感兴趣流 ACL 怎么定义
策略型 IPsec 用 ACL 定义感兴趣流：只有匹配 ACL 的流量才进入隧道，其余流量按正常路径转发或被丢弃。对接时两端 ACL 必须互为镜像（本地网段与对端网段互换），并且要明确加密判定与 NAT 的先后处理顺序，否则会出现流量被 NAT 转换后不再匹配选择符的情况。
基本信息
| 定义方式 | access-list permit ip <本地网段> <对端网段> |
|---|---|
| 镜像要求 | 对端方向相反、地址互换，两侧形成对应关系 |
| 处理顺序 | 加密判定与 NAT 的先后关系必须明确 |
| 核对方式 | 查看 ACL 命中计数与 SA 的流量统计 |
| 高发问题 | 两端 ACL 不对称导致单向通 |
| 选择符粒度 | 粒度越细策略条目越多，维护成本上升 |
典型使用场景
- 新建站点互联：先把两侧网段对照清楚再写 ACL
- 排障单向通：优先检查 ACL 的镜像关系
- NAT 场景：确认流量进入 IPsec 前是否已被转换
- 变更扩展：新增子网时同步更新两端 ACL
- 验收核对：用 ACL 命中计数与 SA 统计作为证据
定义与核对
定义与核对
access-list 101 permit ip 10.1.0.0 0.0.255.255 10.2.0.0 0.0.255.255 # 本地到对端
!
show ip access-lists # 看命中计数，确认流量是否匹配
show crypto map # 看策略与关联的 ACL
show crypto ipsec sa | include peer|local # 看 SA 的流量统计常见问题与判断
| 问题 | 现象 | 核对动作 |
|---|---|---|
| ACL 未镜像 | 一侧建链、另一侧无响应 | 两侧 ACL 逐条对照 |
| 源目写反 | 出向流量不加密 | 检查本地与对端网段的位置 |
| NAT 顺序不当 | 流量经 NAT 后不匹配选择符 | 梳理加密与 NAT 的处理顺序 |
| 子网遗漏 | 部分网段不通 | 用命中计数确认哪些流量未匹配 |
两端 ACL 不对称是「单向通」的高发原因：上线前逐条对照，必要时用命中计数验证实际匹配情况，而不是只看配置文本。
选择符粒度要与运维能力匹配：粒度越细策略条目越多，后续新增子网时容易漏改一侧，进而出现局部不通，因此规划阶段就要考虑扩展成本。