TP-LINK对V7版本MSR和V5版本防火墙IPSEC对接的影响

MSR为V7版本不直连公网，在NAT设备之后且公网出口地址为拨号出口；V5的防火墙F1000公网地址固定。

拓扑：MSR3600----》TP-link路由器----》NAT路由器------》Internet------》防火墙

MSR和F1000上查看ike和ipsec信息均无，无法正常建立ipsec隧道

1、防火墙debug ike信息（没有收到任何ike协商的数据包）：
*Nov 25 16:54:47:661 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.
*Nov 25 16:54:48:892 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.

*Nov 25 16:54:55:731 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.

*Nov 25 16:54:56:589 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.
*Nov 25 16:55:05:270 2015 LSSH-F1000-S-AI DPIPSEC/7/debug:
IPsec_Packet: thread 0, Outbound packets should not be protected by IPsec.

2、MSR上debug ike信息，有主动发起协商的报文

3、MSR和F1000上查看ike和ipsec信息均无

1、防火墙端正常，经过测试可以和其他设备正常建立ipsec隧道

2、从MSR出口端抓包确认有UDP端口为500和4500的数据包

3、在和TP-LINK相连的出口设备上抓包，确认没有收到任何UDP端口为4500和500的数据包

4、通过抓包确认IKE协商包被TP-LINK丢弃了

1、将网络中的TP-LINK家用路由器去掉，MSR36直接和NAT出口设备相连

2、经过测试可以正常建立IPSEC隧道链接

3、MSR上的display信息如下

disp ike sa
    Connection-ID   Remote                Flag         DOI   
------------------------------------------------------------------
    1               118.119.250.10        RD           IPSEC 
 

disp ipsec sa
-------------------------------
Interface: GigabitEthernet0/0
-------------------------------

  -----------------------------
  IPsec policy: 1
  Sequence number: 1
  Mode: isakmp
  -----------------------------
    Tunnel id: 0
    Encapsulation mode: tunnel
    Perfect forward secrecy:
    Path MTU: 1419
    Tunnel:
        local  address: 192.168.48.190
        remote address: 118.119.250.10
    Flow:
    sour addr: 192.168.128.0/255.255.255.0  port: 0  protocol: ip
    dest addr: 192.168.1.0/255.255.255.0  port: 0  protocol: ip

    [Inbound ESP SAs]
      SPI: 520906101 (0x1f0c6575)
      Transform set: ESP-ENCRYPT-AES-CBC-128 ESP-AUTH-MD5
      SA duration (kilobytes/sec): 1843200/3600
      SA remaining duration (kilobytes/sec): 1843199/3445
      Max received sequence-number: 4
      Anti-replay check enable: Y
      Anti-replay window size: 64
      UDP encapsulation used for NAT traversal: Y
      Status: active

    [Outbound ESP SAs]
      SPI: 3869704040 (0xe6a6ff68)
      Transform set: ESP-ENCRYPT-AES-CBC-128 ESP-AUTH-MD5
      SA duration (kilobytes/sec): 1843200/3600
      SA remaining duration (kilobytes/sec): 1843199/3445
      Max sent sequence-number: 4
      UDP encapsulation used for NAT traversal: Y
      Status: active

1、很多家用路由器因为性能限制无法承载IKE协商数据报文，故直接丢弃了IKE报文，建议IPSEC的网络中出现无法IKE协商的时候将家用级别的路由器去掉测试

2、V5和V7对接，只需要根据设备对应的所在网络环境进行对应版本的配置即可，保持V5和V7需要协商的参数一致即可

3、如果V5端的设备出口地址不是固定的，需要通过服务模板去配置IPSEC，否则无法建立隧道

4、附件中有本次问题的MSR和防火墙的配置，供对接时参考使用