VTI：路由型 IPsec 隧道
VTI（Virtual Tunnel Interface）把 IPsec 变成一条可以跑路由的隧道接口：固定源与目的地址，隧道接口承载业务路由，加密策略由 ipsec profile 统一引用。相比传统 crypto map 的 ACL 匹配方式，VTI 不需要为每个网段写 ACL，支持动态路由协议与冗余切换，是多站点互联里更易维护的做法。
基本信息
| profile | crypto ipsec profile <名>，内部引用 transform-set 与 PFS |
|---|---|
| 隧道接口 | interface Tunnel0 + tunnel mode ipsec ipv4 |
| 保护绑定 | tunnel protection ipsec profile <名> |
| 地址规划 | 隧道接口需独立网段，两端在同一子网或按点对点规划 |
| 核对命令 | show interfaces Tunnel0、show crypto ipsec sa、show crypto session |
典型使用场景
- 多站点互联：站点间跑 OSPF 或 BGP，靠路由协议完成冗余与收敛
- 分支机构自动切换：主隧道不可用时路由自动改走备用隧道
- 替代 ACL 型 crypto map：网段变动时只改路由，不必逐条改 ACL
- 云侧互联：与对端设备用 VTI 对接，简化策略维护
- 迁移改造：从 crypto map 迁移到 VTI，降低配置复杂度
配置与核对
配置与核对
crypto ipsec profile PROF
set transform-set TS-A
set pfs group14
!
interface Tunnel0
ip address 10.255.0.1 255.255.255.252
tunnel source GigabitEthernet0/0
tunnel destination 203.0.113.2
tunnel mode ipsec ipv4
tunnel protection ipsec profile PROF
!
show interfaces Tunnel0 | include line protocol
show crypto session状态核对逐项读法
| 观察项 | 含义 | 正常与异常 |
|---|---|---|
| Tunnel0 line protocol | 隧道接口协议状态 | IPsec SA 建立后 Up；SA 未建立时为 Down，属正常现象 |
| crypto session | 会话与 SA 状态 | 应为 UP-ACTIVE；出现 DOWN 说明协商或路由有问题 |
| SA 计数 | 加解密报文数 | 双向都有增长；单向为零说明回程路径或对端策略有问题 |
| 隧道地址 | 两端是否同网段 | 地址规划错误会导致路由指向但流量不走隧道 |
VTI 的隧道接口状态通常跟随 IPsec SA：SA 没建起来时接口不 Up，因此「接口 Down」不一定是链路问题，先看 IKE 与 SA 状态再判断。
VTI 的优势在于能在隧道上跑动态路由协议：主隧道失效时由路由协议完成切换，不必额外维护镜像 ACL。上线前确认两端的隧道内地址、认证与路由引入都已就绪，否则切换时会缺少路由。
隧道内地址不要重叠：两端需按点对点或同一子网规划，业务网段的通告要与真实拓扑一致。地址规划错位时，流量会被路由回指到物理口，加密策略因此被绕过。