HQY 一个和谐有爱的空间

建议IPSec隧道两端配置的ACL规则互为镜像。配置为镜像不是必要条件，不过实际应用中配置成镜像更简单也不易出错。一般来讲，只要发起方配置的ACL规则范围比响应方小就可以。采用IKEv2进行协商时，双方ACL规则取交集。
对于IKEv1方式建立的IPSec隧道，如果本端ACL配置错误，那从本端内网ping对端内网，则执行display ike sa命令发现两阶段SA均未建立无显示，且display acl acl-number发现ACL的匹配次数不变。如果对端ACL配置错误，那从本端内网ping对端内网，则执行display ike sa命令发现只有第一阶段建立成功，且display acl acl-number发现ACL的匹配次数增加。
对于IKEv2方式建立的IPSec隧道，如果IPSec安全提议或ACL配置错误，对于某些版本的设备，执行display ike sa命令可能查看到两个阶段的SA均未建立。