 ACL 是否命中，NAT 是否排除对端私网网段。
3. 模式一（主备链路），一定要做 NQA track 检测，不要单纯依赖物理接口 UP/down 做切换。