内网l2tp over ipsec拨号问题

# 内网 iNode 使用 L2TP‑over‑IPSec 拨号失败，外网正常

>
> 现象：外网 iNode 拨号成功；内网同一终端拨号 L2TP‑over‑IPSec 连不上。
> 问题：远程接入 L2TP‑over‑IPSec（`scenario point‑to‑multipoint l2tp‑user‑access`）**不需要手动配置 ACL 感兴趣流**，网关‑网关站点到站点 IPSec 才必须配置 ACL 感兴趣流H3C。

## 故障根因（按概率）

### 1、trust→local 域安全策略没有放行 IKE、L2TP（最高概率）

外网 untrust→local 已经放通 IKE (500/4500)、L2TP (1701)；内网 trust 安全域访问设备本机 local 域，**默认拒绝，IKE 协商报文直接丢弃**。
需要新增域间策略：

- 源安全域：`trust`，目的安全域：`local`
- 服务对象：ike、l2tp
- 动作：permit

### 2、内网访问防火墙公网 VPN 网关 IP 被源 NAT 转换

内网终端访问防火墙公网 IP，命中内网上网 NAT，源 IP 被转换，IKE 协商异常。
解决：配置**no‑pat 身份 NAT**，内网网段访问防火墙公网 VPN 地址，不做 NAT 转换。

### 3、IPSec 策略模板仅绑定外网 untrust 接口

IPSec point‑to‑multipoint 模板只绑定在外网接口，内网 trust 接口没有应用 IPSec 策略，内网收到的 IKE 报文设备不处理。
二选一处理：

1. 将同一个 IPSec 策略模板同时绑定在内网 trust 接口；
2. 内网 iNode 测试时填写**防火墙内网接口 IP 作为 VPN 网关**，不走公网 IP。

### 4、内网环境 NAT‑T 干扰

内网本身不存在 NAT 环境，iNode 客户端高级设置中可以尝试关闭 NAT‑T 选项测试。

## 排查命令

```
#查看IKE SA，内网拨号看是否产生SA
display ike sa verbose
#查看安全策略命中计数，确认trust‑>local策略是否命中
display security‑policy hit‑count
#查看IPSec策略绑定的接口列表
display ipsec policy‑application
```

## 快速定位测试手段

内网 iNode 客户端 VPN 网关填写**防火墙内网接口 IP**拨号：

1. ✅填写内网 IP 可以拨号成功：故障点是内网访问防火墙公网 IP（NAT 转换 / IPSec 策略只绑定外网接口）；
2. ❌填写内网 IP 依旧拨号失败：故障点是**trust→local 没有放行 ike/l2tp 服务**。

## 简短总结

1. L2TP‑over‑IPSec 远程接入（点对多点）**不用配置 ACL 感兴趣流**；感兴趣流仅用于站点‑to‑站点网关 IPSec。
2. 外网正常内网拨不通，绝大多数是**trust 安全域到 local 域没有放行 IKE、L2TP 服务**。
3. 其次排查两点：①内网访问 VPN 公网 IP 被 NAT 转换；②IPSec 策略模板仅绑定外网接口。
4. 测试技巧：iNode 填写防火墙内网接口 IP 做 VPN 网关，快速定位故障域。

>
> 业务建议：正式环境**不建议内网终端跑 L2TP‑over‑IPSec**，仅用于故障测试；内网终端直接访问内网业务资源。