1677079317,CRM论坛（CRMbbs.com）——一个让用户更懂CRM的垂直性行业内容平台,CRM论坛致力于互联网、客户管理、销售管理、SCRM私域流量内容输出5年。 如果您有好的内容，欢迎向我们投稿，共建CRM多元化生态体系，创建CRM客户管理一体化生态解决方案。内容来源：知了社区JDG丶上单369 JDG丶上单369 一段 粉丝：3人 关注：3人

问题描述：

阿里云防火墙IPSec VPN对接华三防火墙

这边配置完了之后隧道没起来 只起来了了IKE SA 但是隧道没建立起来。

是有什么注意的点吗？密钥和协商加密都是一样的这边也有写静态路由还有兴趣流

组网及组网描述：

这个是防火墙的配置

四口出去的

7小时前提问

看下墙的安全策略，local到UNtrust的udp 4500和udp500有没有放通

看下acl 3600有没有拒绝源内网访问阿里云业务网段

把阿里云的dpd检测关闭

不行的话两端修改成野蛮模式再测试

7小时前回答 (8)

安全策略是没问题的 我直接全部放通了

JDG丶上单369

修改野蛮模式需要弄别的吗？就改个模式就可以了吗 ？acl没问题 NAT穿越有问题吗？

JDG丶上单369

我没有看到3600的配置，3600里应该要有拒绝的，拒绝本端内网访问阿里云内网的流量。改模式的话，阿里云改成总部，华三的改成分支，其他的不变

筱坏

我有nat不做的配置ipsec no-nat-process enable 这个就是不做nat 3600的我就写了允许3个网段

JDG丶上单369

我在接口下1/0/4ipsec no-nat-process enable做了这个配置

JDG丶上单369

acl 3600里没有permit ip，写了具体网段，跟我说的效果是一样的。 一般都是dis ipsec stas看统计信息，是否有报错信息，或者就找400看debug了

筱坏

dis ike sa 是有了 flag 是unknown

JDG丶上单369

主要是先不管兴趣流的东西，先主要看的就是隧道建立不起来。建立起来了 在排查那个，监控那边隧道就一直没起来。

JDG丶上单369

你两边的感兴趣流不太对，你的图片里面的源是192.168.16.0/

6小时前回答

我发错图了 acl没问题的

JDG丶上单369

你看看下面的

JDG丶上单369

发错了

3600d

6小时前回答

你正在,阿里云防火墙VPN对接华三防火墙隧道失败