ipsec，防火墙

IPsec SA建立不稳定的问题可能由以下原因导致

1. 检查NAT与IPsec策略冲突
- 确认Easy IP转换的NAT策略中已排除IPsec感兴趣流（ACL规则中deny感兴趣流），避免加密流量被错误NAT转换。
- 命令示例：display nat policy 查看NAT规则是否将加密流量排除。

2. 验证ACL配置规范性
- 总部与分支的ACL需严格镜像配置，避免出现地址范围重叠（如分支配置0.0.0.0/0会覆盖其他分支流量）。
- 在总部侧开启流量重叠检测功能：ipsec flow-overlap check enable，通过日志告警识别冲突ACL。

3. 检查IKE/IPsec参数一致性
- 确认两端IKE版本（v1主模式）、认证方式（预共享密钥）、加密算法（如AES）、DH组（group2）、SA生存时间等参数完全一致。
- 使用display ike proposal和display ipsec proposal核对提议参数。

4. NAT-T穿透配置
- 确认两端启用NAT-T（ike nat-keepalive 20），检查UDP 4500端口是否开放。
- 通过display ike sa verbose查看NAT-D载荷检测结果，确认是否存在NAT设备。

5. 日志与调试分析
- 收集IKE阶段日志：debugging ike all，重点关注SA协商失败时的错误代码（如ACL不匹配、SPI获取失败）。
- 检查IPsec统计信息：display ipsec statistics tunnel-id，观察是否有丢包或重传。

6. 排除网络质量因素
- 执行持续ping测试：ping -c 1000检测链路丢包率。
- 调整MTU值：在IPsec策略中设置path-mtu 1400避免分片。