ipsec一二阶段起了，业务还不通。跟踪路由，发现第二跳并不是配置的公网出口，是什么原因？

ipsec这种vpn隧道技术因为封装格式的关系会隐藏中间的网络结构，第二跳本来就不是公网出口的下一跳而应该是对端网络设备的地址。

这种问题很多时候是报文分片引起的。建议在配置ipsec的接口下设置tcp mss 1024或在全局下把ipsec修改为后置分片看看能不能恢复业务(ipsec fragmentation after-encryption，可能会因为设备型号的关系命令略有不同，可以去官网查配置手册)。