华为 IPsec 的四段式结构
华为 VRP 的站点到站点 IPsec 用四组配置拼装：ike proposal 定义阶段一参数，ipsec proposal 定义阶段二参数，ike peer 描述对端地址与认证信息，ipsec policy 把 ACL、ike peer 与 proposal 绑定在一起，最后由接口引用该策略。四段缺一不可，任一环节没配上，隧道都不会起来。
基本信息
| ike proposal | 阶段一：加密、认证、DH 组与生存期 |
|---|---|
| ipsec proposal | 阶段二：封装模式与 ESP 加密认证算法 |
| ike peer | 对端地址、IKE 版本、预共享密钥 |
| ipsec policy | 关联 ACL 与 ike peer，并在接口上引用 |
| ACL 作用 | 定义哪些流量走隧道，两端需互为镜像 |
典型使用场景
- 分支到总部建隧道：分支配动态或静态地址，总部按对端地址定义 peer
- 与第三方对接：按对方要求指定 IKE 版本、加密与认证算法
- 双链路备份：同一策略下配置多个 peer 或使用不同策略优先级实现切换
- 多子网保护：在 ACL 中列出多个源与目的网段，覆盖全部需加密的流量
- 迁移升级：从 IKEv1 迁移到 IKEv2 时保留旧配置直到新隧道稳定
完整配置模板
完整配置模板
ike proposal 10
encryption-algorithm aes-cbc-256
authentication-algorithm sha2-256
dh group14
#
ipsec proposal 10
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-256
#
ike peer PEER1 v2
pre-shared-key cipher Huawei@123
remote-address 203.0.113.2
#
acl number 3000
rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255
#
ipsec policy POLICY1 10 isakmp
security acl 3000
ike-peer PEER1
proposal 10
#
interface GigabitEthernet0/0/1
ipsec policy POLICY1验证命令与观察点
| 命令 | 看什么 | 异常提示 |
|---|---|---|
| display ike sa | 阶段一安全联盟状态 | 状态为未建立说明密钥、版本或算法不匹配 |
| display ipsec sa | 阶段二隧道与加密流量统计 | 只有入方向计数说明回程流量未走隧道 |
| display ipsec proposal | 阶段二参数 | 与对端参数无交集时阶段二协商失败 |
| display acl 3000 | ACL 命中计数 | 计数不增长说明流量未匹配到该 ACL |
排错顺序
排错顺序
# 1) 接口是否引用了策略
display current-configuration interface GigabitEthernet0/0/1
# 2) ACL 是否覆盖业务流量且两端镜像
display acl 3000
# 3) IKE 版本与密钥是否一致
display ike peer
# 4) 阶段一与阶段二状态
display ike sa
display ipsec sa两端 IKE 版本必须一致：一端配 v1、另一端配 v2 时阶段一直接失败，日志里通常只看到协商无响应。对接前先与对方确认版本，V2 在安全性与 NAT 穿越方面更有优势。