IPSEC VPN

应该不可已

你的问题描述，不清楚是哪种情况、

公网接口都是公网地址吗？指的是两端的私网地址不做nat 吗 

如果是的话

1、建立ipsec 的两端 公网地址可达，内部需要互访的私网地址，是要排除掉nat 的，

需要配置感兴趣流如下：

1）两端需要互访的私网地址举例：

center  192.168.100.0/24

branch  192.168.200.0/24

acl advanced 3000
rule 1 deny ip source 192.168.100.0 0.0.0.255 destination 192.168.200.0 0.0.0.255

rule 2 permit ip 

int g1/0/1 (VPN网关公网接口）

nat outbound 3000

#这个acl  意思是 ，源地址192.168.100.0/24 的地址 访问 192.168.200.0/24的地址经过

公网接口不走nat ，直接走ipsec 隧道；

或者在接口下配置 ipsec no-nat-process enable 

#感兴趣流：触发建立ipsec 隧道：

acl ad 3001 

rule 1 permit ip source 192.168.100.0 0.0.0.255 destination 192.168.200.0 0.0.0.255

acl 3001 调用到 ipsec policy 中

ipsec policy 在调用到 公网接口：

对端配置，同理，感兴趣流互为镜像；