防火墙双出口ipsec

根本原因（V7 防火墙报文顺序）

V7 防火墙处理顺序：先做源 NAT，再查路由、再匹配 IPsec 策略

1. 内网流量去往 IPsec 对端网段，命中了全局 / 域间动态 SNAT（双出口默认上网的那条 nat outbound）；
2. SNAT 直接把内网源 IP 翻译成另一个出口（出口 B）的公网 IP；
3. 然后路由选路把报文转发到 IPsec 绑定的出口 A；
4. IPsec 封装外层 IP，外层源 IP 已经是出口 B 的 IP，和 IPsec 本端 ID / 网关 IP 不匹配，对端校验失败。

一句话：IPsec 保护的流量，被普通上网的 SNAT 规则提前转换了。

解决方法（推荐顺序）

方案 1：给 IPsec 感兴趣流配置【NAT 豁免】（优先推荐）

IPsec 流量不做上网 SNAT，内网原始私网 IP 直接进 IPsec 加密。

1. 新建 ACL，匹配IPsec 感兴趣流（内网网段→对端私网网段）
2. 在动态源 NAT 策略里，把这条 ACL 配置为不转换（不做 NAT） Web：策略→NAT→源 NAT，新建 / 编辑策略，匹配源目的为 IPsec 流量，动作选【不转换】，放在所有上网 SNAT 规则最前面（NAT 规则从上往下匹配）。

CLI 示例：

规则 0 放最上面：IPsec 流量匹配 no-nat，不转换；其余普通上网流量走 easy-ip。

方案 2：接口下开启 ipsec no-nat-process enable（V7 新版本支持）

在 IPsec 绑定的出口接口开启，该接口的 IPsec 保护流量，跳过 NAT 处理H3C

⚠️注意：老版本不支持该命令；仅作用在本接口 IPsec 流量。

方案 3：路由优先，保证 IPsec 流量强制走 IPsec 出口（路由型 IPsec 更稳）

如果用的是策略模板 IPsec（policy 方式绑定接口），双出口场景容易出现路由选路混乱，推荐改成Tunnel 隧道接口 + 路由模式 IPsec

1. 创建 Tunnel 接口，tunnel protection ipsec profile
2. 静态路由：对端私网网段下一跳指向 Tunnel 接口
3. 路由方式可以严格控制流量从指定出口封装 IPsec，外层源 IP 自动使用 Tunnel 出接口（出口 A）地址，不会乱拿另一个出口 IP。

额外检查点（踩坑高发）

1. IKE 协商报文（500/4500 端口）也要放行，并且IKE 协商的源 IP 必须是 IPsec 出口 A 公网 IP；不要让 IKE 报文被另一个出口的 SNAT 转换。
2. IPsec 感兴趣流 ACL：写原始私网网段，不要写 NAT 之后的地址（做了 no-nat 豁免场景）。
3. 验证命令

看 IPsec 流量的 nat 会话，确认不再被转换成出口 B 公网 IP。

快速定位命令

看会话里的源转换地址，如果转换后的地址是另一个出口 IP，确认就是 SNAT 提前转换问题。

两种 IPsec 选型建议（双出口环境）

• 策略式 IPsec（ipsec policy 应用在接口）：适合单出口；双出口容易出现你这个 NAT 源 IP 错乱问题。
• 隧道接口路由型 IPsec：双出口场景首选，出接口可控，外层源 IP 稳定。

补充：如果业务需求必须对 IPsec 流量做源 NAT（内网要转换成出口 A 公网 IP 加密）

不能用全局 easy-ip，单独给 IPsec 流量创建地址池，地址池 = 出口 A 公网 IP，只对 IPsec 流量做这条 SNAT，不要复用另一个出口的地址池。