SecPath F1000-905-AI配置VPN，只能单方面ping通

ipsce的

ipsec

针对H3C防火墙与阿里云服务器IPsec VPN单通问题，需重点排查以下配置环节： ### 核心配置要点 1. **IKE阶段参数匹配** - 确保H3C与阿里云的IKE版本（v1/v2）、模式（主模式/野蛮模式）、DH组、加密算法（如AES、3DES）、认证算法（如SHA1、MD5）完全一致。阿里云默认采用IKEv1野蛮模式，需在H3C的IKE提议中显式配置`exchange-mode aggressive`。 - 预共享密钥需两端完全一致，身份标识符（ID）建议统一为IP地址或域名形式。若阿里云使用预共享密钥且要求固定ID（如阿里云VPC的VPN网关ID），需在H3C的`ike profile`中明确配置对端ID。 2. **IPsec阶段参数对齐** - 检查IPsec安全提议的协议类型（ESP/AH）、封装模式（隧道/传输）、PFS（完美向前保密）组及生存时间（SA lifetime）是否一致。阿里云默认采用ESP隧道模式，PFS组需与H3C的配置匹配（例如group2或group14）。 3. **感兴趣流（ACL）与路由** - H3C的ACL需正确定义双向流量，如`rule permit ip source 本地子网 destination 阿里云子网`，同时阿里云的“本端网段”和“对端网段”需与H3C的ACL互为镜像。 - 在H3C防火墙上添加静态路由，将阿里云子网下一跳指向IPsec隧道接口，并确保阿里云路由表中回程流量指向VPN隧道。 4. **安全策略与NAT豁免** - H3C需放行Untrust到Local的安全策略，允许IKE（UDP 500/4500）及ESP协议（IP协议号50）。若存在NAT配置，需通过`nat outbound`命令豁免IPsec流量，避免数据包被错误转换。 - 阿里云安全组需开放入方向UDP 500/4500及ESP协议，且需绑定到对应的弹性公网IP。 5. **NAT穿越（NAT-T）与DPD检测** - 若存在NAT设备，需在H3C的IKE配置中启用`nat traversal`，并确认两端NAT-T协商成功（观察日志中是否有NAT detected提示）。 - 开启DPD检测（如`dpd interval 10`）以监测隧道状态，避免因一端异常导致单向中断。 ### 典型故障排查步骤 - **阶段1失败**：检查IKE参数是否匹配、UDP 500端口是否可达、预共享密钥及ID是否正确。 - **阶段2失败**：验证ACL定义是否对称、IPsec提议参数是否一致、PFS组是否兼容。 - **隧道建立后单通**： - 使用`display ipsec sa`查看SA状态，确认双向SA均存在。 - 通过`packet-capture`抓包分析流量是否被安全策略或NAT拦截。 - 检查阿里云VPC路由表是否将H3C内网网段指向VPN网关。 ### 配置示例（H3C侧关键命令节选） ```bash # IKE提议配置 ike proposal 10 encryption-algorithm aes-cbc-128 authentication-algorithm sha1 dh group2 sa duration 86400 # IKE Profile配置（适配阿里云野蛮模式） ike profile aliyun keychain ali_key local-identity address 202.96.128.1 # H3C公网IP remote-identity address 47.100.xx.xx # 阿里云VPN公网IP proposal 10 exchange-mode aggressive # IPsec提议配置 ipsec transform-set ali_set esp encryption-algorithm aes-cbc-128 esp authentication-algorithm sha1 # 定义ACL（需包含双向流量） acl advanced 3000 rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255 rule 5 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 # 应用策略并绑定接口 ipsec policy ali_map 10 isakmp security acl 3000 ike-profile aliyun transform-set ali_set remote-address 47.100.xx.xx ``` ### 阿里云侧补充验证 - 登录阿里云VPC控制台，进入VPN网关-连接管理，查看隧道状态是否为“第二阶段已建立”。 - 在ECS实例内执行`traceroute`和`tcpdump`，确认回程流量路径正确且未被安全组拦截。 通过上述配置及排查，可系统性解决单通问题，确保双向流量正常穿越IPsec隧道。