F5000‑AI‑120：Tunnel mode ipsec（路由式 IPsec 接口，VTI）跑 OSPF 邻居

华三 SecPath V7 防火墙，interface TunnelX mode ipsec就是路由型 IPsec‑VTI 接口，不需要 GRE，是可以直接建立 OSPF 邻居，和华为 VTI、飞塔 route‑based IPsec 原理一致H3C。

⚠️区分两种 IPsec：

1. 策略型 IPsec（policy‑based，map 绑定物理接口）：不能跑 OSPF 动态邻居，只能写静态路由；
2. 路由型 IPsec（Tunnel mode ipsec，VTI 虚拟隧道接口）：隧道接口配置 IP，直接把 Tunnel 接口宣告进 OSPF，可以建立 OSPF 邻居，不需要 GRE 封装。

关键约束（很多人踩坑）

1. OSPF 默认网络类型是 P2P（点到点），两端 VTI 接口保持默认 p2p 即可，点对点场景不需要修改广播；
2. IKE/IPsec SA 必须先 UP；SA 没起来，OSPF 报文发不出去，邻居起不来；
3. 安全策略放行：
   • 公网域之间放行 IKE (UDP500/4500)、ESP (协议 50)；
   • 隧道接口属于 Local 安全域，不需要再针对 OSPF (协议 89) 配置域间策略，隧道接口内部报文属于设备本机转发；
4. 接口模式：Tunnel mode ipsec，不要 mode gre，题目要求不使用 GRE。

最简配置片段（两端防火墙）

对端 FW‑B 镜像配置 Tunnel1，IP 为 10.255.1.2/30，source/destination 互换，OSPF 宣告隧道对端网段。

排查命令

常见失败点

1. 把策略 IPsec（ipsec‑policy）和 VTI 路由 IPsec 混淆，策略 IPsec 无法建立 OSPF 邻居；
2. IKE/IPSEC SA 协商不起来，OSPF 报文直接丢弃；
3. 公网域间安全策略漏放 UDP‑500/4500、ESP 协议；
4. 公网 NAT 环境，需要 IKE 开启nat‑traversal；
5. 老版本固件部分版本 VTI 存在缺陷，建议升级 F9900 最新稳定版本。

对比说明（回答你疑问：华为、飞塔可以）

• 华为：interface ipsec‑template VTI 接口；
• 飞塔：route‑based IPsec 虚拟 VPN 接口；
• 华三 F5000‑AI 系列：Tunnel mode ipsec等价 VTI，不需要 GRE，原生支持 OSPF/BGP 等动态路由，功能对齐竞品H3C。

补充：如果是多分支 Hub‑Spoke 场景，单 Tunnel mode ipsec 只能点对点；多分支场景建议使用 ADVPN。

小结

✅F5000‑AI‑120 只用 mode ipsec 的 Tunnel 接口，不用 GRE，可以跨 IPsec 隧道建立 OSPF 邻居；前提是使用路由式 VTI 隧道接口，不是传统策略 map‑based IPsec。

可以的。在H3C SecPath F5000-AI-120防火墙上，不使用GRE，仅通过IPsec的Tunnel口模式（即VTI，路由型IPsec接口），完全可以跨隧道建立OSPF邻居。这与华为的VTI、飞塔的route-based IPsec原理是一致的。

 核心原理：区分两种IPsec

能否跑OSPF，取决于你使用的是哪种IPsec模式：

• 策略型IPsec（Policy-based）：通过 ipsec policy 绑定在物理接口上。这种模式不能运行OSPF动态邻居，只能依靠静态路由。

• 路由型IPsec（VTI / Tunnel mode ipsec）：创建一个 Tunnel接口，模式指定为 ipsec。该接口拥有独立的IP地址，可以像物理接口一样被宣告进OSPF，因此可以正常建立OSPF邻居，且无需GRE封装。

 关键配置要点

1. 接口模式：创建Tunnel接口时，必须使用 mode ipsec，不要用 mode gre。

2. OSPF宣告：直接在Tunnel接口上启用OSPF，并将其IP地址所在网段宣告出去即可。

3. 网络类型：VTI隧道两端默认网络类型为 P2P（点到点），两端保持默认即可，无需改为广播。

4. 安全策略：公网域之间需放行 IKE（UDP 500/4500） 和 ESP（协议号50）。隧道接口本身属于 Local域，OSPF报文（协议号89）作为本机流量，通常不需要额外配置域间策略。

 重要约束与常见踩坑点

• IKE/IPsec SA必须先UP：如果SA没有协商成功，OSPF报文根本发不出去，邻居无法建立。

• NAT穿越：如果公网存在NAT设备，需要在IKE配置中开启 nat-traversal。

• 固件版本：部分较老版本的固件中，VTI功能可能存在缺陷，建议升级到最新稳定版本。

• 不要混淆两种IPsec：最常见的错误就是配置了策略型IPsec（ipsec policy）却试图在其上运行OSPF，这是行不通的。

 最小配置片段参考

 排查命令

配置完成后，可通过以下命令确认状态：

• display ike sa：确认IKE SA为 READY 状态。

• display ipsec sa brief：确认存在 in/out 方向的IPsec SA。

• display ospf peer brief：查看OSPF邻居是否建立成功。

• display interface Tunnel1：确认隧道接口状态为 UP。