针对不同公网IP环境配置IPSec VPN是网络互联中的常见挑战。本指南通过H3C设备，详细演示了固定公网IP与固定公网IP、固定公网IP与动态公网IP两种场景的完整配置流程，并包含关键故障排查思路，为网络管理员提供了一套可直接参考的实战方案。
智能速览
覆盖了IPSec VPN两种核心组网场景：固定IP间及固定IP与动态IP。
提供了固定公网IP之间IPSec VPN主模式的完整命令行配置。
深入剖析了因NAT设置导致VPN不通的典型故障及其精准解决方法。
演示了利用野蛮模式实现固定IP与动态IP对端的IPSec VPN互联。
阐明了通过FQDN身份验证机制，解决动态IP对端识别问题的关键技术。
精华内容
深入探讨H3C IPSec VPN配置，通过两种典型场景，梳理从基础设置到故障排查的全过程，确保网络互联的稳定与安全。
固定IP间配置
首先搭建固定公网IP之间的IPSec VPN。配置前，需确保总部与分部路由器均能正常访问互联网，这包括配置接口IP、默认路由以及用于上网的NAT策略。
核心在于IPSec VPN的配置。第一步是定义感兴趣流，使用高级ACL精确指定需要加密的互通网段，例如总部192.168.10.0/24到分部10.182.10.0/24的流量。
接下来，依次配置IKE提议、包含预共享密钥的IKE密钥链、以及整合IKE参数的IKE配置文件。随后，定义IPSec变换集，指定ESP加密与认证算法，如3des-cbc和md5。
最后，创建IPSec策略，将安全ACL、变换集和IKE配置文件进行绑定，并指定对端公网地址，将此策略应用到公网出口接口即可完成基础配置。
NAT冲突排查
完成基础IPSec配置后，可能出现VPN隧道无法建立的问题。一个常见原因是NAT策略与IPSec策略的冲突。如果上网用的NAT ACL规则过于宽泛，将需要IPSec保护的流量也进行了地址转换，会导致两端流量匹配失败，无法触发加密。
解决方法是优化NAT策略。创建新的高级ACL，规则顺序至关重要：首先使用`deny`语句拒绝需要IPSec保护的内部网段互访流量，然后使用`permit`语句允许其他所有上网流量。
在总部和分部的公网接口上，将原有的NAT策略删除，换为这个优化后的新ACL。这样，就确保了VPN流量不被NAT转换，从而解决了隧道建立失败的问题，实现内网正常互通。
动态IP对端方案
当一端为动态公网IP时，固定IP对端无法预先知晓其确切地址，此时主模式不再适用，需采用IKE野蛮模式进行协商。
在配置上，动态IP侧（分部）需使用`ike identity fqdn`命令设置一个身份标识符，如主机名，以便固定IP侧（总部）识别。总部侧则需创建IPSec策略模板，该模板不指定固定的对端地址，而是通过`match remote identity fqdn`来匹配分部的身份标识。
双方的IKE配置文件中均需设置`exchange-mode aggressive`来启用野蛮模式。分部侧的IPSec策略中`remote-address`指向总部的固定IP，而总部侧的IPSec策略则引用创建好的策略模板。通过这种方式，即使分部IP地址变化，也能通过身份标识成功建立VPN连接。
本篇指南完整展示了H3C设备在复杂IPSec VPN场景下的配置方法，从基础设置到核心故障排查，提供了极具操作性的参考。理解NAT与IPSec的交互、掌握野蛮模式的应用，是处理此类网络问题的关键。虽然当下多使用Web界面配置，但掌握命令行原理，能让网络管理更加游刃有余。
