105和一台防火墙之间建立IPSec VPN
IKE SA和IPSec SA均已协商成功,但是业务不通。
1、检查两边SA中的感兴趣流,发现是对称的。
2、检查对端防火墙策略,是放通的,并且会话显示是105侧没有回包。
3、在105上debugging ipsec packet,发现105侧只有inbound esp,没有outbound esp。
4、经确认,交换机做IPSec,设备通过ACL来识别由IPsec隧道保护的流量时,受保护的流量只能是源地址或目的地址为本机的报文。ACL中定义的匹配转发流量的规则不生效,IPsec不会对设备转发的任何数据流和语音流进行保护。
交换机上IPsec不能封装转发流量,原因是交换机会通过硬件直接转发,报文不上CPU。IPsec业务必须在CPU处理。
并且使用GRE over IPSec也是不可以的,因为GRE走的也是硬件转发,不会上CPU处理。
该案例暂时没有网友评论
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作