某局点UR路由器与第三方设备建立IPSec只能单向通信问题分析

UR路由器作为中心节点同分支第三方路由器建立IPSec，目的为实现192.168.0.0/24与192.168.5.0/24互通。

IPSec隧道建立成功后，对端192.168.5网段设备可以ping通192.168.0段设备，但192.168.0段设备无法ping通192.168.5段设备，即分支可以访问总部，总部无法访问分支，只能单向通信。

1、在总部192.168.0.242这台电脑上，使用tracert命令追踪到192.168.5.1的路由发现，报文第二跳从路由器的WAN2口发出，而非建立IPSec隧道的WAN1口；由此可以确定，UR上应该没有配置去往192.168.5.0网段的路由。需要说明的是，在单WAN环境下，由于UR路由器的所有流量交互都通过确定的WAN口，所以在配置IPSec后不需要单独配置静态路由也可以正常使用，但是在多WAN环境下，就需要配置静态路由指明IPSec流量的去向了。

2、但是配置了目的地址是192.168.5.0/24，下一跳地址是WAN1口网关地址的静态路由后，通过192.168.0.242去ping 192.168.5.1仍然不通，此时就需要通过抓包进一步分析了，电脑长ping 192.168.5.1，借助UR路由器自带的抓包工具抓取WAN1接口的双向报文进行分析。

3、IPSec报文是加密的，想要对抓到的报文进行分析，需要先进行解密，可以参考如何对IPSec报文进行解密 - 知了社区

4、查看解密后的报文发现，从192.168.0.242到192.168.5.1的icmp报文已发出，但没有收到回复，由此可以确认报文已经正常通过IPSec隧道发出，问题应该出在中间链路或者对端，需要同步在分支路由器上抓包做进一步分析。

1、当UR路由器存在多WAN接入时，建立IPSec隧道后需要配置静态路由（目的地址为IPSec对端子网网段，下一跳为建立IPSec使用的WAN口的网关地址）。

2、在构建长ping环境，在两端路由器上同时抓包，对报文进行解密后依次分析：报文是否发出、报文是否收到、报文是否回复、回复的报文是否收到，据此确认是本端，对端还是中间链路问题。