ipsec 不通，报文失败

IKE有了，IPSEC没有的话。

要么保护流不对，要么兼容性问题等

先搞清楚组网细节和配置核对吧，还不行就debug或打400热线定位吧

你的 H3C MSR5620 配置已经包含了 IKE、IPSec、ACL 以及 NAT 相关的内容，但是 IPSec SA 为空，说明隧道没有成功建立。你的对端报错 “发起方发送快速模式第一条报文失败，或等待下一条报文超时”，通常意味着 IKE 协商失败，可能由以下几个原因引起：

可能问题及排查建议

1. IKE 配置问题

对比对端配置

• 你的配置： ike proposal 1 encryption-algorithm aes-cbc-128 dh group14 authentication-algorithm sha256
• 对端的 IKE 配置： ike: 版本V1 协商：自动 加密算法：aes-123 ❌（可能是aes-128） 认证算法：sha2-256 dh组：14

检查点

✅ 确认对端是否支持 AES-128，而不是 AES-123（AES-123 可能是误写）。
✅ 确认对端是否也启用了 IKEv1，如果对端使用 IKEv2，需要调整本地配置。
✅ 确保 IKE Proposal 一致（加密算法、DH 组、认证算法必须匹配）。

修正建议

如果对端也使用 AES-128，可以尝试调整本地配置：

2. 预共享密钥问题

• 你使用了： ike keychain r3 pre-shared-key address 1.1.1.1 255.255.255.255 key cipher $c$3$DhG+qFfmNlcg3e8rGkWAMqEeijnHPyzm/dM=
• 确保对端 预共享密钥 完全一致，包括 明文/密文格式：
  • H3C 设备存储的 cipher 密码是加密后的，而对端可能是明文的。
  • 如果对端是明文，可以尝试在 H3C 设备上手动输入相同的明文密码： ike keychain r3 pre-shared-key address 1.1.1.1 255.255.255.255 key simple <你的明文密码>

3. NAT-T 相关问题

你没有显式开启 NAT-T（NAT Traversal），如果两端设备之间有 NAT 设备（如防火墙），可能会导致 IPSec 建立失败。
修正方案：

或者检查对端是否 强制使用 NAT-T，如果不匹配，也可能会导致失败。

4. ACL 策略范围匹配问题

你的 ACL 3001 配置：

检查点

✅ 确保 ACL 3001 的源地址 匹配你的内网网段（10.1.0.0/24）。
✅ 确保 ACL 3001 的目标地址 匹配对端内网网段（192.168.101.0/24）。
✅ 确保对端的 ACL 规则 反向匹配（即对端应有类似 permit ip source 192.168.101.0 destination 10.1.0.0）。
✅ 你可以尝试修改 ACL 规则放宽范围：

5. NAT Outbound 影响 IPSec

你配置了：

如果你的流量在进入 IPSec 之前就被 NAT 转换了，可能会导致 IPSec 失败。

检查点

✅ 确保 NAT 规则 不影响 IPSec 流量。
✅ 你可以尝试在 NAT 规则中 排除 VPN 流量：

这样，VPN 流量不会被 NAT 处理。

6. IKE 过程排查

查看 IKE SA 状态

• 如果 IKE SA 没有建立，说明 IKE 第一阶段协商失败，可以进一步查看 IKE 调试信息：

• 如果 IKE SA 已建立，但 IPSec SA 为空，说明 IPSec 第二阶段协商失败，通常是 ESP 配置不匹配。

7. IPSec ESP 配置检查

你使用的 IPSec 配置：

对端配置：

✅ 确保对端支持 AES-CBC-128（有些设备默认 AES 可能指 AES-GCM）。
✅ 确保对端 ESP 认证算法 确实是 SHA-256，而不是 SHA1 或 SHA-512。

最终排查步骤

1. 确认对端 AES-128，而不是 AES-123。
2. 手动输入明文预共享密钥（排除加密密钥格式问题）。
3. 启用 NAT-T（如果有 NAT）。
4. 检查 ACL 规则范围是否匹配。
5. 检查 NAT 规则，排除 IPSec 相关流量。
6. 查看 IKE SA 状态（display ike sa）。
7. 查看 IPSec SA 状态（display ipsec sa），如果为空，可能是 ESP 参数不匹配。
8. 使用 debugging ike & debugging ipsec 捕获详细错误信息。

如果你执行完以上检查，仍然无法建立 IPSec SA，可以把 display ike sa 和 display ipsec sa 的输出贴出来，我可以帮你继续分析！🚀