crypto map 序列怎么用
一条 crypto map 可以带多个序列号，每个序列各自匹配一段 ACL 感兴趣流、指定各自的对端与 transform-set。设备对出方向报文自上而下逐序列评估：命中某个序列的 ACL 后，就按该序列的参数建隧道，不再继续看后面的序列。这个机制同时解决两件事：一个接口对接多个远端（不同网段走不同对端），以及为同一网段准备备份对端。序列号习惯按 10、20、30 递增，预留插入空间。
基本信息
| 配置位置 | Cisco IOS/IOS-XE，接口下 crypto map 引用 |
|---|---|
| 序列作用 | 每序列独立 ACL、对端、transform-set、生存期 |
| 评估顺序 | 按序列号由小到大，命中即停止 |
| 多对端 | 不同 ACL 指向不同 peer，实现多分支 |
| 备份 | 同一 ACL 配多个序列或按 set peer 顺序尝试 |
| 查看 | show crypto map 与 show crypto ipsec sa |
典型使用场景
- 一个出口同时连接两个分支机构：按网段拆 ACL，各自指定对端
- 主备双链路冗余：同一感兴趣流配两个序列，主序列失效后由备份接续
- 与不同厂商设备对接：不同对端使用不同的 transform-set
- 集中器多个对端地址：按目的网段区分走哪个对端
- 灰度迁移：新序列先只覆盖少量网段，验证后再扩大 ACL 范围
多对端与备份示例
多对端与备份示例
# 序列 10：到分支 A 的网段
crypto map CMAP 10 ipsec-isakmp
set peer 203.0.113.2
set transform-set TS-A
match address 101
! 序列 20：到分支 B 的网段
crypto map CMAP 20 ipsec-isakmp
set peer 203.0.113.3
set transform-set TS-B
match address 102
! 接口应用
interface GigabitEthernet0/0
crypto map CMAP
! 核对各序列与 SA 状态
show crypto map interface GigabitEthernet0/0常见现象与原因
| 现象 | 常见原因 | 处置 |
|---|---|---|
| 部分网段通、部分不通 | ACL 未覆盖该网段，落到 deny 序列 | 补 ACL 并确认序列顺序 |
| 备份序列从不生效 | 主序列命中即停，不评估备份 | 用路由度量或链路状态控制主备 |
| 改了序列不生效 | 接口未重新应用或 SA 未重建 | clear crypto sa 后重新触发流量 |
| 对端报提议不匹配 | 各序列 transform-set 配错 | 逐序列核对与对端参数 |
多序列不等于主备：序列之间是匹配关系而非优先级关系。真正的主备通常靠两条独立隧道加路由度量区分，或者在同一序列里用 set peer 指定多个对端由设备依次尝试。
修改序列内容后建议先 show crypto map 确认生效，再触发流量观察 SA 重建；生产环境避免在高峰期清理整张 crypto map。