保姆级教程：手把手在H3C路由器上配置IPsec over NAT（含IKE提议、转换集详解）
H3C路由器IPsec VPN穿越NAT实战指南：从零搭建安全隧道
第一次在企业级路由器上配置IPsec VPN时，看着满屏的加密算法和协议参数，我对着控制台发呆了整整十分钟。直到网络突然中断的警报声把我拉回现实——原来远程办公的员工已经无法访问内网资源。这种紧迫感让我意识到，IPsec VPN不仅是技术配置，更是企业网络的生命线。本文将带你从零开始，在H3C设备上构建一个能穿透NAT的IPsec VPN隧道，过程中我会分享那些只有踩过坑才知道的实战细节。
1. 环境准备与基础概念
在开始输入任何命令之前，我们需要先搭建实验环境并理解关键概念。典型的跨站点VPN场景中，两个局域网通过公网建立加密隧道，而NAT设备的存在往往会破坏IPsec的正常工作。这就是为什么需要专门配置IPsec over NAT。
实验环境需要以下组件：
- 两台H3C路由器（R1和R3），分别作为VPN端点
- 一台模拟公网的中间路由器（R2）
- 两个终端设备（PC4和PC5）用于测试连通性
关键术语速览：
- IKE（Internet Key Exchange）：用于自动协商和交换密钥的协议
- ESP（Encapsulating Security Payload）：提供加密和认证的IPsec协议
- NAT Traversal（NAT-T）：允许IPsec数据包穿越NAT设备的技术
注意：所有设备的系统时间必须同步，误差不超过5分钟，否则IKE协商会失败。这是我第一次配置时花了三小时才发现的"隐藏"要求。
2. 基础网络配置
首先我们需要确保基础网络连通性。在R1上配置：
<H3C>system-view [H3C]interface GigabitEthernet0/0 [H3C-GigabitEthernet0/0]ip address 100.1.1.1 24 [H3C-GigabitEthernet0/0]interface GigabitEthernet0/1 [H3C-GigabitEthernet0/1]ip address 192.168.1.1 24 [H3C-GigabitEthernet0/1]quit [H3C]ip route-static 0.0.0.0 0 100.1.1.2R3的配置与R1对称：
<H3C>system-view [H3C]interface GigabitEthernet0/0 [H3C-GigabitEthernet0/0]ip address 100.2.2.3 24 [H3C-GigabitEthernet0/0]interface GigabitEthernet0/1 [H3C-GigabitEthernet0/1]ip address 192.168.2.3 24 [H3C-GigabitEthernet0/1]quit [H3C]ip route-static 0.0.0.0 0 100.2.2.2中间路由器R2只需配置接口IP：
<H3C>system-view [H3C]interface GigabitEthernet0/0 [H3C-GigabitEthernet0/0]ip address 100.1.1.2 24 [H3C-GigabitEthernet0/0]interface GigabitEthernet0/1 [H3C-GigabitEthernet0/1]ip address 100.2.2.2 24配置完成后，用ping命令测试R1和R3之间的基础连通性。如果这一步失败，后续所有IPsec配置都无法工作。
3. IKE协商配置详解
IKE协商是IPsec建立的第一阶段，决定了双方如何安全地交换密钥。在H3C设备上，我们需要配置三个关键部分：
3.1 定义感兴趣流
ACL规则决定了哪些流量需要被IPsec保护：
[r1]acl number 3000 [r1-acl-adv-3000]rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 [r1-acl-adv-3000]quit3.2 创建IKE提议
IKE提议定义了安全参数：
[r1]ike proposal 1 [r1-ike-proposal-1]authentication-method pre-share [r1-ike-proposal-1]encryption-algorithm aes-cbc-256 [r1-ike-proposal-1]integrity-algorithm sha2-256 [r1-ike-proposal-1]dh group14 [r1-ike-proposal-1]quit参数选择建议：
| 安全级别 | 加密算法 | 完整性算法 | DH组 |
|---|---|---|---|
| 基础 | 3DES | SHA1 | 2 |
| 推荐 | AES-128 | SHA256 | 14 |
| 高安全 | AES-256 | SHA384 | 19 |
3.3 配置预共享密钥
预共享密钥需要两端一致：
[r1]ike keychain r3 [r1-ike-keychain-r3]pre-shared-key address 100.2.2.3 255.255.255.255 key cipher MySecureKey123! [r1-ike-keychain-r3]quit警告：生产环境中切勿使用简单密码，建议使用16位以上包含大小写字母、数字和特殊字符的复杂密钥。
4. IPsec策略配置
4.1 创建IPsec转换集
转换集定义了数据加密的具体方式：
[r1]ipsec transform-set r3 [r1-ipsec-transform-set-r3]esp encryption-algorithm aes-cbc-256 [r1-ipsec-transform-set-r3]esp integrity-algorithm sha2-256 [r1-ipsec-transform-set-r3]quit4.2 配置IKE Profile
IKE Profile将各个组件关联起来：
[r1]ike profile r3 [r1-ike-profile-r3]keychain r3 [r1-ike-profile-r3]local-identity address 100.1.1.1 [r1-ike-profile-r3]match remote identity address 100.2.2.3 255.255.255.255 [r1-ike-profile-r3]proposal 1 [r1-ike-profile-r3]quit4.3 创建并应用IPsec策略
最后创建策略并应用到接口：
[r1]ipsec policy r3 1 isakmp [r1-ipsec-policy-isakmp-r3-1]security acl 3000 [r1-ipsec-policy-isakmp-r3-1]ike-profile r3 [r1-ipsec-policy-isakmp-r3-1]transform-set r3 [r1-ipsec-policy-isakmp-r3-1]remote-address 100.2.2.3 [r1-ipsec-policy-isakmp-r3-1]quit [r1]interface GigabitEthernet0/0 [r1-GigabitEthernet0/0]ipsec apply policy r35. NAT穿越关键配置
NAT会修改IP头部的地址和端口信息，这与IPsec的完整性检查冲突。解决方案是：
5.1 阻止NAT转换VPN流量
创建ACL排除VPN流量：
[r1]acl number 3001 [r1-acl-adv-3001]rule deny ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 [r1-acl-adv-3001]rule permit ip source any destination any [r1-acl-adv-3001]quit [r1]interface GigabitEthernet0/0 [r1-GigabitEthernet0/0]nat outbound 30015.2 启用NAT-T功能
在IKE提议中启用NAT穿越：
[r1]ike proposal 1 [r1-ike-proposal-1]nat traversal [r1-ike-proposal-1]quit6. 验证与排错
配置完成后，使用以下命令验证：
查看IKE SA状态：
display ike sa检查IPsec SA：
display ipsec sa测试连通性：
ping -a 192.168.1.1 192.168.2.3常见问题排查表：
| 现象 | 可能原因 | 解决方案 |
|---|---|---|
| IKE SA无法建立 | 时间不同步 | 配置NTP时间同步 |
| 预共享密钥不匹配 | 检查两端密钥 | |
| IPsec SA建立失败 | ACL不匹配 | 检查感兴趣流 |
| 转换集不一致 | 确认加密算法 | |
| 能ping通但丢包 | MTU问题 | 调整TCP MSS |
7. 生产环境优化建议
在实际部署中，还需要考虑以下增强措施：
- 启用DPD（Dead Peer Detection）：检测对端是否存活
[r1]ike profile r3 [r1-ike-profile-r3]dpd interval 10 [r1-ike-profile-r3]quit- 配置IKEv2：相比IKEv1更安全可靠
[r1]ike proposal 1 [r1-ike-proposal-1]version 2 [r1-ike-proposal-1]quit- 日志监控：实时跟踪VPN状态
info-center enable ike logging enable ipsec logging enable记得在凌晨三点被叫醒处理VPN中断后，我养成了配置多路径备份的习惯。主备两条ISP线路加上动态DNS，可以最大限度保证VPN的可用性。