問

F5000的IPsecvpn帶vpn實例不通

2025-06-04提問

0關注
0收藏，148瀏覽

zhiliao_rtOkVc

zhiliao_rtOkVc 二段

粉絲：0人關注：0人

問題描述：

ipsec transform-set ToWX

esp encryption-algorithm aes-cbc-128

esp authentication-algorithm md5

ipsec policy ToWX 10 isakmp

transform-set ToWX

security acl name IPsec_Ninbo_IPV4_1

local-address 10.153.162.174

remote-address 36.133.24.75

ike-profile ToWX

sa trigger-mode auto

ike invalid-spi-recovery enable

ike identity address 10.153.162.174

ike profile ToWX

keychain ToWX

dpd interval 30 on-demand

exchange-mode aggressive

local-identity address 10.153.162.174

match remote identity address 36.133.24.75 255.255.255.255

proposal 1

inside-vpn vpn-instance M-DMZ

match remote address 36.133.24.75

ike proposal 1

encryption-algorithm aes-cbc-256

dh group14

authentication-algorithm sha256

ike keychain ToWX vpn-instance M-DMZ

match local address 10.153.162.174 vpn-instance M-DMZ

pre-shared-key address 36.133.24.75 255.255.255.255 key simple 123455

acl advanced name IPsec_Ninbo_IPv4_1

rule 5 permit ip vpn-instance M-DMZ source 10.153.162.0 0.0.0.255 destination 10.234.255.149 0

rule 10 permit ip vpn-instance M-DMZ source 10.234.255.149 0 destination 10.153.162.0 0.0.0.255

ip vpn M-DMZ

interface vlan 100

ip binding vpn M-DMZ

ip add 10.153.162.174 24

ipsec apply policy ToWX

interface gi 1/0/1

port accsess vlan 100

interface gi1/0/2

ip binding vpn M-DMZ

ip add 10.123.104.2 30

ipsec apply policy ToWX

ip route-static 0.0.0.0 vpn M-DMZ 10.123.104.1

security-policy ip

rule 50 name FOR-IPSecVPN

action pass

vrf M-DMZ

source-zone local

source-zone untrust

source-zone trust

destination-zone local

destination-zone untrust

destination-zone trust

source-ip-host 10.153.162.174

source-ip-host 36.133.24.75

destination-ip-host 10.153.162.174

destination-ip-host 36.133.24.75

組網及組網描述：

防火牆F5000-M-G2設備上行1/0/2接口互聯出口防火牆，出口防火牆公網地址11.249.16.30nat映射10.153.162.174，跨越公網對端地址為36.133.24.75，防火牆為下行服務器的網關vlan100地址：10.153.162.174

現在需要防火牆F5000-M-G2設備與跨越公網設備地址36.133.24.75完成ipsec互通，現在ike協商為unknow，ping對端公網地址可通

2 個回答

按時間按讚數

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉絲：148人關注：8人

按順序排查：

1.    NAT 穿越未啟用

當防火牆位於 NAT 設備後方（如公網地址 11.249.16.30 映射內網 10.153.162.174）時，必須啟用 NAT 穿越（NAT-T），否則 IKE 協商報文會被丟棄。

解決方案：[Device] ike sa nat-transport // 啟用 NAT 穿越

2.    IKE 身份標識不匹配

若分支側（F5000-M-G2）使用內網 IP（10.153.162.174）標識身份，而對端期望公網 IP（11.249.16.30），會導致身份校驗失敗。

解決方案：[Device] ike identity fqdn your-device-name // 分支側改用 FQDN 標識 [Device] ike profile YOUR_PROFILE match remote identity address 36.133.24.75 // 中心側精確匹配對端公網 IP

3.    ACL 保護範圍不一致

IPsec 策略引用的 ACL（如 acl 3000）兩端必須鏡像。若分支側 ACL 範圍大於中心側，隧道無法建立。

示例修正（兩端 ACL 保持一致）：# 分支側（F5000-M-G2）ACL： rule permit ip source 10.153.162.0 0.0.0.255 destination 對端子網 # 中心側（36.133.24.75）ACL： rule permit ip source 對端子網 destination 10.153.162.0 0.0.0.255

4.    安全策略未放行 IKE 流量

需放行 Local 與 Untrust 域間的 UDP 500/4500 端口（IKE 協商報文）。

配置示例：security-policy ip rule name ike_localout source-zone local destination-zone untrust source-ip-host 11.249.16.30 // 本端公網 IP destination-ip-host 36.133.24.75 // 對端公網 IP action pass

5.    協商模式錯誤

對端為動態 IP（如 PPPoE）時才需使用野蠻模式（aggressive-mode）和 IPsec 策略模板。若對端是固定 IP（36.133.24.75），應改用標準模式：ike profile YOUR_PROFILE exchange-mode main // 主模式（默認）

驗證命令

查看 IKE SA 狀態：display ike sa

開啟調試日誌定位問題：debugging ike all terminal monitor terminal debugging

建議按步驟檢查配置，重點處理 NAT 穿越、身份標識、ACL 對稱性這三個高頻故障點。

胡漢三

胡漢三一段

粉絲：0人關注：0人

安全策略配置有問題，因為安全策略中的VRF是指報文進來的接口VPN實例，實際業務是內網到外網沒問題，但是協商不是走的內網，協商是走的local到外網，外網到local，如果你外網口沒有加VPN實例的話，那麼local相關策略都是不需要加VRF的。如果你外網口也有VPN實例，那麼本地的策略都是要加VRF的，寫外網的這個VPN實例。

同樣你的keychain是屬於本地協商的時候用的，因此keychain是寫外網口的VPN實例，不能寫內網口的。

然後你已經弄了NAT穿越了，那麼本地原地址要轉換的情況下，不能用地址做標識，

local-identity address 10.153.162.174

這句得換成

local-identity fqdn XX

這樣的才行，對端同樣在keychain profile 中都要改成hostname或者fqdn，而且由於本地原地址轉換，對端隻能用模板的方式。

還有你的路由也不對

ip route-static 0.0.0.0 vpn M-DMZ 10.123.104.1

VPN在前麵才是寫到那個VPN實例下，寫後麵說明要去這個VPN去找這個目的地址。比如VPN 1訪問VPN 2那麼路由應該是

ip route-static vpn 1 0.0.0.0 0 vpn 2 X.X.X.X

由於來回的VPN不一樣都是隔離的，因此本地防火牆上必須來回流量的都寫上才行。

http://hclhub.h3c.com/repo/15213577083/hcl_8b126c462120

胡漢三發表時間：2025-06-05 更多>>

VPN隻是本地生效的，用於區分業務和管理，目前配置是管理部分，直接做全互通放通兩個地址這個策略沒問題吧？公網出去的對端地址沒有vpn

zhiliao_rtOkVc 發表時間：2025-06-04

回複zhiliao_rtOkVc:

外網口如果沒有VRF的話，你這個策略上就應該不加才對。其實HCLhub上有跨VRF做IPSEC的模擬器實驗，你可以去下載一下，不行我本地昨天也做了個IPSEC NAT穿越加VRF的實驗，你如果要的話我上傳上去你可以去下載。

胡漢三發表時間：2025-06-05

http://hclhub.h3c.com/repo/15213577083/hcl_8b126c462120

胡漢三發表時間：2025-06-05

編輯答案

分享擴散:

➤

網站相關: 關於我們; 服務條款; 幫助中心; 經驗與權限; 積分規則

聯係我們: 聯係我們; 建議反饋

常用鏈接: 標杆的神器下載

關注我們: H3C官網; BOB登陆服務公眾號; 安仔遠程運維服務; BOB登陆商城

內容許可: 除特別說明外，用戶內容均可采用知識共享署名-相同方式共享3.0中國大陸許可協議進行許可

本圖標版權歸BOB登陆集團所有，僅限本社區使用，切勿用做商業目的，違者必究

浙ICP備09064986號-1 浙公網安備 33010802004416號

✖

親~登錄後才可以操作哦!

確定

✖

親~檢測到您登陸的賬號未在http://hclhub.h3c.com進行注冊

注冊後可訪問此模塊

跳轉hclhub

✖

你的郵箱還未認證，請認證郵箱或綁定手機後進行當前操作

✖

舉報

侵犯我的權益 >

對根叔社區有害的內容 >

辱罵、歧視、挑釁等（不友善）

侵犯我的權益

泄露了我的隱私 >

侵犯了我企業的權益 >

抄襲了我的內容 >

誹謗我 >

辱罵、歧視、挑釁等（不友善）

騷擾我

泄露了我的隱私

您好，當您發現根叔知了上有泄漏您隱私的內容時，您可以向根叔知了進行舉報。請您把以下內容通過郵件發送到pub.zhiliao@h3c.com 郵箱，我們會盡快處理。

1. 您認為哪些內容泄露了您的隱私？（請在郵件中列出您舉報的內容、鏈接地址，並給出簡短的說明）
2. 您是誰？（身份證明材料，可以是身份證或護照等證件）

侵犯了我企業的權益

您好，當您發現根叔知了上有關於您企業的造謠與誹謗、商業侵權等內容時，您可以向根叔知了進行舉報。請您把以下內容通過郵件發送到 pub.zhiliao@h3c.com 郵箱，我們會在審核後盡快給您答複。

1. 您舉報的內容是什麼？（請在郵件中列出您舉報的內容和鏈接地址）
2. 您是誰？（身份證明材料，可以是身份證或護照等證件）
3. 是哪家企業？（營業執照，單位登記證明等證件）
4. 您與該企業的關係是？（您是企業法人或被授權人，需提供企業委托授權書）

我們認為知名企業應該坦然接受公眾討論，對於答案中不準確的部分，我們歡迎您以正式或非正式身份在根叔知了上進行澄清。

抄襲了我的內容

原文鏈接或出處

誹謗我

您好，當您發現根叔知了上有誹謗您的內容時，您可以向根叔知了進行舉報。請您把以下內容通過郵件發送到pub.zhiliao@h3c.com 郵箱，我們會盡快處理。

1. 您舉報的內容以及侵犯了您什麼權益？（請在郵件中列出您舉報的內容、鏈接地址，並給出簡短的說明）
2. 您是誰？（身份證明材料，可以是身份證或護照等證件）

我們認為知名企業應該坦然接受公眾討論，對於答案中不準確的部分，我們歡迎您以正式或非正式身份在根叔知了上進行澄清。

對根叔社區有害的內容

垃圾廣告信息

色情、暴力、血腥等違反法律法規的內容

政治敏感

不規範轉載 >

辱罵、歧視、挑釁等（不友善）

騷擾我

誘導投票

不規範轉載

舉報說明

產品線		搜索取消
案例類型
發布者
是否解決
是否官方
時間
搜索引擎
匹配模式	默認策略匹配全詞匹配整句

F5000的IPsecvpn帶vpn實例不通

問題描述：

組網及組網描述：

編輯答案

提出建議