ipsecpan

1.是否使用FQDN取决于你的两边是否用公网V4地址。没有就的用野蛮模式建立VPN，前提是至少一端有公网V4，都是PPPOE也能建立不稳定。

2.感兴趣流见楼上所说

3.旁路部署IPSEC VPN配置方案如下（我自己测试的）

https://删mp.we 删  ixin.q 删  ***.*** 删  /s/hLS 删  HYEpn-Jom 删  LhM3_ 删  63E3A

你提到的这个旁路部署场景，核心是要理清数据包的“路由路径”和“加密路径”。针对你提出的三个问题，我帮你梳理一下配置思路和关键点。

 感兴趣流 (ACL) 配置

感兴趣流（ACL）的定义必须在两端镜像对称，这是IPsec隧道能成功建立的基础。

• 总部IPSec网关：定义ACL，匹配 源地址 192.168.10.0/24 到 目的地址 10.1.1.0/24 的流量。

• 分部IPSec网关：定义ACL，匹配 源地址 10.1.1.0/24 到 目的地址 192.168.10.0/24 的流量。

注意：如果出口防火墙上配置了NAT，必须确保NAT的ACL规则中deny掉了IPsec的感兴趣流，防止加密流量被NAT错误转换，导致隧道建立失败。

 出口防火墙是否需要端口映射？

需要，而且是必须的。

因为你的IPsec网关是“旁挂”在出口防火墙后面的，外部设备无法直接访问到它。因此，必须在总部和分部的出口防火墙上，为各自的IPsec网关设备配置端口映射，将公网IP的特定端口指向内部的IPsec网关。

需要映射的端口：

• UDP 500：用于IKE（ISAKMP）密钥协商。

• UDP 4500：用于NAT穿越（NAT-T），确保IPsec流量能穿过NAT设备。

• （可选）如果使用ESP封装且路径中无NAT，可能还需要放行协议号50 (ESP)。

 对端地址：IP还是FQDN？

这取决于两端出口防火墙的公网IP是否固定：

• 如果两端公网IP固定：直接在IPsec策略中指定对端为出口防火墙的公网IP地址即可。这是最简单、最稳定的方式。

• 如果至少一端公网IP不固定（如使用PPPoE拨号）：则需要使用FQDN（域名） 来标识对端，并配合DDNS（动态域名解析） 使用。设备在触发IPsec协商时，会解析该域名获取对端当前的公网IP。

 补充：两个关键的“隐藏”配置

除了以上三点，旁路部署还需要注意路由和NAT冲突问题：

1. 路由指向是关键
必须确保内网核心交换机或路由器上，有指向对端内网网段的路由，其下一跳地址是旁路IPsec网关的内网接口IP。例如，在总部核心交换机上，需要配置一条指向 10.1.1.0/24 的静态路由，下一跳为总部IPsec网关的内网地址。

2. 处理NAT与IPsec的冲突
这是一个常见故障点。如果出口防火墙上已有针对内网服务器的端口映射（NAT Server），可能会与IPsec流量冲突，导致通信异常。解决方案是：

• 在NAT的ACL中，明确deny掉IPsec的感兴趣流（即源/目为两个内网网段的流量），确保它们不被NAT转换，而是被送往IPsec网关进行加密。

• 如果内网用户需要通过公网IP访问映射的服务器，还需在出口防火墙上开启NAT回流（Hairpin） 功能。

需要，外网设备需要通过NAT server 将UDP 500 和4500映射到内网ipsec设备上，对端地址就是双方公网地址即可，安全策略正常内网地址就行

1、出口防火墙要不要端口映射？

✅必须做端口映射（目的 NAT）。 IPSec 协商需要 UDP500、UDP4500（NAT‑T），ESP 协议（协议号 50）。 总部出口防火墙：把公网接口的 UDP500/UDP4500、ESP 协议，映射到总部内网 IPSec 网关的内网 IP； 分部出口防火墙同样做一套映射，映射到分部内网 IPSec 网关。

只放行安全策略不行；外网 IKE 协商报文目的是出口公网 IP，必须 DNAT 转发给内网的 IPSec 网关设备，否则网关收不到协商报文，隧道起不来深信服技术...。

注意：ESP 是 IP 协议号 50，不是 TCP/UDP 端口，部分 Web 界面叫 “协议映射”，命令行做目的 NAT 支持协议号。

2、IPSec 策略里面对端地址填什么？能不能 FQDN？

1. 两边出口有固定公网 IP：IPsec 策略 remote‑address 填写对端出口防火墙的公网 IP，不要填 IPSec 网关内网 IP（公网路由到不了内网私网）。
2. 如果任意一端出口是拨号动态公网 IP：不能写固定 IP，就使用 FQDN 模式（IKEv1 野蛮模式 / IKEv2），IKE 身份用 FQDN；设备需要配置 DNS 服务器解析对端域名。

重点：本端 IKE 协商地址，就是出口防火墙映射的那个公网 IP。

3、感兴趣流 ACL 怎么写（保护的数据流）

感兴趣流写两端真实私网网段，不要写公网 IP

• 总部 IPSec 网关 ACL：源 192.168.10.0 0.0.0.255，目的 10.1.1.0 0.0.0.255
• 分部 IPSec 网关 ACL：源 10.1.1.0 0.0.0.255，目的 192.168.10.0 0.0.0.255

感兴趣流只关心被加密的业务流量（内网‑内网）；IKE 协商报文本身不受这个 ACL 保护。

4、旁路组网 3 个极易踩坑关键点

1. 路由问题（重中之重）

• 总部内网交换机：去往对端10.1.1.0/24，静态下一跳指向总部 IPSec 网关内网 IP；
• 分部内网交换机：去往对端192.168.10.0/24，静态下一跳指向分部 IPSec 网关内网 IP。

业务流量必须送到 IPSec 网关，才会被封装进隧道；如果流量直接走出口防火墙就不会加密。

2. IPSec 网关本身上网 IPSec 网关需要访问公网发起 IKE 协商，网关要配置默认路由指向本端出口防火墙。
3. NAT 豁免（NAT‑bypass） 在总部 IPSec 网关的上游出口防火墙上配置 NAT 豁免：源 192.168.10.0/24，目的 10.1.1.0/24 的流量不要做源 NAT； 同样分部出口防火墙也要做 NAT 豁免。

如果不配置豁免，私网‑私网流量会被出口防火墙源 NAT 成公网地址，IPSec 感兴趣流匹配失败，流量不会加密。

5、协议版本建议

• 两端出口都是固定公网 IP：优先 IKEv2（主模式）；
• 任意一端出口动态 IP：IKEv1 野蛮模式或者 IKEv2+FQDN 身份。