ipsec vpn建立后，远端看本端摄像头画面卡顿

参考：

1、看到端口流量使用率了和带宽 是否出现了拥塞。

2、如果还有其他链路，可考虑使用策略路由将视频的流量切换到其他链路看下。

3、如果没有其他链路，且视频流量的优先级很高，可考虑配置QOS来进行拥塞管理。

4、防火墙可能性能不足了。

5、如果出口链路有多条，且去到的是同样的运营商，可考虑通过链路聚合来实现端口带宽的叠加。

基础确认，区分故障域

1. 内网基准验证 本端内网 NVR 直连摄像头：画面正常；排除摄像头编码故障。
2. VPN 隧道内 ping 测试

• 如果大包 ping 丢包、不通，小包正常：MTU 分片黑洞（最高概率），IPsec 封装 ESP 报文增加 50‑70 字节开销，大包 DF 置 1 无法分片，中间设备丢弃报文，监控 UDP 视频直接卡顿花屏。
• ping 无丢包，但是视频依旧卡顿：问题出在抖动、乱序、带宽跑满、防火墙处理性能。

查看 IPsec 会话：display ipsec sa，确认 in/out 报文计数持续增长，无大量 error、drop 错误计数。

方向 1：MTU / TCP‑MSS 分片黑洞（监控场景最高概率）

监控绝大多数视频流是 UDP RTP，UDP 不受 TCP‑MSS 控制，IPsec 封装后报文超公网 MTU，分片被运营商 / 中间设备丢弃，出现马赛克、卡顿，小包控制报文正常所以隧道显示 UP。

方案 A：Tunnel 接口模式 IPsec（VTI 方式）

方案 B：策略模式 IPsec（policy‑based，绝大多数现场）

策略模式没有 Tunnel 接口，在内外网物理接口配置 tcp‑mss

UDP 视频流：TCP‑MSS 只处理 TCP；UDP 只能靠调摄像头侧 MTU。 摄像头网页管理页面，修改摄像头 MTU 值改为 1380，不要默认 1500，摄像头发出原始报文就变小，IPsec 封装后不会超限分片。

⚠️坑：很多运营商光猫、中间防火墙丢弃 ICMP type3‑code4（需要分片）报文，PMTU 探测失效，直接出现分片黑洞，必须上面强制约束报文大小，不能完全依赖自动 PMTU 发现。

方向 2：公网链路带宽、抖动、丢包

1. 确认本端、远端出口上行带宽，高清摄像头 4MP‑8MP 码流 4‑8Mbps，多路监控要叠加计算，出口上行带宽是否跑满。

观察输出方向是否持续接近带宽上限，有大量 overrun、drop 计数。 2. 测试公网质量：两端防火墙外网口长 ping 对端公网 IP，看延迟、抖动、丢包。

视频监控 UDP 对抖动非常敏感，即使丢包率 1‑2%，就会明显卡顿马赛克，TCP 业务感知不明显。

方向 3：防火墙相关因素

3‑1 NAT‑T 问题（两端有 NAT 环境必看）

两端任意一侧经过 NAT，必须开启 NAT‑T，IKE profile 下开启nat‑traversal；

开启 NAT‑T 之后 ESP 报文被封装 UDP 4500，会再增加 8 字节头部，MTU 要预留更多余量。

3‑2 攻击防范 / 会话数限制丢包

防火墙攻击防范里面的UDP 限速、ICMP 限速、异常报文检测，监控大量突发 UDP 视频报文被防御策略丢弃。 临时测试：关闭攻击防范测试画面是否恢复。

看是否有大量 UDP 报文丢弃计数。

3‑3 CPU 性能

IPsec 加密解密消耗 CPU；多台摄像头同时跑视频，CPU 过高会丢包。

如果加密任务占比持续 80% 以上，设备性能不足，降低摄像头码流或者升级设备。

3‑4 DPD 参数

DPD 不要配置时间过短，避免大流量视频时 DPD 报文被挤占，隧道频繁重协商，画面闪断卡顿。 IKE‑proposal 配置 dpd hello‑interval 30，不要设置 5‑10s。

方向 4：监控业务侧优化

1. 摄像头编码：优先 CBR 恒定码率，不要 VBR 动态码率，VBR 瞬间码流冲高把 VPN 链路打满。
2. 部分 NVR 默认 UDP 取流，可尝试把摄像头取流方式改成 TCP‑RTSP，TCP 抗丢包能力更强，卡顿现象会减轻。
3. 降低摄像头主码流码率做对比测试，例如从 8Mbps 降到 4Mbps，如果卡顿消失，确认是带宽瓶颈。

方向 5：QoS 优先级保障（链路带宽紧张场景）

如果外网链路经常有其他业务抢占带宽，在防火墙 WAN 出口配置 QoS，对 IPsec 封装后的 ESP/UDP‑4500 报文做带宽保障，给监控 VPN 流量高优先级，避免下载等业务抢占带宽。

排查执行顺序（现场操作流程）

1. 内网确认摄像头、NVR 本地播放完全正常。
2. 隧道内长 ping 大包测试，确认是否存在 MTU 分片丢包。
3. 配置防火墙tcp‑mss 1380；摄像头 MTU 修改为 1380，优先做这一步，大量监控 IPsec 卡顿问题到此解决。
4. 检查 NAT‑T 是否正确开启；查看 IPsec sa 的 error、drop 计数。
5. 查看防火墙 CPU、接口丢包统计、攻击防范丢弃统计。
6. 外网口长 ping 对端公网 IP，确认公网链路抖动丢包情况。
7. 调整摄像头码率，UDP 改 TCP 取流做对比。

高频踩坑总结

1. 小包通、大包丢，视频卡顿，ping 大包‑f 不通，90% 是 MTU 分片黑洞；UDP 监控流量 TCP‑MSS 不生效，必须改摄像头本身 MTU，这点很多人漏掉。
2. IPsec 的 ESP 封装 + NAT‑T 的 UDP 外层，双重增加报文头，原始 1500 字节摄像头报文封装后会超链路 MTU。
3. ping 测试不丢包≠视频正常，视频 UDP 对微小抖动、乱序非常敏感。