| 镜像原则 | 本端 ACL 源/目的 = 对端 ACL 目的/源 |
|---|---|
| 显示线索 | 选择符与数据包计数为 0 |
| 常见错误 | 网段掩码不一致、加不加 /32 |
| 验证 | 两端同时触发流量观察双向计数 |
核对命令
核对命令
show crypto ipsec sa | include local ident|remote ident|pkts
# 华为
display ipsec sa
# 期望: 双向 encaps/decaps 计数都在增长子 SA 建立但对不上：选择符排查
两侧子 SA 的选择符必须互为镜像（源=对端目的）：一端写全、另一端只写一半或网段写错，会表现为 SA incomplete 或数据包计数不增长。
易错点
- 只配单向 ACL：看似协商成功，回程包不加密
- 网段汇总不一致：一端 /24 一端 /32 导致 SA 不全
数据来源与参考
- Cisco: IPsec SA 排错
- RFC 4301: IPsec 架构