reverse-route 做什么
传统 IPsec 配置里，隧道对端网段的路由需要手工写静态路由指向隧道或下一跳，站点一多维护量就上来了。reverse-route 改变了这一点：在 crypto map 序列里启用后，只要该策略对应的 SA 协商成功，设备就自动把对端感兴趣流网段注入本地路由表，隧道一断这些路由通常随之撤销。它实际相当于把「路由跟着隧道走」这件事自动化了。需要注意的是它注入的是静态性质的路由，与动态路由协议共存时存在优先级与来源冲突的评估空间，同时注入的路由条目数取决于对端 ACL 的粒度。
基本信息
| 平台 | Cisco IOS/IOS-XE，crypto map 序列下配置 |
|---|---|
| 命令 | set reverse-route |
| 触发时机 | SA 协商成功后注入路由 |
| 撤销条件 | SA 删除或隧道失效，路由随之撤销 |
| 路由性质 | 静态来源，可带标记 |
| 核对 | show ip route static 与 show crypto ipsec sa |
典型使用场景
- Hub 与多个 Spoke 组网：省掉逐站点配置静态路由
- 对端网段可能变化：跟随 SA 自动更新路由
- 与动态路由配合：需要评估注入路由与被引入路由的优先级
- 排障时确认路由来源：区分是手工配置还是自动注入
- 双隧道冗余：SA 切换后路由是否随之调整
配置与核查
配置与核查
crypto map CMAP 10 ipsec-isakmp
set peer 203.0.113.2
set transform-set TS-A
match address 101
set reverse-route
! 核对注入的路由
show ip route static | include Tunnel|reverse
show ip route 10.2.2.0
! 确认 SA 状态与对端网段
show crypto ipsec sa | include local|remote|pkts注入行为对照
| 场景 | 注入结果 | 注意点 |
|---|---|---|
| SA 建立成功 | 对端网段写入路由表 | 来源为静态，可与手工路由冲突 |
| SA 被删除 | 自动撤销路由 | 若业务依赖需评估收敛时间 |
| ACL 粒度过粗 | 注入大量明细路由 | 路由表规模上升 |
| 与动态路由共存 | 两套来源并存 | 优先级需明确设计 |
它解决的是本地路由表里「到对端网段怎么走」的问题，不改变对端看到的本端网段；双向可达仍需两端各自配置。
注入路由的下一跳可以是隧道接口也可以是远端地址，具体行为随平台与配置方式不同，验收时以实际路由表输出为准。