负载均衡支持ipsec么

不支持

 直接看彩页，不支持

https://www.h3c.com/cn/Products_And_Solution/Proactive_Security/Product_Series/Application_Security/Load_Balance/L5000/SecPath_L5000/

功能是否支持 IPSec

✅LB5000软件层面支持 IPSec‑VPN（IKEv1/IKEv2，站点到站点隧道模式）H3C。 RBM 主备场景：配置、IKE/IPSec‑SA 会话表项支持 RBM 备份，主设备故障切换备机，隧道可以重建；不支持 IPsec 会话不间断（NSR），切换后隧道会断开重新协商H3C。

注意：LB5000 定位是应用交付 / 负载均衡设备，不是安全防火墙；IPSec 属于附加兼容特性，不是产品主打能力。

2、组网现状：LB5000 做 IPsec 是否建议？（下联还有一台路由器）

⚠️不建议直接在 LB5000 上部署 IPSEC，优先建议把 IPSEC 放在下联路由器或者独立防火墙上面。有 4 个现实风险点：

1. 性能短板 LB5000 硬件芯片优先保障 SLB/LLB 负载均衡业务，IPSEC 加密解密为 CPU 处理，VPN 加密流量大时会抢占 CPU 资源，会影响服务器负载均衡、链路负载均衡核心业务性能；高吞吐 VPN 场景容易出现 CPU 高、丢包。
2. 现有组网带来路由、NAT 复杂冲突

组网：LB5000 上联公网，下联路由器。 如果 LB5000 起 IPsec 隧道：

• 保护的私网网段是下联路由器背后内网；IPsec 感兴趣流、静态路由、策略路由、NAT、NAT‑T 需要多层配合；
• 容易出现：隧道封装报文、原始业务报文来回路径不一致；IPsec 与 LB 的链路负载均衡、源 NAT 互相干扰，排错难度大。

3. RBM 切换体验有限 RBM 只能同步配置和 SA 表项，不支持 IPsec NSR 不间断；主备切换隧道会 down，重新 IKE 协商，业务短暂中断；防火墙高端款支持 IPsec NSR，LB5000 不具备该能力H3C。
4. 安全配套能力缺失 LB5000 安全域、安全策略能力远弱于 F 系列防火墙；IPSec 对接中常见的安全策略、会话排查、debug 排错工具不如防火墙完善。

✅两种推荐部署方案

方案 A（最优）：IPSEC 部署在下联路由器

LB5000 只专心做负载均衡业务（服务器负载 / 链路负载）；IPsec 站点到站点 VPN 全部由下联路由器完成，LB5000 只做简单转发，避免功能互相争抢资源。

方案 B：必须要在 LB5000 做 IPsec（仅小规模低流量场景）

约束条件：

1. VPN 流量不大，不会给 CPU 带来压力；
2. 规划好路由：IPsec 保护的对端子网路由指向下联路由器；对端回来的流量路由回 LB5000；
3. NAT：IPsec 感兴趣流一定要排除 NAT，避免 NAT 改写 IPsec 保护报文；
4. RBM+VRRP 配合，公网 VRRP 虚拟 IP 作为 IPsec 本端网关 ID；
5. 提前接受故障切换隧道会重协商，业务短暂中断；
6. 版本尽量升级到 LB5000 最新稳定版本，规避 IPsec 已知 bug。

3、现场排查 & 验证命令

4、踩坑重点

1. LB5000 的 IPsec不适合大流量 VPN 场景；大流量会挤压 SLB 业务；
2. RBM 主备切换，IPsec 隧道会断开重协商，无法做到业务零抖动；
3. 下联路由器场景，注意双向路由、NAT 排除感兴趣流，很容易出现单通；
4. 不支持 IPsec NSR，这点和 F5000/F1000 系列防火墙不一样。

总结：功能上能做，但从架构、性能、后期维护角度不推荐；VPN 交给路由器或者防火墙，LB5000 只做负载均衡本职工作是最佳实践。