应该是链路问题吧

更换链路后IPSec VPN无法建立，尽管两端公网IP可ping通，但IPSec协商失败，可能原因如下：

1. **运营商限制UDP 500/4500端口**：IPSec依赖UDP 500（IKE）和UDP 4500（NAT-T），移动链路可能限制或过滤这些端口，导致IKE阶段无法协商。
2. **NAT处理差异**：不同运营商NAT行为不同，若未启用NAT穿越（NAT-T），或设备未正确封装在UDP中，可能导致协商失败。
3. **MTU/MSS问题**：链路变更可能导致路径MTU不一致，影响IKE报文传输，建议调整接口MSS或启用碎片处理。
4. **ACL或路由配置未适配新出口地址**：虽然设备配置未变，但若使用动态公网IP或策略基于原电信地址，可能导致匹配异常。

建议：
- 确认移动链路是否允许UDP 500/4500通过；
- 启用NAT穿越功能（NAT-T）；
- 抓包分析IKE阶段报文是否发出/响应；
- 联系运营商确认是否有安全策略限制。

结论：**并非单纯运营商链路“能ping通”即无问题，IPSec协议层面存在限制可能性较大，需进一步排查端口与协议支持情况。**