问

急急急！！！穿越ipsec VPN隧道访问不了服务器的web页面

IPSec VPN

2021-05-28提问

0关注
1收藏，1912浏览

菜鸡工程师a

菜鸡工程师a 一段

粉丝：0人关注：1人

问题描述：

设备组网图

组网及组网描述：

er设备为分支，去访问总部msr下端的服务器web。

ipsec VPN的隧道成功建立，业务网段能够互相ping通。

总部设备能够访问服务器web，就是分支无法访问服务器的web页面。

如何解决？

er设备不支持console登陆，公网没有禁止相关的HTTP服务。

如若要修改设备的MTU值和TCP MSS值，应该如何修改？在哪个端口修改？

感谢大佬

最佳答案

叫我靓仔

叫我靓仔九段

粉丝：148人关注：1人

下面再给大家总结一下配置思路：

ipsec配置思路

一、基础配置

地址，路由

二、确定感兴趣流

通过定义ACL来确定要保护的数据

三、部署IKE

IKE的keychain的部署

IKE profile的部署

四、安全联盟的部署【决定对数据进行怎样的加密和验证】

IPsec transform-set

protocol esp

ESP 的加密使用3-des

ESP 的验证使用sha1

五、IPsec policy的部署

IPsec policy 名称序列号 isakmp//IKE协商

security acl

Ike-profile

transform-set

remote-address 对端地址//对端IPsec policy下发的接口所在地址

六、接口下发

在接口下输入：IPsec apply policy 名称

以上就是ipsec的配置注意事项

下面补充总结一下大家在配置过程中经常遇到的问题：

1、感兴趣流

两端感兴趣流在书写时不能完全镜像

2、Ike keychain名称过于复杂导致调用出错

3、两端业务流地址漏配置，导致VPN已经触发，但是ping100%丢包

以上就是ipsec的基本注意事项，后面我们还会继续总结一些VPN嵌套的注意事项。

4 个回答

按时间按赞数

已采纳

一二三四

一二三四九段

粉丝：20人关注：2人

这种情况肯定是加密导致分支访问总点的http报文过大，导致被总点丢弃。
建议在总点内网口修改tcp mss值，进行测试

已解决，非常感谢

菜鸡工程师a 发表时间：2021-06-03

IT钟点工

IT钟点工九段

粉丝：94人关注：0人

1，检查总部策略是否有限制

2，分支wan口修改mss

得闲饮茶013

得闲饮茶013 九段

粉丝：124人关注：6人

您好，请知：
IPSEC VPN故障排查：
1、检查公网地址的连通性
2、检查ipsec acl是否配置正确（两端ACL以互为镜像的方式配置）
3、检查ike keychain/ike profile 协商参数配置是否正确（工作模式、keychain、identity、本端/对端隧道地址或隧道名称、NAT穿越功能v7自适应）
4、检查ipsec proposal参数两端是否一致（封装模式、安全协议、验证算法、加密算法）
5、检查设备是否创建ipsec策略，并加载协商参数（acl、ike profile 、ipsec transform-set、对端隧道IP）
6、检查ipsec策略是否应用在正确的接口上
7、调整下WAN口的MTU看下。