问
h3c F5080防火墙两个区域使用IPsec对接，但是碰到两个区域内网网段有冲突
51分钟前提问
- 0关注
- 0收藏，51浏览
组网举例
- A 端真实内网：
192.168.1.0/24，转换虚拟网段：10.20.1.0/24 - B 端真实内网：
192.168.1.0/24，转换虚拟网段：10.20.2.0/24
虚拟网段
10.20.1.0/24、10.20.2.0/24要求全网没有使用，不能和任何现有业务网段冲突。
A 端 F5080 配置要点
- 对象配置
- 真实本端内网对象：obj‑local‑real
192.168.1.0 24 - 本端转换后虚拟对象：obj‑local‑nat
10.20.1.0 24 - 对端转换后虚拟对象：obj‑remote‑nat
10.20.2.0 24
- 安全策略 + 策略 NAT（Trust→IPsec‑Tunnel 域）
security‑policy ip
rule name ipsec‑overlap‑nat permit
source‑zone trust
destination‑zone ipsec‑tunnel
source‑ip‑address obj‑local‑real
destination‑ip‑address obj‑remote‑nat
#策略源NAT：把本端真实源192.168.1.0/24转换为10.20.1.0/24
nat source‑address obj‑local‑real obj‑local‑nat
- IPsec 策略被保护数据流（重点！写转换后的虚拟网段）
IPsec 数据流过滤器： 源子网：
10.20.1.0/24（NAT 之后） 目的子网：10.20.2.0/24（对端 NAT 之后） ❌不要填写原始192.168.1.0/24。
- 静态路由
去往对端虚拟网段
10.20.2.0/24下一跳指向 IPsec 隧道接口。
B 端 F5080 配置要点（镜像反向）
- 对象
- B 真实内网：obj‑b‑real
192.168.1.0 24 - B 转换虚拟：obj‑b‑nat
10.20.2.0 24 - A 转换虚拟：obj‑a‑nat
10.20.1.0 24
- 安全策略 + 策略 NAT
security‑policy ip
rule name ipsec‑b‑nat permit
source‑zone trust
destination‑zone ipsec‑tunnel
source‑ip‑address obj‑b‑real
destination‑ip‑address obj‑a‑nat
nat source‑address obj‑b‑real obj‑b‑nat
- IPsec 被保护数据流
源子网：
10.20.2.0/24；目的子网：10.20.1.0/24 - 静态路由去往
10.20.1.0/24指向 IPsec 隧道接口。
用户访问方式（关键点告知业务人员）
因为做了源 NAT 转换：
- A 端内网主机（原始 192.168.1.x）访问 B 端资源，目的 IP 不能填 B 真实 192.168.1.x，要填写 B 端转换后的虚拟网段 IP：10.20.2.x
- B 端内网主机访问 A 端资源，目的 IP 填写 A 虚拟网段
10.20.1.x。
业务侧要点：业务访问目标使用转换后的虚拟 IP，不能使用原始真实 IP；可以在内网搭建 hosts/DNS，把业务域名解析成对端虚拟网段 IP，对终端用户屏蔽地址转换细节。
两种可选方案对比
表格
| 方案 | 优点 | 缺点 |
|---|---|---|
| 方案 A：IPsec 隧道两端做策略源 NAT（本方案） | 不需要修改任何内网设备 IP、网关；仅防火墙配置变更；适合改网段工作量巨大场景 | 访问对端资源需要使用虚拟转换 IP，需要业务侧配合；要预留两段全新未占用虚拟网段 |
| 方案 B：修改其中一侧内网网段 | 业务直接用真实 IP 访问，无地址转换，维护简单 | 内网大量服务器、终端、交换机、ACL 全部要修改，割接工作量大 |
排查排错命令
#查看策略NAT命中计数
display security‑policy ip statistics
#查看IPsec SA，确认封装的是转换之后的网段
display ipsec sa brief
#查看NAT会话，确认报文做了源地址转换
display nat session table verbose
#查看路由，确认虚拟网段路由指向IPsec隧道
display ip routing‑table
重要坑点提醒
- ❌IPsec 被保护数据流填写原始重叠网段：报文 NAT 转换完成之后才送入 IPsec，原始网段不会匹配 IPsec 数据流，隧道不会封装报文，业务不通H3C。
- ❌内网主机直接访问对端原始真实 IP：路由冲突，报文直接在内网转发，不会进 IPsec 隧道。
- 虚拟中转网段必须确保整个网络中没有被任何设备占用。
一句话总结：网段冲突不想修改内网，两端 F5080 配置策略源 NAT 将本端内网映射为互不冲突虚拟网段，IPsec 保护 NAT 之后的虚拟网段；业务访问对端资源使用虚拟网段 IP，不需要改动内网终端 / 服务器真实 IP。
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明