只有一个公网地址怎么建立两条ipsec隧道

对于两端都有固定公网地址，想在MSR路由器上创建两条IPSec VPN隧道的问题，答案是肯定的：可以，并且有标准、成熟的配置方法。

你的思路是对的，核心就是与本端和对端的公网地址进行对接，并通过精细化的策略来引导不同的流量进入各自专属的隧道。

目前内部主流的做法有两种，我整理成了下面这个表格，你可以快速对比一下，找到最适合自己当前场景的方法：

 配置方法一：使用多节点IPsec策略组 (IPsec Policy Group)

这是最常用、也与你最初的设想最接近的方法。我们以H3C Comware V7平台的MSR路由器为例，地址规划如下：

• 总部路由器(MSR-A)：公网IP地址 1.1.1.1，内网网段 192.168.1.0/24。

• 分支路由器(MSR-B)：公网IP地址 2.2.2.2，内网网段 192.168.2.0/24。

• 分支路由器(MSR-C)：公网IP地址 3.3.3.3，内网网段 192.168.3.0/24。

配置的核心思路是创建不同的ACL、IKE Profile和IPsec策略节点，并将它们通过一个IPsec Policy组绑定到物理接口上。

配置核心步骤 (总部MSR-A为例)：

1. 定义需保护的数据流 (ACL)：为去往每个分支的流量单独创建一个ACL。

   • 去往分支MSR-B的ACL 3000：匹配源192.168.1.0到目的192.168.2.0的流量。

   • 去往分支MSR-C的ACL 3001：匹配源192.168.1.0到目的192.168.3.0的流量。

2. 创建IPsec安全提议 (IPsec Transform Set)：定义加密和认证算法(如：

   ipsec transform-set tran1

   esp encryption-algorithm aes-cbc-256 esp authentication-algorithm sha256

3. 创建IKE对等体 (IKE Profile)：分别关联不同对端的公网地址。

   • IKE Profile (toMSR-B):匹配远端公网地址2.2.2.2，指定认证密钥、本端地址1.1.1.1和IKE提议的参数。

   • IKE Profile (toMSR-C):匹配远端公网地址3.3.3.3，类似地配置其他参数。

4. 创建并应用IPsec策略：创建一个名为ipsec的策略组，使用不同的优先级来区分节点。

   • 为分支MSR-B创建策略节点：

     ipsec policy ipsec 10 isakmp

     transform-set tran1 security acl 3000 local-address 1.1.1.1 remote-address 2.2.2.2 ike-profile toMSR-B sa trigger-mode auto

   • 为分支MSR-C创建策略节点：

     ipsec policy ipsec 20 isakmp

     transform-set tran1 security acl 3001 local-address 1.1.1.1 remote-address 3.3.3.3 ike-profile toMSR-C sa trigger-mode auto

   • 最后，在公网接口(如G0/1)上应用该策略组：

     interface GigabitEthernet0/1

     ip address 1.1.1.1 255.255.255.0 ipsec apply policy ipsec

 配置方法二：使用基于Tunnel接口的IPsec (Tunnel-Based IPsec)

当IPsec隧道需要承载复杂的动态路由协议（如OSPF，BGP）或GRE等其它隧道协议时，必须使用此方式。

其核心思路是：创建一个虚拟的三层Tunnel口，并用tunnel protection ipsec profile命令将IPsec保护直接应用在这个接口上。这样做的好处是，所有进入该Tunnel口的流量都会被自动封装进相应的IPsec隧道，无需通过ACL来匹配。

配置核心步骤 (总部MSR-A为例)：

1. 创建Tunnel接口：为去往MSR-B的流量创建一个Tunnel接口，并配置私网IP地址。

   interface Tunnel0 mode ipsec

   ip address 172.16.0.1 255.255.255.0 # 配置隧道口IP，用于路由协议通信 source 1.1.1.1 # 指定本端公网地址 destination 2.2.2.2 # 指定对端公网地址

2. 配置IPsec Profile：定义安全提议和IKE对等体（或直接关联IKE Profile）。

   ipsec profile profile-to-MSR-B isakmp

   transform-set tran1 ike-profile toMSR-B

3. 将Profile应用到Tunnel接口：在Tunnel接口下，引用已配置好的IPsec Profile。

   interface Tunnel0

   tunnel protection ipsec profile profile-to-MSR-B

4. 配置路由：在总部路由器上配置一条去往192.168.2.0/24的静态路由，出接口为Tunnel0。这样，发往分支的流量就会被引导进入正确的IPsec隧道。

结论先行

一、能不能两条？

1. 两端公网 IP 都是固定静态 IP
2. 两条隧道用不同的感兴趣流 ACL（保护不同私网网段）

二、你说的配置思路对不对

都对接对方公网地址，配两个模板，一个 ipsec policy 就可以

• 不能只一个 ipsec policy；
• 正确做法：
  1. 做两条不同 ACL，分别匹配两条隧道要保护的私网网段
  2. 建两个 IPSec 策略 / 两个 IPSec 模板
  3. 接口下同时应用两个 ipsec policy
  4. 对端同样配置，就会起来两条独立 IPSec 隧道

三、最简配置逻辑（MSR V7 通用）

本端

1. ACL1 隧道 1 业务：

2. ACL2 隧道 2 业务：

3. 建两个 IPSec 策略，对端公网 IP 相同，分别绑定 ACL3000、3001
4. 外网接口下：

四、关键注意点

1. 协商模式、IKE 版本、预共享密钥两条可以一样，也可以不一样
2. 感兴趣流不能重叠，否则 SA 会抢占混乱
3. 路由分别把不同私网网段指向各自隧道即可
4. 也可以一条野蛮模式、一条主模式，只要对端匹配就行

五、一句话总结