MSR3620路由器IPSEC与锐捷设备对接

<MSR3620>

 interface GigabitEthernet5/0

 port link-mode route

 description 移动

 ip address 111.26.xx.xx 255.255.255.0

 nat outbound 2000

 ipsec apply policy ipsec

#

  interface GigabitEthernet5/7

 port link-mode route

 combo enable copper

 ip address 10.255.245.254 255.255.255.0

#

acl basic 2000

 rule 15 deny source 192.168.1.46 0 

 rule 1000 permit

#

# acl advanced 3100 

 description IPSEC 

 rule 0 permit ip source 10.255.245.0 0.0.0.255 destination 10.10.10.0 0.0.0.255 

#

ipsec transform-set ipsec 

 esp encryption-algorithm 3des-cbc 

 esp authentication-algorithm md5 

#

ipsec policy ipsec 1 isakmp 

 transform-set ipsec

security acl 3100 

 remote-address 119.51.91.90 

 ike-profile ipsec

 sa duration time-based 28800 

#

ike profile ipsec 

 keychain ipsec

 local-identity address 111.26.xx.xx

 match remote identity address 119.50.xx.xx 255.255.255.255

 proposal 2 

#

ike proposal 2

 encryption-algorithm 3des-cbc

 dh group2 

 authentication-algorithm md5

#

ike keychain 

ipsec pre-shared-key address 119.50.xx.xx 255.255.255.255 key cipher $c$3$+5lk1FUT6rIIKHh+X50Ax+HlIAPutkNacw== #

#

锐捷方提供的参数：

公网IP：119.51.xx.xx

 服务器网段：10.10.10.0/24 

阶段1： 

IKE协商模式：main 

安全协议：ESP 

封装模式：tunnel

 共享密钥：jlswjw 

加密算法：3des 

认证算法：md5 

DH：group 2 

SA生存期：86400秒 

 阶段2：

 封装模式: esp 

加密算法：3des 

认证算法：md5 

SA 生存期：28800秒

以上华三配置完成后，ping -a 10.255.245.254 10.10.10.10 没有ike sa  也没有ipsec sa 。如果锐捷方触发ipsec 可以看到ike sa 但是没有ipsec sa.