ipsecpan

1.是否使用FQDN取决于你的两边是否用公网V4地址。没有就的用野蛮模式建立VPN，前提是至少一端有公网V4，都是PPPOE也能建立不稳定。

2.感兴趣流见楼上所说

3.旁路部署IPSEC VPN配置方案如下（我自己测试的）

https://删mp.we 删  ixin.q 删  ***.*** 删  /s/hLS 删  HYEpn-Jom 删  LhM3_ 删  63E3A

你提到的这个旁路部署场景，核心是要理清数据包的“路由路径”和“加密路径”。针对你提出的三个问题，我帮你梳理一下配置思路和关键点。

 感兴趣流 (ACL) 配置

感兴趣流（ACL）的定义必须在两端镜像对称，这是IPsec隧道能成功建立的基础。

• 总部IPSec网关：定义ACL，匹配 源地址 192.168.10.0/24 到 目的地址 10.1.1.0/24 的流量。

• 分部IPSec网关：定义ACL，匹配 源地址 10.1.1.0/24 到 目的地址 192.168.10.0/24 的流量。

注意：如果出口防火墙上配置了NAT，必须确保NAT的ACL规则中deny掉了IPsec的感兴趣流，防止加密流量被NAT错误转换，导致隧道建立失败。

 出口防火墙是否需要端口映射？

需要，而且是必须的。

因为你的IPsec网关是“旁挂”在出口防火墙后面的，外部设备无法直接访问到它。因此，必须在总部和分部的出口防火墙上，为各自的IPsec网关设备配置端口映射，将公网IP的特定端口指向内部的IPsec网关。

需要映射的端口：

• UDP 500：用于IKE（ISAKMP）密钥协商。

• UDP 4500：用于NAT穿越（NAT-T），确保IPsec流量能穿过NAT设备。

• （可选）如果使用ESP封装且路径中无NAT，可能还需要放行协议号50 (ESP)。

 对端地址：IP还是FQDN？

这取决于两端出口防火墙的公网IP是否固定：

• 如果两端公网IP固定：直接在IPsec策略中指定对端为出口防火墙的公网IP地址即可。这是最简单、最稳定的方式。

• 如果至少一端公网IP不固定（如使用PPPoE拨号）：则需要使用FQDN（域名） 来标识对端，并配合DDNS（动态域名解析） 使用。设备在触发IPsec协商时，会解析该域名获取对端当前的公网IP。

 补充：两个关键的“隐藏”配置

除了以上三点，旁路部署还需要注意路由和NAT冲突问题：

1. 路由指向是关键
必须确保内网核心交换机或路由器上，有指向对端内网网段的路由，其下一跳地址是旁路IPsec网关的内网接口IP。例如，在总部核心交换机上，需要配置一条指向 10.1.1.0/24 的静态路由，下一跳为总部IPsec网关的内网地址。

2. 处理NAT与IPsec的冲突
这是一个常见故障点。如果出口防火墙上已有针对内网服务器的端口映射（NAT Server），可能会与IPsec流量冲突，导致通信异常。解决方案是：

• 在NAT的ACL中，明确deny掉IPsec的感兴趣流（即源/目为两个内网网段的流量），确保它们不被NAT转换，而是被送往IPsec网关进行加密。

• 如果内网用户需要通过公网IP访问映射的服务器，还需在出口防火墙上开启NAT回流（Hairpin） 功能。

需要，外网设备需要通过NAT server 将UDP 500 和4500映射到内网ipsec设备上，对端地址就是双方公网地址即可，安全策略正常内网地址就行