1675823127,

问题描述：

两台设备，之间配置的是gre over IPSec VPN，gre中的源目IP地址是IPSEC vpn中的加密地址，按照正常的方式的话是以下顺序（这里使用的IPSEC IKE）

配置本端安全网关名字

配置访问控制列表

配置ike安全提议

配置ike对等体

配置ipsec安全提议

配置安全策略

在接口上应用安全策略组

其中一台设备是按照这样的顺序配置的，但是另外一台设备在配置安全策略时没有引入ACL，同时配置的访问控制列表也没有对应的IP地址（gre中的源目地址），但是IPSEC还是建立起来了并且能正常使用，请问这是为什么，感觉不能理解，麻烦告诉下，谢谢了

(0)

最佳答案

已采纳 笃行之 笃行之 八段 粉丝：16人 关注：3人

从没有配置ACL侧触发访问也能正常吗？

(0)

回复xxx [x] 3

我只是ping过，从配置了ACL测是可以ping通的，但是没配置侧ping不能ping通，不过我觉得仍然不能理解，如果一侧没有配置的话应该两边都无法建立连接的吧

(0)

为保证IPsec对等体上能够成功建立SA，建议两端设备上用于IPsec的ACL配置为镜像对称，即保证两端定义的要保护的数据流范围的源和目的尽量对称。例如，图1-5中Router A和Router B上的ACL配置都是完全镜像对称的，因此用于保护主机Host A与主机Host C之间、子网Network 1与子网Network 2之间流量的SA均可成功建立。 具体可以看下： http://www.h3c.com/cn/Service/Document_Center/Routers/Catalog/MSR/MSR_5600/Configure/Operation_Manual/H3C_MSR_CG(V7)-R0306-6W106/12/

你可以这样理解：没有写ACL一端，所有数据进入接口的时候都匹配了一遍，当数据流和对端对应上之后就转发出去了。

笃行之 发表时间：

那请问这样配置的意义何在呢

Crystal 发表时间：

还有你这里说的：没有写ACL一端，所有数据进入接口的时候都匹配了一遍，当数据流和对端对应上之后就转发出去了 现在其实我是疑惑，因为没有配置ACL，没有引用，并且我查看路由表也没有发现有对应的路由，那么这个数据出去以后对端怎么知道这个数据能和我匹配上？

Crystal 发表时间：

这里能不能这样理解，就是，我在gre over ipsec vpn环境下，虽然没有配置ACL并且引用，但是由于出局的接口应用了安全策略组，那么默认从我这个安全策略组出去的所有流量，都会被封装成出接口的IP，拿GRE来说明，假如配置如下 ip address 172.16.123.25 255.255.255.252 source 192.168.251.7 destination 192.168.253.7 那么这个时候数据包的源目IP就是192.168这个了，然后在接口出去的时候也被默认封装成出接口的IP地址，然后到对端以后，如果没有对应的IPSECvpn，那么这个数据就会被丢弃，如果有的话，则可以正常通信，请问能这样理解吗

Crystal 发表时间：

路由器有反向路由注入的功能

笃行之 发表时间：

嗯我知道你说的那个，我也在操作手册里看了，但主要实际配置中没有这个，所以我觉得有点难理解

Crystal 发表时间：

如果你没引入ACL的一端IPSEC用的是虚拟模板接口配置，就不需要配置ACL了。在V7版本，这主要是应用在野蛮模式里面。虚拟模板接口的使用一般用在分布和总部通信时候，总部使用虚拟模板接口就不需要在用ACL了，大大简化了配置。

(0)

回复xxx [x] 已采纳 栗山未来 栗山未来 二段 粉丝：0人 关注：0人

https://www.bilibili.com/video/av29607024 推荐您看下官方的配置，有一些思路。

(0)

回复xxx [x],MSR36-10配置gre over ipsec vpn问题