F5040（Comware V7）IKEv2 安全提议调用逻辑

IKEv2 proposal（IKEv2 安全提议）：只定义 IKE_SA_INIT 一阶段加密、完整性、PRF、DH 组算法集合，不会被 ikev2 profile 直接调用！ 完整调用链路：ikev2 proposal → ikev2 policy →（匹配本端公网IP）→ 触发IKEv2协商；ikev2 profile负责身份、密钥、认证方式，不负责调用proposalH3C。

四层对象分工（非常容易混淆）

1. ikev2 proposal（安全提议）：纯算法集合（加密 / 完整性 / PRF/DH），无身份、无密钥。
2. ikev2 policy（IKEv2 安全策略，全局）：唯一直接引用 ikev2 proposal 的对象，可以绑定多个 proposal，按配置顺序优先级从高到低；支持match local address匹配本端 VPN 网关 IP，多个 policy 数字越小优先级越高。系统自带一条默认ikev2 policy default，引用系统内置ikev2 proposal default，如果不自定义 ikev2‑policy，协商直接使用 default 策略与 default 提议H3C。
3. ikev2 profile：负责身份匹配、预共享密钥 / 证书、DPD，它不调用 ikev2 proposal；IPsec 策略 / IPsec‑profile 会引用 ikev2‑profile，用来完成对等体身份校验，一阶段算法不由 profile 决定H3C。
4. ipsec policy / ipsec‑profile（VTI）：引用 ikev2‑profile，同时引用 transform‑set（transform‑set 是二阶段 IPSEC 提议，不要和 IKEv2‑proposal 搞混）。

⚠️重点区别

• ikev2 proposal：IKEv2 一阶段（IKE‑SA_INIT）算法，被ikev2 policy调用，全局生效，匹配依据是本端网关 IP。
• transform‑set：IPSEC 二阶段子 SA 算法，被 ipsec‑policy /ipsec‑profile 调用。
• ikev2‑profile：身份、密钥、认证，不控制一阶段算法。

完整调用链路

1. 收到对端 IKE_SA_INIT 报文，设备拿报文入接口的本端 IP，从上往下匹配ikev2 policy（优先级数字越小越优先），匹配match local address条件；
2. 匹配上某一条 ikev2‑policy，读取该 policy 下绑定的ikev2 proposal列表，和对端做算法协商；
3. IKE‑SA_INIT 协商成功之后，收到 IKE_AUTH 报文，根据对端身份 ID去匹配ikev2‑profile，拿到密钥、认证方式做身份校验；
4. 身份校验通过，再使用 IPsec 策略里的transform‑set协商二阶段 IPSEC SA。

易错坑：很多人以为 ikev2 profile 下面可以绑定 ikev2 proposal，V7 防火墙 IKEv2 模式不支持，和 IKEv1 不一样！IKEv1 是在 ike‑profile 下面直接绑定 ike proposal，IKEv2 做了架构变更，拆分成 ikev2‑policy 全局对象。

最简示例配置片段

排错查看命令

高频踩坑汇总

1. ❌照搬 IKEv1 思维，去 ikev2‑profile 视图找 proposal 绑定命令：IKEv2 没有这条命令，proposal 由全局 ikev2‑policy 调用。
2. ❌自定义了 ikev2‑policy，但是match local address写的 IP 不对，匹配不到，协商直接失败；不配置任何 ikev2‑policy，则自动使用系统 default 策略 + default 提议。
3. ❌混淆ikev2 proposal（一阶段）和transform‑set（二阶段）。
4. ❌多个 ikev2‑policy 优先级颠倒，数字越小优先级越高。
5. 修改 ikev2‑proposal 算法，已经存在的老 IKE‑SA 不会生效，需要reset ikev2 sa清空旧 SA，重新协商才会加载新提议算法H3C。

补充：Web 界面配置 IKEv2 站点‑to‑site VPN 时，Web 后台会自动生成对应的ikev2‑policy、ikev2‑proposal、ikev2‑profile；CLI 调试时要理解这套分层调用关系。