隧道不通三查
GRE 或 IPsec 隧道不通时按三层顺序查：先看隧道接口状态（隧道 up 需要源地址可达且不为空），再看隧道两端之间的底承载路由是否存在，最后才看 IPsec 的安全联盟是否协商成功。内层不通却先去改加密参数，是最常见的无效操作。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 隧道接口 | 华为与 H3C 为 Tunnel 接口，思科为 Tunnel 接口（GRE） |
| 底承载 | 隧道由两端公网地址之间的可达路由支撑，先保证该路由稳定 |
| 加密状态 | 华为与 H3C 用 display ipsec sa，思科分为 IKE 与 IPsec 两层 |
| 验证顺序 | 物理与路由 → 隧道接口 → 隧道内 ping → 加密计数是否增长 |
分阶段定位
| 阶段 | 检查内容 | 结论 |
|---|---|---|
| 承载层 | 两端公网地址互 ping 是否通 | 不通则先修底承载路由与策略 |
| 隧道接口 | 接口协议状态、源地址与目的地址配置 | 接口 down 多为源地址不可达或配置缺失 |
| 内层连通 | 用隧道地址互 ping | 通则问题在加密或上层业务，不通则查隧道封装 |
| 安全联盟 | SA 是否建立、加解密计数是否增长 | SA 建立但计数不涨说明流量未匹配到感兴趣流 |
| 业务路由 | 业务网段是否指向隧道接口 | 业务路由缺失会让流量绕过隧道 |
典型使用场景
- 站点间专线切换为隧道后业务不通，需要快速分清是承载问题还是加密问题
- 隧道接口 up 但内层业务不通，需要定位封装或路由问题
- IPsec 协商失败，排查两端参数与感兴趣流是否一致
- 隧道建立后部分网段可通，确认是否漏了业务路由
- 隧道频繁重建，查底承载链路质量与协商定时器
华为 VRP 与 H3C Comware
华为 VRP 与 H3C Comware
display interface Tunnel0 # 隧道接口状态与封装信息
display ipsec sa # 安全联盟状态
display ip route-static # 承载与业务路由
display ipsec proposal # 协商参数对照思科 IOS
思科 IOS
show interfaces Tunnel0 # 隧道接口状态
show crypto isakmp sa # IKE 阶段一的联盟
show crypto ipsec sa # 阶段二与加解密计数
show running-config | include crypto map # 感兴趣流与映射配置IPsec 状态查看分层：思科区分为 IKE（isakmp）与数据面（ipsec）两层，先确认阶段一建立再看阶段二；华为与 H3C 用 display ipsec sa，部分版本另有 IKE 联盟查询命令。两端必须成对建立才算协商完成。
隧道接口 up 不代表业务通：内层路由或感兴趣流不匹配时，报文会被直接丢弃在隧道外，表现为「状态正常但不通」。验证时先 ping 隧道对端地址确认内层，再看加解密计数是否增长。