ipsec vpn 配置野蛮模式无法建立通道

排查步骤（野蛮模式核心注意点：身份匹配、NAT、野蛮模式特性）
1. IKE第一阶段状态排查
两端执行display ike sa，若IKE SA为空/状态非Established，先排查IKE协商：
两端开debug：terminal debugging + debugging ike all，抓取协商报文，看是哪一端拒绝、失败阶段（MM/AM第几条报文）。
野蛮模式下发起方身份必须先匹配：你中心端配置match remote identity fqdn branch，需确认分支路由器的local-identity是否配置为fqdn branch，且分支发起野蛮模式时携带的身份类型是FQDN。
检查IKE提议参数：两端ike proposal 1的加密算法、认证算法、DH组必须完全一致，执行display ike proposal核对。
预共享密钥匹配：ike keychain中，中心端需配置对端身份（fqdn branch）对应的预共享密钥，分支需配置中心fqdn center对应的密钥，执行display ike keychain核对。
2. 网络连通性排查
分支ping中心公网地址通否？检查中间是否拦截UDP 500/4500端口、ESP协议（IP协议号50）。
若存在NAT，必须开启NAT穿越：两端IKE profile下配置nat traversal，野蛮模式下NAT场景需确保身份标识不被NAT修改。
3. 第二阶段IPSec排查
若IKE SA已建立但IPSec SA未建立，检查：
感兴趣流ACL两端镜像匹配（中心的源=分支的目的，中心的目的=分支的源）。
IPSec提议参数、封装模式（传输/隧道）两端一致。
接口下是否正确应用IPSec策略/模板。
关键命令
display ike sa
display ipsec sa
display ike proposal
display ike keychain
debugging ike all // 排查核心，看协商失败原因
常见野蛮模式坑点：身份类型不匹配（比如一端用fqdn一端用ip）、对端身份匹配规则顺序/配置错误、NAT下未开nat traversal。