MSR2600-10和ER3100 ER2100V2组建IPSec VPN

MSR2600-10作为IPSec VPN服务端与门店的ER3100、ER2100V2组建虚拟网络。

现在MSR2600-10可以访问ER3100、ER2100V2端的子网，

现在问题是：

ER3100、ER2100V2端可以访问MSR2600-10端的内网接口所在的网段，但无法访问MSR2600-10端的其它VLAN，详见组网及组网描述。

网络架构：

总部：

1、MSR2600-10作为IPSec VPN服务端，内网接口地址：172.16.0.1/255.255.255.0，公网接口固定IP;

2、H3C S5500三层交换机，VLAN划分

        a、出口网段172.16.0.0/255.255.255.0（目前只连接了MSR2600-10的内网口，172.16.0.1）;

        b、内部办公网段有172.16.1.0/255.255.255.0，172.16.2.0/255.255.255.0 ，172.16.3.0，172.16.4.0 等办公网段；

        c、三层交换机默认路由指向172.16.0.1。

        acl number 3000 

            rule 3 deny ip source 172.16.0.0 0.0.255.255 destination 172.17.1.0 0.0.0.255 

            rule 4 deny ip source 172.16.0.0 0.0.255.255 destination 172.17.0.0 0.0.0.255 

            rule 5 permit ip source 172.16.0.0 0.0.255.255 

            rule 10 permit ip 

        acl number 3005 

            rule 10 permit ip source 172.16.0.0 0.0.255.255 destination 172.17.0.0 0.0.0.255 

        acl number 3006 

            rule 11 permit ip source 172.16.0.0 0.0.255.255 destination 172.17.1.0 0.0.0.255

          路由器：

          ip route-static 0.0.0.0 0.0.0.0 电信网关 

          ip route-static 172.16.0.0 255.255.0.0 172.16.0.254（H3C S5500 VLAN接口地址）

门店：

1、门店1  路由器ER3100，内网接口地址：172.17.0.1/255.255.255.0，公网接口pppoe拨号，与MSR-2600-10的IPSec VPN已连接成功；

2、门店2  路由器ER2100V2，内网接口地址：172.17.1.1/255.255.255.0,  公网接口pppoe拨号，与MSR-2600-10的IPSec VPN已连接成功；

现在网络连通情况：

1、从总部可以访问门店的内网；

2、从门店可以访问总部MSR2600-10路由器内网接口所在的网段（172.16.0.0/255.255.255.0），也就是可以访问172.16.0.1地址；

3，从门店无法访问总部其它网段，如172.16.1.0/255.255.255.0，172.16.2.0/255.255.255.0等网段；