只有一个公网地址怎么建立两条ipsec隧道

对于两端都有固定公网地址，想在MSR路由器上创建两条IPSec VPN隧道的问题，答案是肯定的：可以，并且有标准、成熟的配置方法。

你的思路是对的，核心就是与本端和对端的公网地址进行对接，并通过精细化的策略来引导不同的流量进入各自专属的隧道。

目前内部主流的做法有两种，我整理成了下面这个表格，你可以快速对比一下，找到最适合自己当前场景的方法：

 配置方法一：使用多节点IPsec策略组 (IPsec Policy Group)

这是最常用、也与你最初的设想最接近的方法。我们以H3C Comware V7平台的MSR路由器为例，地址规划如下：

• 总部路由器(MSR-A)：公网IP地址 1.1.1.1，内网网段 192.168.1.0/24。

• 分支路由器(MSR-B)：公网IP地址 2.2.2.2，内网网段 192.168.2.0/24。

• 分支路由器(MSR-C)：公网IP地址 3.3.3.3，内网网段 192.168.3.0/24。

配置的核心思路是创建不同的ACL、IKE Profile和IPsec策略节点，并将它们通过一个IPsec Policy组绑定到物理接口上。

配置核心步骤 (总部MSR-A为例)：

1. 定义需保护的数据流 (ACL)：为去往每个分支的流量单独创建一个ACL。

   • 去往分支MSR-B的ACL 3000：匹配源192.168.1.0到目的192.168.2.0的流量。

   • 去往分支MSR-C的ACL 3001：匹配源192.168.1.0到目的192.168.3.0的流量。

2. 创建IPsec安全提议 (IPsec Transform Set)：定义加密和认证算法(如：

   ipsec transform-set tran1

   esp encryption-algorithm aes-cbc-256 esp authentication-algorithm sha256

3. 创建IKE对等体 (IKE Profile)：分别关联不同对端的公网地址。

   • IKE Profile (toMSR-B):匹配远端公网地址2.2.2.2，指定认证密钥、本端地址1.1.1.1和IKE提议的参数。

   • IKE Profile (toMSR-C):匹配远端公网地址3.3.3.3，类似地配置其他参数。

4. 创建并应用IPsec策略：创建一个名为ipsec的策略组，使用不同的优先级来区分节点。

   • 为分支MSR-B创建策略节点：

     ipsec policy ipsec 10 isakmp

     transform-set tran1 security acl 3000 local-address 1.1.1.1 remote-address 2.2.2.2 ike-profile toMSR-B sa trigger-mode auto

   • 为分支MSR-C创建策略节点：

     ipsec policy ipsec 20 isakmp

     transform-set tran1 security acl 3001 local-address 1.1.1.1 remote-address 3.3.3.3 ike-profile toMSR-C sa trigger-mode auto

   • 最后，在公网接口(如G0/1)上应用该策略组：

     interface GigabitEthernet0/1

     ip address 1.1.1.1 255.255.255.0 ipsec apply policy ipsec

 配置方法二：使用基于Tunnel接口的IPsec (Tunnel-Based IPsec)

当IPsec隧道需要承载复杂的动态路由协议（如OSPF，BGP）或GRE等其它隧道协议时，必须使用此方式。

其核心思路是：创建一个虚拟的三层Tunnel口，并用tunnel protection ipsec profile命令将IPsec保护直接应用在这个接口上。这样做的好处是，所有进入该Tunnel口的流量都会被自动封装进相应的IPsec隧道，无需通过ACL来匹配。

配置核心步骤 (总部MSR-A为例)：

1. 创建Tunnel接口：为去往MSR-B的流量创建一个Tunnel接口，并配置私网IP地址。

   interface Tunnel0 mode ipsec

   ip address 172.16.0.1 255.255.255.0 # 配置隧道口IP，用于路由协议通信 source 1.1.1.1 # 指定本端公网地址 destination 2.2.2.2 # 指定对端公网地址

2. 配置IPsec Profile：定义安全提议和IKE对等体（或直接关联IKE Profile）。

   ipsec profile profile-to-MSR-B isakmp

   transform-set tran1 ike-profile toMSR-B

3. 将Profile应用到Tunnel接口：在Tunnel接口下，引用已配置好的IPsec Profile。

   interface Tunnel0

   tunnel protection ipsec profile profile-to-MSR-B

4. 配置路由：在总部路由器上配置一条去往192.168.2.0/24的静态路由，出接口为Tunnel0。这样，发往分支的流量就会被引导进入正确的IPsec隧道。