某局点UR路由器与第三方设备建立IPSec只能单向通信问题分析

UR路由器作为中心节点同分部第三方路由器建立IPSec，目的为实现总部内网192.168.0.0/24与分部内网192.168.5.0/24互通。

IPSec隧道建立成功后，分部192.168.5.0/24网段设备可以ping通总部的192.168.0.0/24网段设备，但192.168.0.0/24网段设备无法ping通192.168.5.0/24段设备，即分部可以访问总部UR路由器内网，总部无法访问分部，只能单向通信。

1、在总部192.168.0.242这台电脑上，使用tracert命令追踪到192.168.5.1的路由发现，报文第二跳从路由器的WAN2口发出，而非建立IPSec隧道的WAN1口；

由此可以确定，客户没有在UR上配置去往192.168.5.0网段的路由。

注意：在单WAN环境下，因为UR路由器的所有流量交互都通过确定的WAN口，所以在配置IPSec后不需要单独配置静态路由也可以正常使用，但是在多WAN环境下，需要配置静态路由指明IPSec流量的去向。

2、配置了目的地址是192.168.5.0/24，下一跳地址是WAN1口网关地址的静态路由后，通过192.168.0.242去ping 192.168.5.1仍然不通；

此时需通过抓包进一步分析，方法为：使用192.168.0.242的电脑ping 192.168.5.1 -t，借助UR路由器自带的抓包工具抓取WAN1接口的双向报文。

3、IPSec报文是加密的，想要对抓到的报文进行分析，需要先进行解密，可以参考如何对IPSec报文进行解密 - 知了社区

4、查看解密后的报文发现，从192.168.0.242到192.168.5.1的icmp报文已发出，但没有收到回复，由此可以确认报文已经正常通过IPSec隧道发出，问题应该出在中间链路或者对端，需要同步在分部路由器上抓包做进一步分析。

5、 此时会存在以下三种情形：

>>若分部路由器上抓包发现没有收到这边的ipsec esp加密报文，由此可确认报文是两端路由器中间链路丢失，一般这种情况是运营商将此类型报文进行拦截，需联系运营商解决。

>>若分部路由器上收到了UR路由器的esp报文但没回复，此时需在分部路由器上进行定位，联系分部第三方路由器的技术支持进行排查。

>>若分部路由器收到了UR路由器的esp报文且进行了回复，这种情形一般也是运营商侧的策略将分部路由器的esp报文进行了拦截，也需联系运营商处理。

1、当UR路由器存在多WAN接入时，建立IPSec隧道后需要配置静态路由（目的地址为IPSec对端子网网段，下一跳为建立IPSec使用的WAN口的网关地址）。

2、在构建长ping环境，在两端路由器上同时抓包，对报文进行解密后依次分析：报文是否发出、报文是否收到、报文是否回复、回复的报文是否收到，据此确认是本端，对端还是中间链路问题。