MER8300 与锐捷 NBR6205 IPSec VPN 单向互通

组网：一期锐捷 NBR6205（80 网段）；二期 H3C MER8300（50 网段） 现象：一期（80 网段）可以 ping 通二期（50 网段）；二期 50 网段访问 80 网段，流量不走 VPN 隧道，直接从外网出口跑出去，ping 不通。 说明：IKE 协商、IPSec SA 是建立成功的；问题出在MER8300 侧：感兴趣流、NAT 排除、静态路由三者其中一项配置错误。

故障根本原因（单向通典型）

1. 一期锐捷 NBR6205：访问 50 网段流量匹配 IPSec 感兴趣流，封装进隧道，所以能通；
2. 二期 MER8300：50 网段访问 80 网段的流量，没有匹配 IPSec 感兴趣流，被源 NAT 转换，直接走互联网出口，不进 VPN 隧道，所以回包无法回来，ping 不通。

重点：IPSec 站点到站点，两端的感兴趣流 ACL 必须互为镜像，同时路由器要配置到对端网段静态路由，还要配置 NAT 不转换 VPN 互访流量。

MER8300 排查步骤（命令行优先）

1、确认 IPSec 协商状态

看到 SA 存在，说明隧道建立正常，不是协商失败。

2、检查 IPSec 感兴趣流 ACL（最常见坑）

MER8300 的 IPSec 策略里，ACL 必须：源 50 网段，目的 80 网段。

✅正确示例：

❌错误：只写了源、没写目的；或者目的写反；或者掩码写错。

锐捷 NBR6205 的感兴趣流 ACL 是：源 80，目的 50，两者互为镜像。

3、检查 NAT 策略（极高概率故障点）

MER8300 的 WAN 口做nat outbound源 NAT，VPN 互访流量必须排除 NAT 转换，否则 50 访问 80 的报文会被 NAT 成公网 IP，直接走外网，不会进入 IPSec 隧道。

查看 NAT 配置：

必须在 NAT 策略里增加一条：不做 NAT：源 50 网段，目的 80 网段。 注意：NAT 策略顺序，VPN 排除策略要放在 nat outbound 前面。

4、检查静态路由

MER8300 必须存在去往 80 网段的静态路由，下一跳指向对端 VPN 对端公网 IP（IPSec 静态路由）

没有这条路由，访问 80 网段会匹配默认路由，直接走外网出口。

锐捷 NBR6205 上也要配置静态路由：去往 50 网段，下一跳为 MER8300 公网 IP。

5、PC 端验证定位（快速定位）

二期 50 网段电脑执行：

• 如果 tracert 第一跳直接跳到公网网关，确认流量没有进 VPN 隧道，就是 MER8300 侧感兴趣流 / NAT / 路由问题。
• 如果 tracert 走到 VPN 隧道，但是不通，则是锐捷侧回包、ACL 策略拦截。

两端配置核对清单

表格

常见踩坑

1. 只配置了感兴趣流，忘记配置静态路由；
2. NAT outbound 没有排除 VPN 网段，流量被 NAT 转换直接走外网；
3. 感兴趣流 ACL 掩码写错，比如写成 255.255.255.255；
4. 两端 IKE 第二阶段安全提议不一致，虽然 SA 能建立，但部分流量异常。