zhiliao_Gixe
六段
排查步骤及关键命令：
1. 核查配置一致性：分支IKEv2对等体设总部固定公网IP，总部对等体需适配分支DHCP动态地址；预共享密钥/证书、IKEv2默认提议需两端完全一致，命令：display ikev2 proposal all、display ikev2 peer all。
2. 开启NAT穿越：分支DHCP获取地址，中间可能存在NAT，两端需配置ikev2 nat-traversal，避免端口映射异常。
3. 连通性与安全策略验证：分支ping总部WAN口固定IP确认路由可达；核查两端安全策略是否放通UDP500（IKE）、UDP4500（NAT-T）、IPsec协议50/51，命令：display ip routing-table、display security-policy all。
4. 报文抓包：两端WAN口抓IKEv2报文，确认分支初始请求是否到总部、总部响应是否回包，定位地址/端口不对称原因。
1. 核查配置一致性：分支IKEv2对等体设总部固定公网IP，总部对等体需适配分支DHCP动态地址；预共享密钥/证书、IKEv2默认提议需两端完全一致，命令：display ikev2 proposal all、display ikev2 peer all。
2. 开启NAT穿越：分支DHCP获取地址，中间可能存在NAT，两端需配置ikev2 nat-traversal，避免端口映射异常。
3. 连通性与安全策略验证：分支ping总部WAN口固定IP确认路由可达；核查两端安全策略是否放通UDP500（IKE）、UDP4500（NAT-T）、IPsec协议50/51，命令：display ip routing-table、display security-policy all。
4. 报文抓包：两端WAN口抓IKEv2报文，确认分支初始请求是否到总部、总部响应是否回包，定位地址/端口不对称原因。
1、按照官网案例，IKEV2采用默认安全提议，且共享密钥两边都是一致的。。。2、华三默认打开检测NAT穿越功能，你说的ikev2 nat-tranversal多半是华为的命令，华三没有。。。3、策略全通，路由可达。。。4、分支协商，总部建立是什么原因
吉奥盆得二次原
发表时间：3小时前
这是一个非常典型的 NAT 穿越（NAT-T）导致的双向协商不匹配问题。
分支防火墙通过光猫 DHCP 上网，意味着它处于运营商的大内网中，经过了 NAT 转换。而总部是固定专线 IP。这种不对称的网络环境，导致 IKEv2 协商时的 IP 地址和端口号出现“错位”。
核心原因分析
- 分支视角：分支防火墙发起协商，它认为自己的源地址是光猫分配的私网 IP（例如 192.168.x.x），源端口是 500。
- 总部视角：总部收到报文时，由于经过了分支光猫的 NAT，源地址已经变成了运营商的公网 IP，且 NAT 设备通常会将 IKE 报文封装到 UDP 4500 端口（即 NAT-T 封装）。
- 状态不对等：总部认为 SA 已经建立（EST），因为它能正常回复报文。但分支收到总部的回复后，发现回复的目标 IP 和端口（通常是 NAT 后的公网 IP:4500）与自己发起协商时的本地 IP 和端口（私网 IP:500）不匹配，导致分支认为协商失败或状态异常（IN-NEGO），进而导致第二阶段的 IPSec SA 无法成功建立。
解决步骤
你可以按照以下顺序在两台防火墙上进行排查和配置优化：
1. 强制开启 NAT 穿越（NAT-T）功能
检查分支和总部防火墙的 IKE 对等体（IKE Peer）或 IKEv2 Profile 配置，确保两端都显式开启了 NAT 穿越功能。
检查分支和总部防火墙的 IKE 对等体（IKE Peer）或 IKEv2 Profile 配置，确保两端都显式开启了 NAT 穿越功能。
- 在大多数防火墙（如华为、华三等）中，需要在 IKE Peer 视图下配置
nat traversal或类似的命令。 - 开启后，设备会主动发送 NAT-D（NAT发现）载荷，并强制使用 UDP 4500 端口进行封装，避免端口不匹配的问题。
2. 修正分支的 IKE 本地地址（Local Address）
在分支防火墙的 IKE 配置中，不要依赖系统自动选择的出接口 IP（因为那是私网 IP）。
在分支防火墙的 IKE 配置中，不要依赖系统自动选择的出接口 IP（因为那是私网 IP）。
- 操作建议：在分支的 IKE Peer 或 IKEv2 Profile 中，手动指定
local-address为分支 WAN 口（即 DHCP 获取地址的接口）。这能帮助设备更准确地识别出接口，配合 NAT-T 正常工作。
3. 检查并统一 IKE 身份标识（Identity）
由于存在 NAT，使用 IP 地址作为身份标识极易出错。
由于存在 NAT，使用 IP 地址作为身份标识极易出错。
- 操作建议：建议将两端的 IKE 身份类型（Identity Type）修改为名称（FQDN 或 Name）。例如，分支配置本地身份为
branch-firewall，总部配置远程身份为branch-firewall，反之亦然。名称标识不受 NAT 转换的影响，能极大提高协商成功率。
4. 确保分支光猫的放行策略
由于分支是 DHCP 上网，光猫充当了第一道 NAT 网关。
由于分支是 DHCP 上网，光猫充当了第一道 NAT 网关。
- 操作建议：登录分支的光猫后台，查看是否有相关的防火墙拦截规则。确保光猫允许 UDP 500 和 UDP 4500 端口的入站和出站流量通过。如果光猫支持，建议将其设置为“路由模式”并配置端口映射（将 500/4500 映射到分支防火墙的 WAN 口 IP），或者直接开启光猫的 DMZ 主机指向分支防火墙（如果条件允许）。
5. 检查 IPSec 策略的本地/远端地址
在配置 IPSec 策略（或 IPSec Policy）时，分支防火墙的
在配置 IPSec 策略（或 IPSec Policy）时，分支防火墙的
local-address 应该指向自己的 WAN 口，而 remote-address 指向总部的固定公网 IP。确保没有写反或写错。
IKEv2 单边 EST、分支 IN-NEGO + 两端端口 / IP 不对称故障根治（从你 dis ikev2 sa verbose 截图定位根因）
一、先从截图提炼关键故障信息
总部（当前查看设备：EST，本端：117.115.141.122/4500；对端：112.19.151.66/13486）
- NAT traversal: Detected（检测到 NAT，分支侧存在 NAT，分支 WAN 是 DHCP + 光猫做了源 NAT）
- 总部 IKE 本地 ID=IP 地址 (ID_IPV4_ADDR)，分支远端 ID=FQDN (nanxi) → IKE 两端 ID 类型不匹配（一边 IP、一边 FQDN，IKEv2 身份校验失败，分支反复重协商 IN-NEGO，总部收到协商包先建 IKE SA 等待子 SA，最终 IPSEC SA 起不来）
- 端口异常：标准 IKEv2 NAT-T 端口固定UDP4500，分支出口光猫 NAT 随机转换源端口变成 13486，总部侧收到报文源端口非 4500；分支防火墙自身 IKE 监听 4500，来回端口不一致是 NAT 导致。
现象：总部收到 IKE 协商报文→IKE SA 建立 EST；分支收到回应报文，ID 校验失败丢弃，不停重试协商，分支永久 IN-NEGO。
二、2 个核心故障点
故障 1：IKEv2 两端身份 ID 格式不一致（最高优先级，根源）
- 总部 IKE peer：
local-id-type ip（用自身公网 IP 做本端 ID） - 分支 IKE peer：
remote-id-type fqdn（用域名 nanxi 做总部 ID） IKEv2 预共享密钥认证身份 ID 必须两端严格对应：
方案 A 统一：两边全部使用 IP 地址作为 ID（推荐） 方案 B 统一：两边全部使用 FQDN 作为 ID 不能一端 IP、一端 FQDN。
故障 2：分支前端光猫 NAT 随机端口，NAT-T 环境必开 NAT 穿透 + 防火墙放行策略
分支 WAN 经过家用 / 专线光猫 NAT，IKEv2 NAT-T 报文源端口被改成非 4500，需要两端防火墙放行 UDP500/4500，且 IKE 配置开启 nat-traversal（V7 默认开启，但需要放行端口）。
标准 IKE 端口：
- IKE 初始化：UDP500
- NAT-T 协商成功后：UDP4500（所有 NAT 场景强制 4500） 你分支被光猫 NAT 成 13486 属于运营商光猫做了源端口随机转换。
三、分步整改配置（H3C Comware V7）
步骤 1：统一两端 IKE 对等体 ID（必改，解决 ID 不匹配）
总部配置（117.115.141.122）
plaintext
ike peer BRANCH pre-shared-key simple XXXXXX
ikev2
remote-ip 112.19.151.66
# 修改远端ID：改成IP类型（和分支本地IP匹配）
remote-id-type ip
remote-id 112.19.151.66
# 取消FQDN配置
undo remote-id nanxi
分支配置（112.19.151.66，WAN DHCP）
plaintext
ike peer HQ pre-shared-key simple XXXXXX
ikev2
remote-ip 117.115.141.122
# 本端ID用IP，远端ID也用总部IP
local-id-type ip
remote-id-type ip
remote-id 117.115.141.122
# 删除FQDN nanxi配置
undo remote-id nanxi
改完后两端：总部 ID = 自身 IP、分支 ID = 自身 IP，对端 ID = 对方公网 IP，ID 格式全一致。
步骤 2：两端安全域放行 IKE&ESP（NAT-T 必放通）
总部防火墙安全策略（外网→防火墙本机）
plaintext
security-zone name Untrust
rule permit udp destination-port eq 500
rule permit udp destination-port eq 4500
rule permit esp
分支防火墙安全策略（外网→本机）
plaintext
security-zone name Untrust
rule permit udp destination-port eq 500
rule permit udp destination-port eq 4500
rule permit esp
补充：分支前端光猫做端口映射 / 全锥 NAT：光猫开启 DMZ 指向分支防火墙 WAN IP，或者端口转发 UDP500/4500 到分支 WAN，避免运营商 NAT 随机篡改源端口。
步骤 3：NAT 优化（分支侧）
分支防火墙做外网 NAT 时，IKE 流量不做源 NAT（NAT 排除），避免端口被转换：
plaintext
acl number 3000
rule deny ip source 分支内网段 destination 总部内网段
rule permit ip any any
nat address-group 1 XXX XXX
nat outbound 3000 address-group 1
内网去总部 VPN 流量 deny，不走源 NAT，外网上网正常 NAT。
四、端口不一致说明（不用改 IKE 配置，是运营商 NAT 正常现象）
分支 WAN 是 DHCP，光猫做 CGNAT / 源 NAT，分支发出去 UDP4500 报文，运营商 NAT 替换源端口为随机 13486，总部收到源端口非 4500；NAT-T 协议本身兼容该场景，ID 统一 + 放通端口后不影响隧道建立。
五、验证 & 排错命令
- 重置 SA：
reset ikev2 sa all两端清空 SA，重新触发协商 - 查看 IKE 状态：
display ikev2 sa两端全部变成 EST - 查看 IPSEC SA：
display ipsec sa出现 IN/OUT 封装 SA 即为正常 - 抓包排查：debugging ikev2 all + terminal debugging，查看 ID 校验报错日志
六、精简总结故障
- 主因：IKE 两端 ID 类型不统一（总部 IP、分支 FQDN）→身份校验失败，分支 IN-NEGO，总部 EST
- 次因：分支前端光猫 NAT 随机端口，两端防火墙未严格放行 UDP500/4500、ESP
- 整改：统一全 IP ID + 放行 VPN 端口 + 分支 VPN 流量排除 NAT。
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
1、按照官网案例，IKEV2采用默认安全提议，且共享密钥两边都是一致的。。。2、华三默认打开检测NAT穿越功能，你说的ikev2 nat-tranversal多半是华为的命令，华三没有。。。3、策略全通，路由可达。。。4、分支协商，总部建立是什么原因