F5000‑AI‑120：Tunnel mode ipsec（路由式 IPsec 接口，VTI）跑 OSPF 邻居

华三 SecPath V7 防火墙，interface TunnelX mode ipsec就是路由型 IPsec‑VTI 接口，不需要 GRE，是可以直接建立 OSPF 邻居，和华为 VTI、飞塔 route‑based IPsec 原理一致H3C。

⚠️区分两种 IPsec：

1. 策略型 IPsec（policy‑based，map 绑定物理接口）：不能跑 OSPF 动态邻居，只能写静态路由；
2. 路由型 IPsec（Tunnel mode ipsec，VTI 虚拟隧道接口）：隧道接口配置 IP，直接把 Tunnel 接口宣告进 OSPF，可以建立 OSPF 邻居，不需要 GRE 封装。

关键约束（很多人踩坑）

1. OSPF 默认网络类型是 P2P（点到点），两端 VTI 接口保持默认 p2p 即可，点对点场景不需要修改广播；
2. IKE/IPsec SA 必须先 UP；SA 没起来，OSPF 报文发不出去，邻居起不来；
3. 安全策略放行：
   • 公网域之间放行 IKE (UDP500/4500)、ESP (协议 50)；
   • 隧道接口属于 Local 安全域，不需要再针对 OSPF (协议 89) 配置域间策略，隧道接口内部报文属于设备本机转发；
4. 接口模式：Tunnel mode ipsec，不要 mode gre，题目要求不使用 GRE。

最简配置片段（两端防火墙）

对端 FW‑B 镜像配置 Tunnel1，IP 为 10.255.1.2/30，source/destination 互换，OSPF 宣告隧道对端网段。

排查命令

常见失败点

1. 把策略 IPsec（ipsec‑policy）和 VTI 路由 IPsec 混淆，策略 IPsec 无法建立 OSPF 邻居；
2. IKE/IPSEC SA 协商不起来，OSPF 报文直接丢弃；
3. 公网域间安全策略漏放 UDP‑500/4500、ESP 协议；
4. 公网 NAT 环境，需要 IKE 开启nat‑traversal；
5. 老版本固件部分版本 VTI 存在缺陷，建议升级 F9900 最新稳定版本。

对比说明（回答你疑问：华为、飞塔可以）

• 华为：interface ipsec‑template VTI 接口；
• 飞塔：route‑based IPsec 虚拟 VPN 接口；
• 华三 F5000‑AI 系列：Tunnel mode ipsec等价 VTI，不需要 GRE，原生支持 OSPF/BGP 等动态路由，功能对齐竞品H3C。

补充：如果是多分支 Hub‑Spoke 场景，单 Tunnel mode ipsec 只能点对点；多分支场景建议使用 ADVPN。

小结

✅F5000‑AI‑120 只用 mode ipsec 的 Tunnel 接口，不用 GRE，可以跨 IPsec 隧道建立 OSPF 邻居；前提是使用路由式 VTI 隧道接口，不是传统策略 map‑based IPsec。