问

F5000的IPsecvpn带vpn实例不通

2025-06-04提问

0关注
0收藏，399浏览

zhiliao_rtOkVc

zhiliao_rtOkVc 二段

粉丝：0人关注：0人

问题描述：

ipsec transform-set ToWX

esp encryption-algorithm aes-cbc-128

esp authentication-algorithm md5

ipsec policy ToWX 10 isakmp

transform-set ToWX

security acl name IPsec_Ninbo_IPV4_1

local-address 10.153.162.174

remote-address 36.133.24.75

ike-profile ToWX

sa trigger-mode auto

ike invalid-spi-recovery enable

ike identity address 10.153.162.174

ike profile ToWX

keychain ToWX

dpd interval 30 on-demand

exchange-mode aggressive

local-identity address 10.153.162.174

match remote identity address 36.133.24.75 255.255.255.255

proposal 1

inside-vpn vpn-instance M-DMZ

match remote address 36.133.24.75

ike proposal 1

encryption-algorithm aes-cbc-256

dh group14

authentication-algorithm sha256

ike keychain ToWX vpn-instance M-DMZ

match local address 10.153.162.174 vpn-instance M-DMZ

pre-shared-key address 36.133.24.75 255.255.255.255 key simple 123455

acl advanced name IPsec_Ninbo_IPv4_1

rule 5 permit ip vpn-instance M-DMZ source 10.153.162.0 0.0.0.255 destination 10.234.255.149 0

rule 10 permit ip vpn-instance M-DMZ source 10.234.255.149 0 destination 10.153.162.0 0.0.0.255

ip vpn M-DMZ

interface vlan 100

ip binding vpn M-DMZ

ip add 10.153.162.174 24

ipsec apply policy ToWX

interface gi 1/0/1

port accsess vlan 100

interface gi1/0/2

ip binding vpn M-DMZ

ip add 10.123.104.2 30

ipsec apply policy ToWX

ip route-static 0.0.0.0 vpn M-DMZ 10.123.104.1

security-policy ip

rule 50 name FOR-IPSecVPN

action pass

vrf M-DMZ

source-zone local

source-zone untrust

source-zone trust

destination-zone local

destination-zone untrust

destination-zone trust

source-ip-host 10.153.162.174

source-ip-host 36.133.24.75

destination-ip-host 10.153.162.174

destination-ip-host 36.133.24.75

组网及组网描述：

防火墙F5000-M-G2设备上行1/0/2接口互联出口防火墙，出口防火墙公网地址11.249.16.30nat映射10.153.162.174，跨越公网对端地址为36.133.24.75，防火墙为下行服务器的网关vlan100地址：10.153.162.174

现在需要防火墙F5000-M-G2设备与跨越公网设备地址36.133.24.75完成ipsec互通，现在ike协商为unknow，ping对端公网地址可通

最佳答案

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：109人关注：9人

按顺序排查：

1.    NAT 穿越未启用

当防火墙位于 NAT 设备后方（如公网地址 11.249.16.30 映射内网 10.153.162.174）时，必须启用 NAT 穿越（NAT-T），否则 IKE 协商报文会被丢弃。

解决方案：[Device] ike sa nat-transport // 启用 NAT 穿越

2.    IKE 身份标识不匹配

若分支侧（F5000-M-G2）使用内网 IP（10.153.162.174）标识身份，而对端期望公网 IP（11.249.16.30），会导致身份校验失败。

解决方案：[Device] ike identity fqdn your-device-name // 分支侧改用 FQDN 标识 [Device] ike profile YOUR_PROFILE match remote identity address 36.133.24.75 // 中心侧精确匹配对端公网 IP

3.    ACL 保护范围不一致

IPsec 策略引用的 ACL（如 acl 3000）两端必须镜像。若分支侧 ACL 范围大于中心侧，隧道无法建立。

示例修正（两端 ACL 保持一致）：# 分支侧（F5000-M-G2）ACL： rule permit ip source 10.153.162.0 0.0.0.255 destination 对端子网 # 中心侧（36.133.24.75）ACL： rule permit ip source 对端子网 destination 10.153.162.0 0.0.0.255

4.    安全策略未放行 IKE 流量

需放行 Local 与 Untrust 域间的 UDP 500/4500 端口（IKE 协商报文）。

配置示例：security-policy ip rule name ike_localout source-zone local destination-zone untrust source-ip-host 11.249.16.30 // 本端公网 IP destination-ip-host 36.133.24.75 // 对端公网 IP action pass

5.    协商模式错误

对端为动态 IP（如 PPPoE）时才需使用野蛮模式（aggressive-mode）和 IPsec 策略模板。若对端是固定 IP（36.133.24.75），应改用标准模式：ike profile YOUR_PROFILE exchange-mode main // 主模式（默认）

验证命令

查看 IKE SA 状态：display ike sa

开启调试日志定位问题：debugging ike all terminal monitor terminal debugging

建议按步骤检查配置，重点处理 NAT 穿越、身份标识、ACL 对称性这三个高频故障点。

1 个回答

按时间按赞数

胡汉三

胡汉三一段

粉丝：0人关注：0人

安全策略配置有问题，因为安全策略中的VRF是指报文进来的接口VPN实例，实际业务是内网到外网没问题，但是协商不是走的内网，协商是走的local到外网，外网到local，如果你外网口没有加VPN实例的话，那么local相关策略都是不需要加VRF的。如果你外网口也有VPN实例，那么本地的策略都是要加VRF的，写外网的这个VPN实例。

同样你的keychain是属于本地协商的时候用的，因此keychain是写外网口的VPN实例，不能写内网口的。

然后你已经弄了NAT穿越了，那么本地原地址要转换的情况下，不能用地址做标识，

local-identity address 10.153.162.174

这句得换成

local-identity fqdn XX

这样的才行，对端同样在keychain profile 中都要改成hostname或者fqdn，而且由于本地原地址转换，对端只能用模板的方式。

还有你的路由也不对

ip route-static 0.0.0.0 vpn M-DMZ 10.123.104.1

VPN在前面才是写到那个VPN实例下，写后面说明要去这个VPN去找这个目的地址。比如VPN 1访问VPN 2那么路由应该是

ip route-static vpn 1 0.0.0.0 0 vpn 2 X.X.X.X

由于来回的VPN不一样都是隔离的，因此本地防火墙上必须来回流量的都写上才行。

http://hclhub.h3c.com/repo/15213577083/hcl_8b126c462120

胡汉三发表时间：2025-06-05 更多>>

VPN只是本地生效的，用于区分业务和管理，目前配置是管理部分，直接做全互通放通两个地址这个策略没问题吧？公网出去的对端地址没有vpn

zhiliao_rtOkVc 发表时间：2025-06-04

回复zhiliao_rtOkVc:

外网口如果没有VRF的话，你这个策略上就应该不加才对。其实HCLhub上有跨VRF做IPSEC的模拟器实验，你可以去下载一下，不行我本地昨天也做了个IPSEC NAT穿越加VRF的实验，你如果要的话我上传上去你可以去下载。

胡汉三发表时间：2025-06-05

http://hclhub.h3c.com/repo/15213577083/hcl_8b126c462120

胡汉三发表时间：2025-06-05

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 隐私政策; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

F5000的IPsecvpn带vpn实例不通

问题描述：

组网及组网描述：

编辑答案

提出建议